Bedrohungen in Containern

Ein Container bündelt eine Anwendung zusammen mit ihren Abhängigkeiten, sodass sie überall auf dieselbe Weise ausgeführt wird.

Tools wie Docker haben Container populär gemacht, weil sie im Vergleich zu virtuellen Maschinen schnell starten und ressourcenschonend sind.

Im Gegensatz zu virtuellen Maschinen teilen sich Container auf demselben Host den Betriebssystemkernel.

Wenn ein Angreifer aus einem Container ausbricht, kann dieser gemeinsam genutzte Kernel als Zugang zum Host und zu anderen Containern dienen.

Viele Teams beziehen Images aus öffentlichen Registries.

Ein Image eines unbekannten Anbieters kann Malware, Hintertüren oder versteckte Cryptominer enthalten. Stellen Sie immer sicher, dass Sie die Herkunft eines Images kennen.

Selbst vertrauenswürdige Images können riskant sein, wenn sie veraltet sind.

Ein vor Monaten erstelltes Basis-Image kann bekannte Schwachstellen in seinen Bibliotheken enthalten, die bereits vor langer Zeit vom jeweiligen Upstream-Projekt behoben wurden.

Ein häufiger Fehler besteht darin, Passwörter oder API-Schlüssel fest in ein Image einzubauen.

Jeder, der das Image abruft, kann diese Secrets lesen. Durch die Untersuchung der Layer lassen sie sich leicht aufdecken:

Standardmäßig laufen Prozesse innerhalb eines Containers häufig als root.

Wird dieser Prozess kompromittiert, erhält der Angreifer innerhalb des Containers Root-Rechte, wodurch ein möglicher Ausbruch erheblich gefährlicher wird.

Flags, die zusätzliche Rechte gewähren, vergrößern die Angriffsfläche.

Das Ausführen eines Containers im privileged mode hebt den größten Teil der Isolation auf:

Vermeiden Sie dies, sofern es nicht unbedingt erforderlich ist.

Container veröffentlichen häufig Netzwerkports.

Ein unnötiger offener Port, etwa eine Datenbank, die dem Internet ausgesetzt ist, bietet Angreifern ein direktes Ziel. Veröffentlichen Sie nur Ports, die Sie tatsächlich benötigen.

Wenn Images über eine unverschlüsselte oder nicht authentifizierte Registry übertragen werden, können Angreifer sie während der Übertragung manipulieren.

Verwenden Sie vertrauenswürdige Registries mit TLS und Zugriffskontrollen.

Ein Container ohne Begrenzungen kann die gesamte CPU und den gesamten Arbeitsspeicher eines Hosts verbrauchen.

Dadurch entsteht für andere Workloads eine Denial-of-Service-Situation. Legen Sie Ressourcenlimits fest, damit ein Container die übrigen nicht verdrängt.

Das Risiko von Containern erstreckt sich über den gesamten Lebenszyklus:

• Das Image, auf dem Sie aufbauen
• Die Registry, aus der Sie es beziehen
• Die Berechtigungen, mit denen Sie es ausführen
• Der Host, den Sie gemeinsam nutzen

Jede Phase erfordert Aufmerksamkeit.

Warum ist ein Ausbruch aus einem Container häufig schwerwiegender als ein Ausbruch aus einer VM?

Zu den Bedrohungen für Container gehören nicht vertrauenswürdige Images, veraltete Basis-Images, eingebettete Secrets, die Ausführung als Root, der privilegierte Modus, offene Ports und ein gemeinsam genutzter Kernel.

Diese Risiken zu kennen, ist der erste Schritt zur Absicherung Ihrer Containerbereitstellungen.