Jestem pewien, że przydarzyło Ci się to: próbujesz złożyć pojemnik do użytku osobistego, chcesz go zabezpieczyć, używając nieuprzywilejowanych pojemników I nagle znajdujesz się w pułapce błędów uprawnień. Spędzanie godzin na konfigurowaniu folderów w katalogu domowym użytkownika jest frustrujące, tylko po to, by odkryć, że kontener nie może do nich zapisać danych, a jeśli już, to pliki wynikowe na hoście są uszkodzone. niemożliwe do opanowania ponieważ należą do użytkownika-widmo.
Rzeczywistość jest taka, że choć konteneryzacja przyspieszyła dostarczanie oprogramowania, otworzyła drzwi do znacznego ryzyka. Według najnowszych danych, zdecydowana większość obrazów produkcyjnych zawiera [niejasne – prawdopodobnie „niejasne” lub „niejasne”] krytyczne lukiTo sprawia, że bezpieczeństwo jest filarem niepodlegającym negocjacjom. Nie chodzi tylko o zapobieganie atakom hakerów, ale o zrozumienie, jak działa system. izolacja procesu aby nasza infrastruktura nie stała się sitem.
Zrozumienie ekosystemu bezpieczeństwa kontenerów
Aby przestać zgadywać z uprawnieniami, najpierw musimy wiedzieć, co chronimy. Architektura kontenera jest podzielona na kilka krytycznych warstw. Po pierwsze, mamy obraz konteneraktóry jest oryginalnym projektem; jeśli jest podatny na ataki, wszystkie wdrażane instancje będą niezabezpieczone. Dlatego tak ważne jest, aby używać zaufane obrazy bazowe i aktualizuj je.
Następnie czas wykonaniaktóry działa jako arbiter między systemem operacyjnym hosta a aplikacją. Jeśli środowisko wykonawcze jest przestarzałe, istnieje ryzyko ucieczka z kontenera wzrasta dramatycznie. Do tego musimy dodać orkiestrację, taką jak Kubernetes, gdzie kontrola dostępu oparta na rolach (RBAC) Jest to jedyna realna bariera chroniąca przed nieautoryzowanym dostępem do interfejsu API zarządzania.
Nie możemy zapomnieć o system operacyjny hostaJeśli atakujący zdoła złamać jądro hosta, będzie miał klucze do całej domeny. Zalecenie jest tu jasne: użyj minimalny system operacyjny aby zmniejszyć powierzchnię ataku. Wreszcie, sieć jest najczęstszym punktem wejścia; prawie 30% naruszeń ma miejsce z powodu awarii łączności, więc segmentacja sieci i szyfrowanie TLS/SSL Są obowiązkowe.
Ból głowy związany z uprawnieniami i użytkownikiem root
Typowym problemem hobbystów jest obieg pracy z woluminami. Tworzysz folder, montujesz go, a tu bum! – błąd. odmowa pozwoleniaDzieje się tak, ponieważ domyślnie wiele kontenerów uruchamia się jako root. Kiedy próbujesz wymusić UID i GID na poziomie 0 Aby dopasować je do użytkownika hosta, tworzysz niebezpieczny most. Jeśli kontener nie pozwala na skonfigurowanie tych identyfikatorów, stracisz popołudnie, próbując ustalić, którego użytkownika wewnętrznego używa aplikacja do wykonania… chown – instrukcja obsługi.
Skutecznym rozwiązaniem jest zastosowanie zasada najmniejszych przywilejówNie należy uruchamiać niczego jako root, chyba że jest to absolutnie konieczne. Aby rozwiązać problem plików utworzonych przez kontener, których nie można usunąć na hoście, konieczne jest skonfigurowanie pliku Dockerfile zgodnie z poniższą instrukcją: USER, definiując użytkownika bez uprawnień przed uruchomieniem aplikacji.
Jeśli używasz Podmana, koncepcja pojemniki bezkorzeniowe Jest to natywny i bardzo pomocny interfejs, ale wymaga zrozumienia, w jaki sposób użytkownicy hosta są mapowani na użytkowników kontenera. Aby zapobiec utracie kontroli nad uprawnieniami, aplikacja powinna być zaprojektowana tak, aby zapisywała do określonych tras i aby… mapowanie objętości Dokonuje się tego biorąc pod uwagę rzeczywisty UID użytkownika uruchamiającego proces.
Strategie budowania obrazów pancernych
Jeśli chcesz przestać cierpieć, musisz zmienić sposób, w jaki budujesz swoje obrazy. Jedną z brutalnie skutecznych technik jest... kompilacje wieloetapoweGeneralnie rzecz biorąc, korzystasz z dużego obrazu ze wszystkimi narzędziami do kompilacji, aby wygenerować plik binarny, a następnie kopiujesz tylko ten plik do obrazu końcowego. wyjątkowo lekki.
Możesz pójść jeszcze dalej, korzystając z obrazu zadraśnięcieTworzy to kontener, który nie zawiera absolutnie niczego: żadnej powłoki, menedżera pakietów, tylko Twoją aplikację. To praktycznie uniemożliwia atakującemu wykonanie złośliwych poleceń, jeśli uda mu się do niego włamać, ponieważ Brak interpretatora poleceń dostępny.
Innym środkiem bezpieczeństwa jest wyczyszczenie obrazu z plików binarnych z uprawnieniami setuid lub setgidUprawnienia te pozwalają na wykonanie pliku z uprawnieniami właściciela pliku, a nie użytkownika, który go uruchamia, co jest drogą do... eskalacja uprawnieńProste polecenie wyszukania i usunięcia tych bitów podczas tworzenia obrazu może oszczędzić Ci wielu kłopotów.
Zagrożenia związane z trybem uprzywilejowanym i możliwościami Linuksa
Czasami, z powodu desperacji, nie mogąc rozwiązać problemu z uprawnieniami, ulegamy pokusie użycia flagi -uprzywilejowanyZapomnij o tym. Tryb uprzywilejowany przerywa izolację kontenera i daje pełny dostęp do urządzeń hosta. To tak, jakbyś dał klucze do domu obcej osobie tylko dlatego, że nie wiedziała, jak otworzyć furtkę ogrodową.
Zamiast tego powinieneś grać z Możliwości LinuksaDocker przypisuje zestaw domyślnych uprawnień (takich jak CAP_CHOWN lub CAP_NET_RAW). Jeśli Twoja aplikacja nie musi manipulować siecią na niskim poziomie, najrozsądniejszym rozwiązaniem jest… wyeliminuj niepotrzebne możliwości i dodaj tylko te, które są ściśle wymagane --cap-add.
Dla tych, którzy zarządzają poważniejszymi środowiskami, dostępne są wtyczki autoryzacyjne takie jak opa-docker-authz. Umożliwiają one przechwytywanie wywołań API demona Dockera i blokowanie wszelkich prób uruchomienia kontenera w trybie uprzywilejowanym, gwarantując, że nikt, nawet przez pomyłkę, nie pozostawi otwartych drzwi do hosta.
Optymalizacja i utrzymanie środowiska
Nie przejmuj się rozmiarem obrazu 5 MB, jeśli używasz Alpine Linux, jeśli powoduje to problemy ze zgodnością z bibliotekami. Czasami lepiej jest użyć nieco większego obrazu Debiana. ustabilizowany i znany przez zespół. Kluczowe jest wdrożenie skanowanie podatności Zautomatyzowany proces CI/CD umożliwiający wykrywanie luk w zabezpieczeniach przed dotarciem obrazu do produkcji.
Jeśli chodzi o przechowywanie, uniemożliwia aplikacji zapisywanie danych w systemie plików głównych. Skonfiguruj system plików tylko do odczytu (rootfs) i definiuje określone woluminy tylko dla danych, które muszą być przechowywane. To nie tylko zwiększa bezpieczeństwo, ale także wymusza czystszą architekturę i bez majątkuułatwianie skalowania poziomego.
W przypadku procesów zaplanowanych nie umieszczaj zadania cron w kontenerze witryny. Złota zasada brzmi: jeden proces na kontenerNajczystszym podejściem jest użycie obrazu aplikacji do uruchomienia tymczasowego kontenera, który wykonuje zadanie, a następnie sam się niszczy, lub zarządzanie cronem z hosta poprzez wywołanie mechanizmu kontenera za pomocą poleceń.
Bezpieczeństwo kontenerów to ciągły proces, który obejmuje eliminację dostępu do roota, ograniczenie możliwości jądra i usuwanie zbędnych narzędzi z obrazów kontenerów. Łącząc użytkowników bez uprawnień z utwardzaniem środowiska wykonawczego i stałym monitorowaniem, uzyskuje się środowisko, w którym funkcjonalność nie zagraża integralności systemu hosta.
Pisarz z pasją zajmujący się światem bajtów i technologii w ogóle. Uwielbiam dzielić się swoją wiedzą poprzez pisanie i właśnie to będę robić na tym blogu, pokazywać Ci wszystkie najciekawsze rzeczy o gadżetach, oprogramowaniu, sprzęcie, trendach technologicznych i nie tylko. Moim celem jest pomóc Ci poruszać się po cyfrowym świecie w prosty i zabawny sposób.