关键是以进程为单位实施最小权限隔离，结合审计追踪形成闭环：按业务进程而非整机打包、收紧运行时Capabilities、嵌入auditd与strace日志、打通宿主机AppArmor/cgroups策略一致性。
要通过进程运行时的容器化隔离来提升基础业务安全防御能力，关键不是“装个容器就完事”，而是把隔离机制真正用对、用实、用深。核心思路是：以进程为单位实施最小权限隔离，结合审计追踪形成闭环，让每个业务容器既跑得稳，又看得清、管得住、防得住。
明确隔离粒度：按业务进程而非整机打包
很多团队误把整个应用打成一个大镜像，导致一个漏洞影响全部功能。正确做法是识别出核心业务进程（如支付校验服务、用户会话管理模块），单独容器化部署。每个容器只包含该进程及其最小依赖，避免共享库污染或权限蔓延。例如，订单服务中的风控计算模块可独立为一个非 root 容器，与前端 API 容器网络隔离、用户 ID 映射分离。
- 用
ps aux | grep或systemctl list-units --type=service梳理真实运行的业务进程 - 拒绝“一刀切”镜像：同一应用不同进程应使用不同
Dockerfile，区分基础镜像、用户、能力集 - 优先采用多阶段构建，最终镜像中不保留编译工具、调试器等非运行时组件
收紧运行时权限：从默认宽松转向显式授权
Docker 默认授予 30+ 种内核能力（Capabilities），但 90% 的业务进程只需 3–5 个。过度授权等于主动打开逃逸通道。
- 用
docker inspect <container> | jq '.HostConfig.CapAdd'</container>查看实际启用的能力 - 禁用高危能力：明确移除
SYS_ADMIN、NET_ADMIN、SETUID等，除非确需挂载、调网卡或切换用户 - 用
--cap-drop=ALL --cap-add=CHOWN,NET_BIND_SERVICE显式声明最小集合 - 配合
--read-only和--tmpfs /run:rw,size=64m实现根文件系统只读+必要临时区可写
嵌入审计链路：让每个进程行为可记录、可关联、可告警
隔离本身不产生日志，必须主动注入审计能力。重点不是“记多少”，而是“记什么能定位问题”。
- 容器启动时挂载宿主机
/dev/log或配置syslog远程转发，确保auditd日志不丢失 - 在容器内启用
auditctl -w /etc/passwd -p wa类规则（需AUDIT_WRITE能力），监控敏感路径变更 - 利用
docker logs --details+journalctl -u docker --since "1 hour ago"关联容器生命周期与宿主机事件 - 对关键进程（如密钥解密、数据库连接池初始化）添加
strace -f -e trace=execve,openat,connect日志采样（生产环境建议用 eBPF 替代）
打通宿主与容器的策略一致性
容器不是孤岛，它的安全边界由宿主机内核和运行时共同定义。脱离宿主谈容器隔离，等于在沙上建塔。
- 宿主机启用
AppArmor或SELinux强制策略，并为每个容器类型定义 profile（如abstractions/base+ 自定义deny network raw） - 用
cgroups v2统一限制 CPU、内存、PID 数量，防止资源耗尽型 DoS 影响其他业务进程 - 禁用
dockerd的--host=fd://外部监听，改用本地 socket +sudo权限控制访问者 - 定期执行
docker system df -v+find /var/lib/docker/overlay2 -name "config.json" -exec grep -l '"Privileged":true' {} \;扫描违规配置
