Laufzeitsicherheit

Die Laufzeitsicherheit schützt Container, während sie tatsächlich ausgeführt werden, nicht nur vor ihrem Start.

Beim Scannen werden Probleme im Image erkannt; die Laufzeitsicherheit überwacht Angriffe während des laufenden Betriebs.

Auch ein vollständig geprüftes Image kann zur Laufzeit angegriffen werden.

Angreifer nutzen Fehler aus, missbrauchen Zugangsdaten oder lösen nach dem Start des Containers unerwartetes Verhalten aus, das durch Scans allein nicht erkannt werden kann.

Die einfachste Absicherung zur Laufzeit besteht darin, Root zu vermeiden.

Definieren Sie einen Nicht-Root-Benutzer, damit ein kompromittierter Prozess nur über eingeschränkte Rechte verfügt:

Fügen Sie dies Ihrem Image hinzu; der Container wird dann ohne privilegierte Rechte ausgeführt.

Die meisten Anwendungen müssen nicht in ihr eigenes Dateisystem schreiben.

Wenn es schreibgeschützt ist, können Angreifer keine schädlichen Dateien ablegen:

Linux-Capabilities gewähren fein abgestufte Berechtigungen. Container benötigen nur selten alle davon.

Verwerfen Sie zunächst alle und fügen Sie anschließend nur die benötigten wieder hinzu:

Limits verhindern, dass ein Container anderen Ressourcen entzieht.

Das schützt den Host vor versehafter oder böswilliger Ressourcenerschöpfung.

Seccomp schränkt ein, welche Systemaufrufe ein Container verwenden darf.

Das Blockieren gefährlicher Systemaufrufe verkleinert die Angriffsfläche, selbst wenn die Anwendung kompromittiert wurde. Die meisten Laufzeitumgebungen liefern ein sinnvolles Standardprofil mit.

Laufzeittools überwachen, was ein Container tatsächlich tut.

Ein Tool wie Falco kann alarmieren, wenn etwas Unerwartetes geschieht, etwa wenn eine Shell in einem Webcontainer gestartet wird.

Ein laufender Container sollte sich wie sein Image verhalten. Wenn neue Binärdateien auftauchen oder unerwartete Prozesse gestartet werden, handelt es sich um Drift.

Drift deutet häufig darauf hin, dass sich ein Angreifer Zugang verschafft hat.

Wenn die Laufzeitüberwachung einen Angriff erkennt, können Sie schnell reagieren:

• Beenden Sie den verdächtigen Prozess
• Isolieren Sie den Container vom Netzwerk
• Ersetzen Sie ihn durch eine neue, saubere Instanz

Ein robustes Vorgehensmuster besteht darin, Container als unveränderlich zu behandeln: Patchen Sie niemals einen laufenden Container, sondern ersetzen Sie ihn einfach.

So bleibt jeder Container sauber, und die dauerhafte Präsenz eines Angreifers wird erheblich erschwert.

Welche Laufzeiteinstellung verringert den Schaden am stärksten, wenn ein Containerprozess kompromittiert wird?

Laufzeitsicherheit schützt laufende Container durch Nicht-Root-Benutzer, schreibgeschützte Dateisysteme, entfernte Capabilities, Ressourcenlimits, Seccomp und Verhaltensüberwachung.

Behandeln Sie Container als unveränderlich und reagieren Sie schnell auf erkannte Bedrohungen.