中国联合网络通信有限公司研究院、联通数字科技有限公司、中国联通福建 省分公司、北京神州绿盟科技有限公司、北京小佑网络科技有限公司、中兴通讯 股份有限公司 专家顾问： 叶晓煜、张建荣、徐雷、潘松柏、冯强、张曼君、傅瑜、葛然、张小梅、徐 积森、滕开清 编写成员： 丁攀、郭新海、王戈、刘安、蓝鑫冲、牛金乐、李安坤、王琦、汤旭、雷新、 浦明、张小勇、白黎明、左伟震、范璟玮、许秀莉 云原生安全威胁分析与能力建设白皮书 要包括容器网络内部攻击和容器网络外部攻击。 容器网络内部，由于网络流量不通过物理网卡而在宿主机内部的容器通信， 存在容器虚拟网络间的 DoS 攻击风险。容器网络外部，由于宿主机上的所有容 器共享物理网卡资源，若外部攻击者向某一个目标容器发送大量数据包进行 DDoS 攻击，将可能占满宿主机的网络带宽资源，造成宿主机和其他容器的拒绝 服务。 2.4 路径 3：编排工具攻击 编排工具的工作依赖于容器及容器镜像技术，所以用户在使用编排工具时， 或者具体的使用场景而未进行身份认证。身份认证的缺失导致相关 API 可被任 意访问，若相关 API 涉及敏感数据则会埋下严重的数据泄漏的隐患。 输入参数未校验导致的攻击：API 的参数组合及各参数值类型相对固定，这 些参数也决定着 API 返回的数据。若 API 未对参数值的类型进行校验则可能会 被攻击者利用来进行注入类攻击；若攻击者未将参数与用户身份进行关联则可能 会导致越权类攻击。 明文传输导致的攻击：API