容器是沙盒技术的典型代表,其原理是通过在操作系统层虚拟化,可以同时部署与外界隔离的虚拟化环境。Docker是目前最具代表性、使用最广泛的容器技术。与传统虚拟机相比,容器技术的优势是对硬件资源的调度和分配更加方便快捷,效率显著提升,但其安全性特别是隔离性与传统虚拟机存在一定的差距,因此正面临着越来越多的网络攻击和安全威胁。系统调用分析是一种行为恶意软件检测技术,本论文提出使用系统调用分析的方法来检测容器发生的异常,通过监视容器内进程系统调用,以识别生产环境中的受感染容器。基于上述的方法和模型,本文设计并实现了一个基于系统调用的容器异常识别系统,本系统基于Docker容器,需要为容器内正常部署运行的应用程序行为建立进程特征树,然后将测试进程的系统调用特征信息与之比较,如果不能找到其相应的位置,则判定该进程的行为发生了异常。本文的容器异常检测系统主要包括两种思路,基于系统调用序列频率特征的方法和基于重复子序列特征的方法,基于重复子序列特征的方法包括Teiresias提取算法和定长的特征提取方法,需要同时使用这两种方法来判别是否发生异常。两种方法从两个不同的维度去分析系统调用序列的行为特征。对测试应用程序进行识别的主要思路是,首先需要获取其系统调用信息,然后提取其上述两方面的行为特征,与正常部署的进程特征进行比较判断是否发生异常,同时还需要确认该进程的父进程是否位于特征树的相应位置,目的是为了排除一些特征树中存在但是属于异常的行为,比如恶意删除,能显著降低误报率。最后,本文对于基于系统调用序列频率特征的方法和基于重复子序列特征的方法的有效性进行了验证,实验结果表明该方法是合理且有效的,同时在实际部署的容器中模拟正常行为和恶意行为,从而对本异常识别系统的功能进行了评估,结果表明该系统在识别各种异常应用程序或恶意样本时表现良好。