أنا متأكد من أن هذا قد حدث لك: تحاول تجميع حاوية للاستخدام الشخصي، وتريد جعلها أكثر أمانًا باستخدام الحاويات غير المميزة وفجأة، تجد نفسك عالقًا في متاهة من أخطاء الأذونات. من المحبط قضاء ساعات في تهيئة المجلدات في دليل المستخدم الرئيسي لتكتشف في النهاية أن الحاوية لا تستطيع الكتابة إليها، أو أنه عندما تفعل ذلك، تكون الملفات الناتجة على المضيف تالفة. من المستحيل إدارتها لأنها تنتمي إلى مستخدم وهمي.
الحقيقة هي أنه على الرغم من أن تقنية الحاويات قد سرّعت من وتيرة تسليم البرمجيات، إلا أنها فتحت الباب أمام مخاطر كبيرة. ووفقًا لبيانات حديثة، فإن الغالبية العظمى من صور الإنتاج تحمل [غير واضح - ربما "غير واضح" أو "غير واضح"]. نقاط الضعف الحرجةوهذا يجعل الأمن ركيزة أساسية لا تقبل المساومة. فالأمر لا يقتصر على منع المتسللين من مهاجمتنا فحسب، بل يتعلق أيضاً بفهم كيفية عمل النظام. عزل العملية حتى لا تصبح بنيتنا التحتية بمثابة غربال.
فهم النظام البيئي لأمن الحاويات
للتوقف عن التخمين فيما يتعلق بالأذونات، نحتاج أولاً إلى معرفة ما نحميه. ينقسم هيكل الحاوية إلى عدة طبقات أساسية. أولاً، لدينا صورة الحاويةوهي المخطط الأصلي؛ إذا كان هذا المخطط عرضة للاختراق، فستكون جميع النسخ التي تنشرها غير آمنة. لهذا السبب من الضروري استخدام صور القاعدة الموثوقة وحافظ على تحديثها باستمرار.
ثم وقت التشغيلوالذي يعمل كوسيط بين نظام التشغيل المضيف والتطبيق. إذا كان وقت التشغيل قديمًا، فإن خطر حدوث هروب الحاوية يزداد هذا الارتفاع بشكل كبير. إلى جانب ذلك، يجب أن نضيف التنسيق، مثل Kubernetes، حيث التحكم في الوصول القائم على الأدوار (RBAC) إنه الحاجز الحقيقي الوحيد ضد الوصول غير المصرح به إلى واجهة برمجة التطبيقات الإدارية.
لا يمكننا أن ننسى نظام التشغيل المضيفإذا تمكن المهاجم من اختراق نواة النظام المضيف، فإنه يمتلك مفاتيح الوصول إلى النطاق بأكمله. التوصية هنا واضحة: استخدم الحد الأدنى من نظام التشغيل لتقليل مساحة الهجوم. وأخيرًا، تُعد الشبكة نقطة الدخول الأكثر شيوعًا؛ إذ تحدث حوالي 30% من الاختراقات بسبب أعطال الاتصال، لذا تجزئة الشبكة وتشفير TLS/SSL فهي إلزامية.
مشكلة الأذونات ومستخدم الجذر
المشكلة الشائعة التي تواجه الهواة هي سير العمل مع وحدات التخزين. تقوم بإنشاء مجلد، ثم تقوم بتثبيته، وفجأة، يظهر خطأ! تم رفض الإذنيحدث هذا لأن العديد من الحاويات تبدأ افتراضيًا بصلاحيات المستخدم الجذر. عندما تحاول فرض ذلك UID و GID عند 0 لجعلها تتطابق مع مستخدم المضيف، فأنت تُنشئ جسرًا خطيرًا. إذا لم يسمح لك الحاوية بتكوين هذه المعرفات، فسوف ينتهي بك الأمر بإضاعة فترة ما بعد الظهر في محاولة معرفة المستخدم الداخلي الذي يستخدمه التطبيق لتنفيذ عملية ما. chown كتيب.
الحل الفعال هو تطبيق مبدأ الامتياز الأقللا تُشغّل أي شيء بصلاحيات المستخدم الجذر إلا عند الضرورة القصوى. لحل مشكلة الملفات التي تُنشئها الحاوية والتي لا يمكنك حذفها على المضيف، من الضروري ضبط ملف Dockerfile وفقًا للتعليمات التالية: USER، تعريف مستخدم بدون امتيازات قبل بدء تشغيل التطبيق.
إذا كنت تستخدم بودمان، فإن مفهوم حاويات بدون جذر إنها ميزة أصلية ومفيدة للغاية، لكنها تتطلب فهم كيفية ربط مستخدمي المضيف بمستخدمي الحاوية. ولمنع خروج الأذونات عن السيطرة، يُفضل تصميم التطبيق للكتابة إلى مسارات محددة، وأن... رسم الخرائط الحجمية يتم ذلك مع الأخذ في الاعتبار المعرف الفريد الحقيقي للمستخدم الذي يقوم بتشغيل العملية.
استراتيجيات بناء صور مدرعة
إذا أردتَ التوقف عن المعاناة، فعليك تغيير طريقة تكوين صورك الذهنية. إحدى التقنيات الفعّالة للغاية هي... عمليات بناء متعددة المراحلباختصار، أنت تستخدم صورة ثقيلة الوزن تحتوي على جميع أدوات البناء لإنشاء الملف الثنائي، ثم تقوم بنسخ هذا الملف فقط إلى الصورة النهائية. خفيف للغاية.
بل يمكنك المضي قدمًا باستخدام الصورة خدشيؤدي هذا إلى إنشاء حاوية خالية تمامًا من أي شيء: لا يوجد غلاف، ولا مدير حزم، فقط تطبيقك. وهذا يجعل من المستحيل تقريبًا على المهاجم تنفيذ أوامر ضارة إذا تمكن من الدخول، لأن لا يوجد مترجم أوامر المتاحة.
ومن الإجراءات الأمنية الأخرى تنظيف صورة أي ملف تنفيذي ذي صلاحيات setuid أو setgidتسمح هذه الأذونات بتشغيل ملف بصلاحيات مالك الملف وليس المستخدم الذي يقوم بتشغيله، وهو ما يمثل ثغرة أمنية خطيرة... تصعيد الامتيازاتيمكن لأمر بسيط للبحث عن هذه الأجزاء وإزالتها أثناء إنشاء الصورة أن يوفر عليك الكثير من المتاعب.
مخاطر الوضع المميز وقدرات نظام لينكس
أحيانًا، بدافع اليأس من عدم القدرة على حل مشكلة في الأذونات، نقع في إغراء استخدام العلم -متميزانسَ أمر ذلك. وضع الامتيازات يكسر عزل الحاوية ويمنحك وصولاً كاملاً إلى أجهزة المضيف. إنه أشبه بإعطاء مفاتيح منزلك لشخص غريب لمجرد أنه لا يعرف كيف يفتح بوابة الحديقة.
بدلاً من ذلك، يجب أن تلعب مع إمكانيات نظام لينكسيُعيّن Docker مجموعة من الأذونات الافتراضية (مثل CAP_CHOWN أو CAP_NET_RAW). إذا لم يكن تطبيقك بحاجة إلى التعامل مع الشبكة على مستوى منخفض، فإنّ النهج الأمثل هو التخلص من القدرات غير الضرورية وأضف فقط ما هو مطلوب بشكل صارم من قبل --cap-add.
أما بالنسبة لأولئك الذين يديرون بيئات أكثر خطورة، فهناك إضافات المصادقة مثل opa-docker-authz. تسمح هذه الأدوات باعتراض المكالمات إلى واجهة برمجة تطبيقات Docker daemon ومنع أي محاولة لتشغيل حاوية في وضع مميز، مما يضمن عدم ترك أي شخص، حتى عن طريق الخطأ، الباب مفتوحًا للمضيف.
تحسين البيئة وصيانتها
لا تُركّز كثيرًا على حجم الصورة البالغ 5 ميجابايت عند استخدام نظام Alpine Linux إذا تسبب ذلك في مشاكل توافق مع المكتبات. أحيانًا يكون استخدام صورة Debian أكبر قليلًا أفضل. مستقر ومعروف من قبل الفريق. الأمر الحاسم هو تنفيذ مسح الثغرات الأمنية خط أنابيب CI/CD آلي لاكتشاف الثغرات الأمنية (CVEs) قبل وصول الصورة إلى مرحلة الإنتاج.
فيما يتعلق بالتخزين، يمنع هذا الإعداد التطبيق من الكتابة إلى نظام الملفات الجذر. قم بتكوين نظام ملفات للقراءة فقط (rootfs) ويحدد وحدات تخزين محددة فقط للبيانات التي يجب أن تبقى محفوظة. وهذا لا يزيد الأمان فحسب، بل يفرض أيضًا بنية أكثر وضوحًا. بلا عقاراتتسهيل التوسع الأفقي.
بالنسبة للعمليات المجدولة، لا تضع مهمة cron داخل حاوية الموقع الإلكتروني. القاعدة الذهبية هي عملية واحدة لكل حاويةإن أنقى طريقة هي استخدام صورة تطبيقك لتشغيل حاوية مؤقتة تقوم بتنفيذ المهمة ثم تدمر نفسها، أو إدارة cron من المضيف عن طريق استدعاء محرك الحاوية باستخدام الأوامر.
يُعدّ أمن الحاويات عملية مستمرة تتضمن إلغاء صلاحيات المستخدم الجذر، وتقييد إمكانيات النواة، وإزالة الأدوات غير الضرورية من صور الحاويات. ومن خلال الجمع بين المستخدمين غير المتميزين وتعزيز أمان وقت التشغيل والمراقبة المستمرة، يتم تحقيق بيئة لا تؤثر فيها الوظائف على سلامة النظام المضيف.
كاتب شغوف بعالم البايت والتكنولوجيا بشكل عام. أحب مشاركة معرفتي من خلال الكتابة، وهذا ما سأفعله في هذه المدونة، لأعرض لك كل الأشياء الأكثر إثارة للاهتمام حول الأدوات الذكية والبرامج والأجهزة والاتجاهات التكنولوجية والمزيد. هدفي هو مساعدتك على التنقل في العالم الرقمي بطريقة بسيطة ومسلية.