docker host网络模式不产生独立日志，但必须审计其启用行为、安全影响及运行上下文——因其绕过网络栈、共享宿主机命名空间且等同root权限执行，需满足等保2.0 8.1.5等合规要求。
Docker 主机网络模式（--network=host）本身不产生独立日志，但它的使用行为、安全影响和运行时上下文必须纳入审计范围——因为该模式绕过 Docker 网络栈，容器直接共享宿主机网络命名空间，等同于在宿主机上以 root 权限执行进程。合规审计（如等保2.0 8.1.5、PCI-DSS 2.2）明确要求记录“特权网络配置变更”及“非隔离网络行为”。
关键审计目标不是“抓 host 模式流量”，而是“确认谁、何时、为何启用 host 模式，并验证其必要性与风险控制”。
✅ 审计容器是否使用 host 网络模式
最直接方式是检查容器启动参数或运行时元数据：
# 查看所有正在运行的容器及其网络模式
docker ps --format "{{.ID}}\t{{.Names}}\t{{.Networks}}" | grep -i host
# 查看某容器详细网络配置（含 NetworkMode 字段）
docker inspect -f '{{.HostConfig.NetworkMode}}' <container-id>
# 输出为 "host" 即命中</container-id>
⚠️ 注意：
docker ps的Networks列可能显示为空或host，但真实值以inspect输出为准。
✅ 在 daemon 层强制标记并记录 host 模式使用行为
仅靠 inspect 是事后查，无法满足“操作留痕”要求。需让 daemon 主动记录：
-
启用结构化日志驱动（如
json-file），并在启动容器时注入可审计标签：
// /etc/docker/daemon.json
{
"log-driver": "json-file",
"log-opts": {
"max-size": "10m",
"max-file": "5",
"labels": "com.docker.network.mode,io.docker.audit.reason"
}
}
- 启动容器时显式打标（便于日志过滤）：
docker run -d \ --network=host \ --label com.docker.network.mode=host \ --label io.docker.audit.reason="legacy-service-binding-to-localhost" \ nginx
这样 docker logs 或采集工具（如 Fluent Bit）就能提取 com.docker.network.mode=host 字段，结合时间戳、用户、主机名，形成完整审计事件。
✅ 审计宿主机层面的网络行为异常（补充 host 模式风险）
host 模式下，容器内进程调用 bind(0.0.0.0:80)、listen()、connect() 等系统调用，实际发生在宿主机上下文中。需通过 auditd 捕获：
# 监控 bind/listen/connect 等敏感 socket 调用（尤其对特权端口） sudo auditctl -a always,exit -F arch=b64 -S bind,listen,connect -F uid!=0 -k net_host_mode # 补充监控 docker 进程自身是否调用 clone/fork 创建 host-network 命名空间 sudo auditctl -a always,exit -F arch=b64 -S clone -F key=container_start_host
audit 日志中重点关注：
-
comm: 实际发起调用的命令（如dockerd、curl、python3） -
addr: 绑定或连接的目标 IP 和端口（如127.0.0.1:9000） -
syscall:bind/listen/connect -
success=yes/no+res=0/-13（权限拒绝）
✅ 配合 Falco 实时检测 host 模式滥用
Falco 规则可主动告警非预期 host 模式行为：
# falco_rules.yaml - rule: Launch Container with Host Networking desc: Container started with --network=host, bypassing network isolation condition: container and container.host_network=true and not proc.name in (shell, init, systemd) output: "Container %container.id (%container.image.repository) launched with host networking (user=%user.name)" priority: CRITICAL tags: [network, container]
配合 falco -r falco_rules.yaml 运行，输出可对接 Syslog/Kafka，实现秒级响应。
✅ 审计闭环：定期核查 + 自动阻断（可选）
-
定期扫描脚本示例（每日 cron）：
# 找出近24小时所有 host 模式容器，并检查是否带审批标签 docker ps -q --filter "status=running" | xargs -I{} sh -c ' \ mode=$(docker inspect -f "{{.HostConfig.NetworkMode}}" {} 2>/dev/null); \ if [ "$mode" = "host" ]; then \ labels=$(docker inspect -f "{{json .Config.Labels}}" {} 2>/dev/null); \ echo "$(date -Iseconds) {} $mode $labels"; \ fi' >> /var/log/docker-host-audit.log 准入控制（推荐）：通过 OPA/Gatekeeper 或 Docker daemon 的
authorization plugin拦截无审批的 host 模式启动请求，从源头降低风险。
不复杂但容易忽略。
