September 17, 2025

蚂蚁容器安全（AntCWPP）能力建设

9 minutes

原文链接：https://mdn.alipayobjects.com/huamei_muqr6f/afts/file/rupuR4MUMeQAAAAAghAAAAgADmJsAQFr/蚂蚁容器安全（AntCWPP）能力建设-基于Kata和eBPF.pdf

️ 播客简介

本期播客深入探讨蚂蚁集团基于Kata和eBPF技术构建的容器安全方案AntCWPP，解析传统容器安全的痛点、创新技术架构及落地实践效果。适合对云原生安全、容器技术感兴趣的技术人员和安全从业者。

核心话题

传统容器安全的五大挑战：共享内核导致的容器逃逸风险
策略管理复杂且影响范围大
生产环境内核版本碎片化问题
拦截策略下发的高风险
性能与安全的平衡难题

Kata+eBPF：容器安全的双重保险Kata容器：独立内核架构实现"别墅级"隔离，彻底阻断逃逸路径
eBPF技术：内核层"智能保安"，实现进程/网络/文件行为的细粒度管控
协同优势：强隔离+精准防护，解决传统方案"顾此失彼"的困境

AntCWPP方案架构解析四大核心组件：管理平台（指挥中心）、策略服务中心（K8s CRD）、宿主机Agent（执行者）、Kata Pod（安全容器实例）
veBPF通信通道：实现宿主机与Kata容器内eBPF程序的高效交互
双层防护机制：默认审计策略全覆盖+应用级策略精准管控

关键技术落地细节进程管控：LSM hook点拦截非白名单程序，Drift Prevention防止镜像篡改
网络隔离：TC层+LSM层双重过滤，实现基于五元组的精准访问控制
文件防护：inode映射加速FIM监控，敏感文件修改实时拦截
系统调用审计：syscall跟踪点+LSM hook点结合，覆盖全量攻击面

业务落地案例高风险在线应用防护：进程白名单+网络访问控制，将攻击风险降至趋近于零
AI Agent沙盒环境：为大模型生成代码提供隔离执行空间，防止恶意代码逃逸

技术亮点

内核灵活选择：Kata容器内核独立升级，轻松支持eBPF新特性

微隔离能力：单个Pod策略异常不影响其他业务，爆炸半径趋近于零

高性能设计：eBPF程序内核态运行，性能损耗<3%

全链路可观测：安全事件日志包含进程/容器/策略多维元数据