容器与虚拟机：哪个更安全更好？

哪种虚拟化技术可以让您更安全？

容器和虚拟机 (VM) 有很多共同点。它们都使 IT 基础架构的使用更加高效，但它们以不同的方式实现。虽然这两种解决方案通常可以解决相同的问题，但其中之一通常是更好的选择。

在这篇文章中，我们将研究容器和虚拟机的安全性。一个比另一个更安全吗？

容器与虚拟机：有什么区别？

在深入研究安全性之前，我们需要先快速了解一下虚拟机和容器，以及它们之间的区别。这些差异对其安全配置文件有直接影响。

什么是虚拟机？

VM 模拟物理计算机。它使用软件来模拟硬盘驱动器、内存、CPU 和显卡。因此，您可以在 Windows 笔记本电脑上运行虚拟 Linux 系统。您甚至可以在另一个系统中运行完整的 Windows 系统。这是一种有用的技术，可以在不超过一台计算机的情况下在同一操作系统的不同版本上测试软件。

VM 在管理对底层硬件的访问的管理程序上运行。管理程序是轻量级进程，可以在单台计算机上处
理多个虚拟机。

什么是容器？

容器采用不同的虚拟化方法。他们不是运行整个模拟系统，而是将应用程序的依赖项（包括操作系统）打包到一个包中。您可以在任何支持容器系统的系统上运行该软件包。因此，例如，您可以在 Mac 上的容器中运行 Linux 应用程序。

容器不是虚拟机管理程序，而是在底层操作系统上运行，但它们仍然是隔离的。操作系统管理对内存、磁盘和操作系统资源的访问。

容器比虚拟机更轻量级，但这并没有让它们变得更好。他们解决了不同的问题。VM 模拟整个计算机。一个容器运行一个应用程序。

容器与虚拟机安全性

虚拟机之间与它们的主机之间具有很强的隔离性。由于它们不共享任何资源，因此破坏一个 VM 并不能帮助您获得对其他 VM 的访问权限。例如，如果攻击者成功破坏了 VM 并尝试了拒绝服务 (DOS) 攻击，则管理程序会限制受感染系统可以拥有的资源，因此攻击不会禁用主机系统或伤害其他 VM。

也就是说，VM 运行整个操作系统，因此它具有与实际系统相同的攻击面。您需要像保护任何其他系统一样保护您的虚拟机。通常，保护 VM 的第一步是关闭或删除任何不需要的东西。

容器只运行一个应用程序。所以理论上，它们的攻击面比虚拟机要小。如果一个容器存在漏洞，它很可能存在于其中运行的应用程序中，如果它在 VM 或实际系统中运行，那么该漏洞就会存在。

但是容器共享一个底层操作系统。它们通过内核而不是管理程序相互隔离。使用 Docker，它们被 Linux 内核隔离，而 Linux 内核过去也存在漏洞。Docker 也存在漏洞，例如 Doki 恶意软件利用 Linux 内核缺陷来定位容器。

如果攻击者破坏了一个容器，他们仍然比在类似情况下影响虚拟机更有可能影响其他容器。要重用上面的示例，他们可以发起可能损害底层操作系统或其他容器的 DOS 攻击。

哪一个更好？

这是一个错误的问题，如果你根据它们的安全性来选择虚拟机或容器，你就忽略了它们不是同一个工具的事实。

总的来说，两种虚拟化技术都享有大致相同的安全级别。它们是非常不同的工具，您需要采取的预防措施取决于工具以及您打算如何使用它。

谢谢大家阅读，喜欢的朋友请关注点赞转发，带你了解最新技术趋势。