资源与安全50 条

批量审计高危容器配置

一行 inspect 格式化把运行中容器的高危开关拉成清单：特权模式、宿主网络、宿主 PID、附加能力与 socket 挂载，先看见再收敛。

Docker 容器速查云更新于 2026-10-12

审计点	privileged / NetworkMode / PidMode / CapAdd / Mounts
时机	上线前抽查 + 定期巡检
处置	确认业务必要性后用重建容器收敛

示例

docker ps -q | xargs -r docker inspect -f '{{.Name}} priv={{.HostConfig.Privileged}} net={{.HostConfig.NetworkMode}} pid={{.HostConfig.PidMode}} caps={{.HostConfig.CapAdd}}'
docker ps -q | xargs -r docker inspect -f '{{.Name}} {{range .Mounts}}{{.Source}}->{{.Destination}} {{end}}' | grep -i docker.sock || echo 'no socket mount'

高危开关多数只能在创建时设定，收敛手段一般是停旧建新，而不是热改参数。

易错点

只按名字抽查会漏：先全量出清单再按业务分组确认
CI 临时容器与历史遗留容器同样要覆盖，它们在切换窗口也持有宿主权限

数据来源与参考

Docker 官方 CLI 参考：docker inspect 与 HostConfig 字段（docs.docker.com）

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌