3月16日，美國聯(lián)邦風險和授權(quán)管理計劃（Federal Risk and Authorization Management Program，簡稱FedRAMP）發(fā)布了文檔《容器漏洞掃描要求》（FedRAMP Vulnerability Scanning Requirements for Containers），通過描述“使用容器技術(shù)的云系統(tǒng)漏洞掃描的特定流程、架構(gòu)和安全考慮”，確保云服務提供商（CSP）保持其容器技術(shù)合規(guī)，彌補了傳統(tǒng)云系統(tǒng)和容器化云系統(tǒng)之間的合規(guī)差距。
ONE
一、背景
FedRAMP是一個政府范圍內(nèi)的計劃，為云產(chǎn)品和服務的安全評估、授權(quán)和持續(xù)監(jiān)控（ConMon）提供了標準化方法。通過向聯(lián)合授權(quán)委員會（JAB）和機構(gòu)授權(quán)官員（AO）提供有關系統(tǒng)安全態(tài)勢變化的深入見解，ConMon確保云服務系統(tǒng)商持續(xù)保障FedRAMP授權(quán)系統(tǒng)的安全。隨著技術(shù)日新月異，云服務提供商也在不斷發(fā)展以改善和適應客戶的需求。某些技術(shù)變化會影響ConMon的執(zhí)行方式。
本文件補充并更新了《FedRAMP持續(xù)監(jiān)控策略指南》（FedRAMP Continuous Monitoring Strategy Guide）和《FedRAMP漏洞掃描要求》（FedRAMP Vulnerability Scanning Requirements）中定義的現(xiàn)有要求，介紹了FedRAMP在使用容器技術(shù)的云系統(tǒng)漏洞掃描中需要遵循的流程，架構(gòu)及安全考慮等方面的特定合規(guī)要求。
TWO
二、容器技術(shù)的特點和風險
容器技術(shù)可以部署在裸機或虛擬機上、本地自建系統(tǒng)或彈性云環(huán)境中。通常使用各種容器編排工具來實現(xiàn)大規(guī)模的分布式容器的部署和管理。以下是容器技術(shù)的常見特征：
容器啟動的應用程序及其依賴庫與其他進程相隔離
容器具有獨立于主機的網(wǎng)絡連接
容器具有彈性，偶爾具有臨時性
容器是不可變的，升級操作發(fā)生在安全預發(fā)布環(huán)境中的源鏡像上，升級容器指的是銷毀現(xiàn)有容器并將其替換為新容器
與使用容器化技術(shù)有關的重要風險和威脅包括：
未經(jīng)驗證的外部軟件
非標準配置
未受監(jiān)控的容器間的通信
未被跟蹤的臨時實例
未經(jīng)授權(quán)的訪問
Registry/Repository倉庫中毒
非托管的Registry/Repository倉庫
本文件中列出的安全要求有助于云服務提供商在遵從FedRAMP合規(guī)要求的同時充分利用容器技術(shù)。以下安全要求的目的是確保與使用容器技術(shù)有關的風險（包括但不限于以上要點形式列出的）即使沒有被解決，至少得到緩解。雖然這些要求廣泛適用，但FedRAMP也認識到某些具體實現(xiàn)可能需要采取其他替代措施來應對風險。
THREE
三、使用容器技術(shù)的系統(tǒng)掃描要求
《FedRAMP持續(xù)監(jiān)控策略指南》、《FedRAMP低度、中度和高度安全控制基線》以及《FedRAMP漏洞掃描要求》文件中概述了現(xiàn)有的掃描要求，以下要求是補充性的，適用于所有實施容器技術(shù)的系統(tǒng)。
1.鏡像加固
云服務提供商必須僅使用鏡像經(jīng)過加固的容器。加固須符合美國國家標準和技術(shù)研究所（NIST）國家核對清單項目（National Checklist Program）中列出的相關基準以及NIST SP 800-70的規(guī)定。最終配置必須由第三方評估機構(gòu)（3PAO）驗證，未加固鏡像或通用鏡像不得在授權(quán)邊界內(nèi)使用。
2.容器構(gòu)建、測試和編排管道
云服務提供商必須利用自動化容器編排工具來構(gòu)建、測試和部署容器到生產(chǎn)環(huán)境中。這些自動化工具必須經(jīng)過第三方評估機構(gòu)的驗證。非自動化流程不應作為容器測試和編排流程的一部分，除非是出于質(zhì)量審查目的而有意進行手動操作。
3.容器鏡像漏洞掃描
在將容器部署到生產(chǎn)中之前，云服務提供商必須確保按照FedRAMP漏洞掃描要求文件中的規(guī)定掃描容器鏡像的所有組件。在可能的情況下，容器編排流程應將掃描作為部署管道的步驟之一。此外，除非通過獨立的安全傳感器，不建議直接在部署到生產(chǎn)環(huán)境的容器上執(zhí)行漏洞掃描。
4.安全傳感器
可在生產(chǎn)環(huán)境的容器旁部署獨立的安全傳感器，以持續(xù)盤點和評估云服務提供商的安全態(tài)勢。獨立部署使安全傳感器可以在各個容器之間保持廣泛的可見性。安全傳感器應以足夠的權(quán)限運行，以避免缺乏可見性和產(chǎn)生誤報。
5. Registry監(jiān)控
容器鏡像倉庫（registry）必須對每個單獨的鏡像進行監(jiān)測，以確保在30天漏洞掃描窗口內(nèi)未掃描的鏡像所對應的容器沒有被主動部署到生產(chǎn)環(huán)境中。由于容器鏡像倉庫本身通常不是一個策略控制點，這個過程可以通過通知操作員或其他控制機制的警報來管理，以防止未經(jīng)授權(quán)的部署。
6.已部署容器的資產(chǎn)管理和庫存報告
為了識別與該容器相關聯(lián)的生產(chǎn)環(huán)境上的相關漏洞總數(shù)，必須為與一個或多個容器相對應的每一類鏡像分配一個唯一的資產(chǎn)標識符，以便自動化系統(tǒng)能夠確保每個生產(chǎn)部署的容器與源鏡像相對應。
FOUR
四、過渡計劃
如果適用，每個利用容器技術(shù)的FedRAMP系統(tǒng)都有1個月的時間提交過渡計劃，并在本文件發(fā)布之日起6個月內(nèi)過渡到完全合規(guī)。
如果無法全面實施，云服務提供商須與其授權(quán)官員合作制定緩解計劃。行政機關須審查和批準云服務提供商的緩解計劃。對于具有聯(lián)合授權(quán)委員會臨時操作授權(quán)（JAB P-ATO）的系統(tǒng)，云服務提供商應將緩解計劃發(fā)布到FedRAMP鏡像倉庫（FedRAMP repository），并發(fā)送電子郵件通知到info@fedramp.gov，或與其FedRAMP聯(lián)絡人（FedRAMP POC）討論備選方案。當前任何由機構(gòu)授權(quán)官員授權(quán)的云服務提供商都需要與其授權(quán)官員咨詢協(xié)商。