摘要：針對Docker目前存在的容器及鏡像被篡改、容器的惡意進程及非授權(quán)通信問題,利用可信計算的相關(guān)技術(shù)如信任鏈、完整性度量以及實時監(jiān)控等方法,設(shè)計并實現(xiàn)了一個可信增強的Docker容器-DockerGuard.DockerGuard構(gòu)造了一條從硬件到容器內(nèi)部進程和文件的信任鏈,同時增加了包括進程監(jiān)控、文件系統(tǒng)度量、網(wǎng)絡(luò)監(jiān)控三大功能于一體的安全防護模塊,從而全方位對Docker進行度量與細粒度的監(jiān)控.基于Docker1.6.0實現(xiàn)了具備上述功能的安全增強系統(tǒng)DockerGuard,并對系統(tǒng)進行了性能評估.結(jié)果表明,DockerGuard可以保護容器及鏡像不被篡改,同時限制容器網(wǎng)絡(luò)通信行為并監(jiān)控容器內(nèi)部進程,極大地提高了Docker容器的安全性.