Уверен, с вами такое тоже случалось: вы пытаетесь собрать контейнер для личного пользования и хотите сделать его более безопасным в использовании. непривилегированные контейнеры И вдруг вы оказываетесь в ловушке лабиринта ошибок доступа. Очень неприятно потратить часы на настройку папок в домашнем каталоге пользователя, только чтобы обнаружить, что контейнер не может в них записывать данные, или что, когда это удается, результирующие файлы на хосте оказываются поврежденными. невозможно управлять потому что они принадлежат фантомному пользователю.
В действительности, хотя контейнеризация ускорила доставку программного обеспечения, она также открыла двери для значительных рисков. Согласно последним данным, подавляющее большинство образов для производственной среды содержат [неясно - возможно, «неясно» или «неясно»] критические уязвимостиЭто делает безопасность основополагающим принципом, не подлежащим обсуждению. Речь идёт не только о предотвращении хакерских атак, но и о понимании того, как работает система. изоляция процесса чтобы наша инфраструктура не превратилась в решето.
Понимание экосистемы безопасности контейнеров
Чтобы перестать гадать о правах доступа, нам сначала нужно понять, что именно мы защищаем. Архитектура контейнера разделена на несколько критически важных уровней. Во-первых, у нас есть изображение контейнераЭто и есть первоначальный план; если он уязвим, все развернутые вами экземпляры будут небезопасны. Вот почему крайне важно использовать надежные базовые образы и держать их в курсе событий.
Затем среда выполнениякоторая выступает в роли арбитра между операционной системой хоста и приложением. Если среда выполнения устарела, возрастает риск возникновения проблем. побег из контейнера резко возрастает. К этому необходимо добавить оркестровку, например, Kubernetes, где управление доступом на основе ролей (RBAC) Это единственная реальная защита от несанкционированного доступа к API управления.
Мы не можем забыть хостовая операционная системаЕсли злоумышленнику удастся скомпрометировать ядро хоста, он получит доступ ко всему домену. Рекомендация здесь ясна: используйте минимальная операционная система чтобы уменьшить поверхность атаки. Наконец, сеть является наиболее распространенной точкой входа; почти 30% взломов происходят из-за сбоев в соединении, поэтому сегментация сети и шифрование TLS/SSL Они обязательны.
Проблемы с правами доступа и пользователем root.
Типичная проблема для любителей — это работа с томами. Вы создаете папку, монтируете ее, и тут — бац! — ошибка. доступ запрещенЭто происходит потому, что по умолчанию многие контейнеры запускаются от имени root. Когда вы пытаетесь принудительно запустить их... UID и GID равны 0 Чтобы они соответствовали пользователю хоста, вы создаёте опасный мост. Если контейнер не позволяет настраивать эти идентификаторы, вы потратите целый день, пытаясь выяснить, какого внутреннего пользователя использует приложение для выполнения какой-либо операции. chown руководство.
Эффективным решением является применение принцип наименьших привилегийНе следует запускать ничего от имени root, если это не абсолютно необходимо. Для решения проблемы с файлами, созданными контейнером, которые нельзя удалить на хосте, необходимо настроить Dockerfile, используя следующую инструкцию: USER, определяя пользователя без привилегий до запуска приложения.
Если вы используете Podman, то концепция контейнеры без корней Это встроенная функция, очень полезная, но требует понимания того, как пользователи хоста сопоставляются с пользователями контейнера. Чтобы предотвратить выход прав доступа из-под контроля, в идеале приложение должно быть спроектировано таким образом, чтобы записывать данные в определенные маршруты, и чтобы... объемное картирование Это делается с учетом реального UID пользователя, запускающего процесс.
Стратегии создания бронированных образов
Если вы хотите прекратить страдания, вам нужно изменить подход к созданию изображений. Один из невероятно эффективных методов — это… многоэтапные сборкиПо сути, вы используете образ с большим объемом данных и всеми инструментами сборки для генерации бинарного файла, а затем копируете только этот файл в итоговый образ. очень легкий.
Вы можете пойти еще дальше, используя изображение. поцарапатьЭто создает контейнер, в котором абсолютно ничего нет: ни оболочки, ни менеджера пакетов, только ваше приложение. Это делает практически невозможным выполнение вредоносных команд злоумышленником, если ему удастся проникнуть внутрь, поскольку Интерпретатор команд отсутствует. в наличии.
Еще одна мера безопасности — очистка образа от любых бинарных файлов с соответствующими правами доступа. setuid или setgidЭти права доступа позволяют запускать файл с привилегиями владельца файла, а не пользователя, который его запускает, что открывает путь для... повышение привилегийПростая команда для поиска и удаления этих битов во время создания образа может избавить вас от множества проблем.
Опасности привилегированного режима и возможности Linux
Иногда, от отчаяния из-за невозможности решить проблему с правами доступа, мы поддаемся искушению использовать флаг. –привилегированныйЗабудьте об этом. Привилегированный режим нарушает изоляцию контейнера и предоставляет вам полный доступ к устройствам хоста. Это всё равно что отдать ключи от дома незнакомцу только потому, что он не знал, как открыть садовую калитку.
Вместо этого вам следует поиграть с возможности LinuxDocker назначает набор разрешений по умолчанию (например, CAP_CHOWN или CAP_NET_RAW). Если вашему приложению не требуется манипулировать сетью на низком уровне, наиболее разумный подход — это исключить ненужные возможности и добавлять только те, которые строго необходимы --cap-add.
Для тех, кто работает в более серьезных условиях, существуют следующие варианты. плагины авторизации например, opa-docker-authz. Они позволяют перехватывать вызовы к API демона Docker и блокировать любые попытки запуска контейнера в привилегированном режиме, гарантируя, что никто, даже по ошибке, не оставит доступ к хосту открытым.
Оптимизация и поддержание окружающей среды
Не стоит зацикливаться на размере образа в 5 МБ при использовании Alpine Linux, если это вызывает проблемы совместимости с библиотеками. Иногда предпочтительнее использовать немного больший образ Debian. стабилизированный и известный командой. Критически важно внедрить сканирование уязвимостей Автоматизированный конвейер CI/CD для обнаружения уязвимостей CVE до того, как образ попадет в производственную среду.
Что касается хранилища, это предотвращает запись приложения в корневую файловую систему. Настройте файловая система только для чтения (rootfs) и определяет конкретные тома только для тех данных, которые необходимо сохранить. Это не только повышает безопасность, но и способствует созданию более чистой архитектуры. без имениясодействие горизонтальному масштабированию.
Для запланированных процессов не следует помещать cron-задание внутрь контейнера веб-сайта. Золотое правило таково: один процесс на контейнерНаиболее чистый подход — использовать образ вашего приложения для запуска временного контейнера, который выполняет задачу, а затем уничтожает себя, или управлять cron с хоста, вызывая движок контейнеров с помощью команд.
Безопасность контейнеров — это непрерывный процесс, включающий в себя устранение доступа с правами root, ограничение возможностей ядра и удаление ненужных инструментов из образов контейнеров. Сочетание защиты непривилегированных пользователей с усилением безопасности во время выполнения и постоянным мониторингом позволяет создать среду, в которой функциональность не ставит под угрозу целостность хост-системы.
Страстный писатель о мире байтов и технологий в целом. Мне нравится делиться своими знаниями в письменной форме, и именно этим я и займусь в этом блоге: покажу вам все самое интересное о гаджетах, программном обеспечении, оборудовании, технологических тенденциях и многом другом. Моя цель — помочь вам ориентироваться в цифровом мире простым и интересным способом.