cloudpassage/cphalo

CloudPassage Halo Agent 容器镜像

概述

CloudPassage Halo Agent 容器镜像是容器化部署的 CloudPassage Halo 代理程序，旨在无缝对接 CloudPassage Halo 云安全平台，为容器环境提供安全监控、威胁检测和合规管理能力。该镜像适用于各类容器化部署场景，可快速集成至现有容器生态，实现对容器实例全生命周期的安全管控。

核心功能与特性

• 实时安全监控
  持续采集容器运行时指标（如进程活动、网络连接、文件系统变更），并同步至Halo平台进行集中分析。

• 威胁检测与响应
  基于行为基线识别异常活动，检测***进程、未授权访问及容器逃逸尝试，并支持实时告警与自动化响应。

• 合规性检查
  内置行业标准合规规则（如PCI DSS、HIPAA、NIST），定期扫描容器配置与镜像合规性，生成合规报告。

• 容器镜像安全扫描
  集成镜像漏洞检测能力，在部署前扫描容器镜像中的已知漏洞（CVE）、***软件及配置缺陷。

• 与Halo平台深度集成
  支持与Halo平台的策略管理、日志分析、安全编排功能联动，实现统一安全管控。

适用场景

• 容器编排环境：Kubernetes、Docker Swarm等容器集群的安全监控与合规管理。
• 云原生应用：微服务架构下容器实例的实时威胁检测与异常行为分析。
• 企业合规需求：需满足***、***等行业合规要求的容器化部署场景。
• DevSecOps流程：在CI/CD pipeline中集成镜像安全扫描，实现安全左移。

使用方法

前置条件

• 已注册CloudPassage Halo平台账号，并获取API密钥（API Key和API Secret）。
• 容器主机可访问Halo平台服务端点（默认：https://api.cloudpassage.com），网络需开放443端口。
• Docker引擎版本1.12+或兼容的容器运行时环境。

基本部署（Docker Run）

通过以下命令启动Halo Agent容器：

bash
docker run -d \
  --name halo-agent \
  --privileged \
  --restart=always \
  -e HALO_API_KEY=<your-halo-api-key> \
  -e HALO_API_SECRET=<your-halo-api-secret> \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v /proc:/host/proc:ro \
  -v /sys:/host/sys:ro \
  -v /:/host/root:ro \
  cloudpassage/halo-agent:latest

环境变量配置

Kubernetes部署

在Kubernetes集群中，推荐通过DaemonSet确保每个节点运行一个代理实例：

yaml
apiVersion: apps/v1
kind: DaemonSet
metadata:
  name: halo-agent
  namespace: kube-system
spec:
  selector:
    matchLabels:
      app: halo-agent
  template:
    metadata:
      labels:
        app: halo-agent
    spec:
      hostPID: true
      containers:
      - name: halo-agent
        image: cloudpassage/halo-agent:latest
        securityContext:
          privileged: true
        env:
        - name: HALO_API_KEY
          valueFrom:
            secretKeyRef:
              name: halo-credentials
              key: api-key
        - name: HALO_API_SECRET
          valueFrom:
            secretKeyRef:
              name: halo-credentials
              key: api-secret
        - name: HALO_REGION
          value: "us-1"
        volumeMounts:
        - name: docker-sock
          mountPath: /var/run/docker.sock
        - name: proc
          mountPath: /host/proc
          readOnly: true
        - name: sys
          mountPath: /host/sys
          readOnly: true
        - name: root
          mountPath: /host/root
          readOnly: true
      volumes:
      - name: docker-sock
        hostPath:
          path: /var/run/docker.sock
      - name: proc
        hostPath:
          path: /proc
      - name: sys
        hostPath:
          path: /sys
      - name: root
        hostPath:
          path: /

配置说明

• 特权模式：容器需以--privileged运行，以获取足够权限监控主机和容器资源。
• 数据持久化：代理配置与状态文件默认存储于容器内/var/lib/halo，如需持久化可挂载主机目录。
• 自定义配置：通过挂载自定义配置文件/etc/halo/agent.cfg覆盖默认配置，支持调整扫描频率、告警阈值等参数。

注意事项

• 安全最佳实践：API密钥需通过环境变量或Kubernetes Secret安全注入，避免硬编码在部署配置中。
• 网络隔离：确保代理仅与Halo平台指定端点通信，限制不必要的网络访问。
• 版本更新：定期更新镜像至最新版本，以获取安全补丁和功能优化，建议通过CI/CD流程自动化更新。
• 资源限制：根据容器规模调整CPU/内存资源分配，避免影响主机和容器性能。