Prepričan sem, da se vam je to že zgodilo: poskušate sestaviti posodo za osebno uporabo in jo želite narediti varnejšo z uporabo neprivilegirani zabojniki In nenadoma se znajdete ujeti v labirintu napak pri dovoljenjih. Frustrirajoče je porabiti ure za konfiguriranje map v domačem imeniku uporabnika, le da nato odkrijete, da vsebnik ne more pisati vanje ali da so, ko to počne, nastale datoteke na gostitelju poškodovane. nemogoče upravljati ker pripadajo fantomskemu uporabniku.
Resničnost je, da je kontejnerizacija sicer pospešila dobavo programske opreme, a hkrati odprla vrata precejšnjim tveganjem. Glede na nedavne podatke velika večina produkcijskih slik vsebuje [nejasno - morda "nejasno" ali "nejasno"] kritične ranljivostiZaradi tega je varnost nepogrešljiv steber. Ne gre le za preprečevanje napadov hekerjev, temveč za razumevanje delovanja sistema. izolacija procesa da naša infrastruktura ne postane sito.
Razumevanje ekosistema varnosti kontejnerjev
Da nehamo ugibati z dovoljenji, moramo najprej vedeti, kaj ščitimo. Arhitektura vsebnika je razdeljena na več kritičnih plasti. Najprej imamo slika posodekar je prvotni načrt; če je to ranljivo, bodo vsi primerki, ki jih boste uvedli, nezaščiteni. Zato je ključnega pomena, da uporabite zaupanja vredne osnovne slike in jih redno posodabljajte.
Potem pa čas izvajanjaki deluje kot arbiter med gostiteljskim operacijskim sistemom in aplikacijo. Če je izvajalno okolje zastarelo, obstaja tveganje za pobeg iz zabojnika dramatično poveča. K temu moramo dodati orkestracijo, kot je Kubernetes, kjer nadzor dostopa na podlagi vlog (RBAC) To je edina resnična ovira pred nepooblaščenim dostopom do API-ja za upravljanje.
Ne moremo pozabiti na gostiteljski operacijski sistemČe napadalcu uspe ogroziti jedro gostitelja, ima ključe do celotne domene. Priporočilo je tukaj jasno: uporabite minimalni operacijski sistem da se zmanjša površina napada. Nenazadnje je omrežje najpogostejša vstopna točka; skoraj 30 % kršitev se zgodi zaradi napak v povezavi, zato segmentacija omrežja in šifriranje TLS/SSL So obvezne.
Glavobol dovoljenj in uporabnika root
Tipična težava za hobiste je potek dela z nosilci podatkov. Ustvarite mapo, jo priklopite in nato, bum!, napaka. dovoljenje zavrnjenoTo se zgodi, ker se veliko vsebnikov privzeto zažene kot root. Ko poskušate vsiliti UID in GID pri 0 Če želite, da se ujemajo z vašim gostiteljskim uporabnikom, ustvarjate nevaren most. Če vam vsebnik ne omogoča konfiguracije teh ID-jev, boste na koncu zapravili popoldne, ko boste poskušali ugotoviti, katerega notranjega uporabnika aplikacija uporablja za izvajanje chown priročnik.
Učinkovita rešitev je uporaba načelo najmanjših privilegijevNe smete zagnati ničesar kot root, razen če je to nujno potrebno. Če želite rešiti težavo datotek, ustvarjenih v vsebnikih, ki jih ne morete izbrisati na gostitelju, je nujno konfigurirati datoteko Dockerfile z naslednjim navodilom: UPORABNIK, pri čemer se pred zagonom aplikacije definira uporabnik brez privilegijev.
Če uporabljate Podman, koncept posode brez korenin Je izvorno in zelo uporabno, vendar zahteva razumevanje, kako so uporabniki gostitelja preslikani v uporabnike vsebnika. Da preprečite, da bi dovoljenja ušla izpod nadzora, bi morala biti aplikacija idealno zasnovana tako, da piše v določene poti in da kartiranje volumna To se naredi glede na dejanski UID uporabnika, ki zažene postopek.
Strategije za gradnjo oklepnih slik
Če želite prenehati trpeti, morate spremeniti način, kako konstruirate svoje podobe. Ena brutalno učinkovita tehnika je ... večstopenjske gradnjeV bistvu uporabite težko sliko z vsemi orodji za gradnjo za ustvarjanje binarne datoteke in nato kopirate samo to datoteko v končno sliko. izredno lahka.
S sliko lahko greste še dlje praskaTo ustvari vsebnik, ki nima absolutno ničesar: nobene lupine, nobenega upravljalnika paketov, samo vašo aplikacijo. Zaradi tega je napadalcu praktično nemogoče izvajati zlonamerne ukaze, če mu uspe vdreti, saj Ni interpreterja ukazov na voljo.
Drug varnostni ukrep je čiščenje slike katere koli binarne datoteke z dovoljenji setuid ali setgidTa dovoljenja omogočajo izvajanje datoteke s privilegiji lastnika datoteke in ne uporabnika, ki jo je zagnal, kar je avtocesta za ... stopnjevanje privilegijevPreprost ukaz za iskanje in odstranjevanje teh bitov med gradnjo slike vam lahko prihrani veliko težav.
Nevarnosti privilegiranega načina in zmogljivosti Linuxa
Včasih iz obupa, ker ne moremo rešiti težave z dovoljenji, pademo v skušnjavo, da uporabimo zastavico –privilegiranPozabite na to. Privilegiran način prekine izolacijo vsebnika in vam omogoči poln dostop do gostiteljevih naprav. To je kot da bi neznancu dali ključe svoje hiše samo zato, ker ni vedel, kako odpreti vrtna vrata.
Namesto tega bi se morali igrati z Zmogljivosti LinuxaDocker dodeli niz privzetih dovoljenj (kot sta CAP_CHOWN ali CAP_NET_RAW). Če vaša aplikacija ne potrebuje manipulacije z omrežjem na nizki ravni, je najpametnejši pristop odpraviti nepotrebne zmogljivosti in dodajte le tiste, ki jih nujno zahteva --cap-add.
Za tiste, ki upravljajo z resnejšimi okolji, obstajajo vtičniki za avtorizacijo kot na primer opa-docker-authz. Ti omogočajo prestrezanje klicev API-ju Dockerjevega demona in blokiranje vsakega poskusa zagona vsebnika v privilegiranem načinu, s čimer se zagotovi, da nihče, niti po pomoti, ne pusti odprtih vrat do gostitelja.
Optimizacija in vzdrževanje okolja
Pri uporabi Alpine Linuxa se ne obremenjujte z velikostjo slike 5 MB, če to povzroča težave z združljivostjo s knjižnicami. Včasih je nekoliko večja slika Debiana boljša. stabiliziran in znan s strani ekipe. Ključnega pomena je izvajanje skeniranje ranljivosti Avtomatiziran cevovod CI/CD za zaznavanje CVE, preden slika doseže produkcijo.
Kar zadeva shranjevanje, preprečuje aplikaciji pisanje v korenski datotečni sistem. Konfigurirajte datotečni sistem samo za branje (rootfs) in definira določene nosilce podatkov samo za podatke, ki jih je treba hraniti. To ni le varnejše, ampak tudi sili k čistejši arhitekturi in brez posestvaolajšanje horizontalnega skaliranja.
Za načrtovane procese ne postavljajte opravila cron v vsebnik spletnega mesta. Zlato pravilo je en postopek na posodoNajčistejši pristop je, da s sliko aplikacije zaženete efemerni vsebnik, ki izvede nalogo in se nato uniči, ali pa upravljate cron z gostitelja tako, da kličete mehanizem vsebnika z ukazi.
Varnost vsebnikov je nenehen proces, ki vključuje odpravo root dostopa, omejevanje zmogljivosti jedra in odstranjevanje nepotrebnih orodij iz slik vsebnikov. Z združevanjem neprivilegiranih uporabnikov z utrjevanjem izvajalnega okolja in stalnim spremljanjem se doseže okolje, kjer funkcionalnost ne ogroža integritete gostiteljskega sistema.
Strasten pisec o svetu bajtov in tehnologije nasploh. Rad delim svoje znanje s pisanjem in to je tisto, kar bom počel v tem blogu, saj vam bom pokazal vse najbolj zanimive stvari o pripomočkih, programski opremi, strojni opremi, tehnoloških trendih in še več. Moj cilj je, da vam pomagam krmariti po digitalnem svetu na preprost in zabaven način.