Best Practices für die Dockerfile-Sicherheit

Willkommen bei Best Practices für die Sicherheit von Dockerfiles! Eine sichere Anwendung beginnt mit einer sicheren Grundlage.

Ihre Dockerfile ist nicht nur ein Build-Skript, sondern auch ein Bauplan für die Sicherheit Ihrer Anwendung. Schlechte Vorgehensweisen können hier zu erheblichen Sicherheitslücken führen.

In dieser Lektion lernen Sie wichtige Strategien kennen, um Ihre Docker-Images abzusichern und potenzielle Angriffsflächen zu minimieren.

Die Anweisung FROM ist Ihre erste Verteidigungslinie. Wählen Sie immer offizielle, gut gepflegte Basis-Images aus vertrauenswürdigen Quellen wie Docker Hub.

• Offizielle Images: Diese Images sind verifiziert und werden regelmäßig aktualisiert.
• Spezifische Tags: Vermeiden Sie latest. Verwenden Sie spezifische Versions-Tags wie alpine:3.18, um Vorhersagbarkeit und Stabilität zu gewährleisten.
• Minimale Images: Entscheiden Sie sich für „slim“- oder „alpine“-Varianten. Sie enthalten weniger Pakete und somit weniger potenzielle Sicherheitslücken.

Sehen Sie, wie die Auswahl eines minimalen Basis-Images mit spezifischer Version die Sicherheit verbessern kann. Dadurch wird die Anzahl der Pakete und Tools reduziert, die für Angriffe ausgenutzt werden könnten.

Jede Datei, jedes Paket und jede Abhängigkeit, die Sie Ihrem Image hinzufügen, vergrößert dessen „Angriffsfläche“. Je weniger Software vorhanden ist, desto weniger potenzielle Sicherheitslücken gibt es.

Installieren Sie nur, was für die Ausführung Ihrer Anwendung unbedingt erforderlich ist. Entfernen Sie Build-Tools und temporäre Dateien, sobald sie nicht mehr benötigt werden.

Räumen Sie bei der Installation von Paketen immer die Caches des Paketmanagers auf und entfernen Sie unnötige Dateien. Dadurch wird das fertige Image kleiner und potenzielle Informationslecks werden beseitigt.

Verwenden Sie bei Debian-basierten Images wie Ubuntu apt-get clean und entfernen Sie /var/lib/apt/lists/* in derselben RUN-Anweisung.

Standardmäßig werden Prozesse in einem Docker-Container als Benutzer root ausgeführt. Das stellt ein erhebliches Sicherheitsrisiko dar!

Wenn ein Angreifer die Kontrolle über Ihren Container erlangt, verfügt er über Root-Berechtigungen. Dadurch könnte er möglicherweise aus dem Container ausbrechen oder das Hostsystem kompromittieren.

Erstellen Sie immer einen eigenen Benutzer ohne Root-Rechte und wechseln Sie mithilfe der Anweisung USER zu diesem Benutzer.

So erstellen Sie einen neuen Benutzer und weisen Docker an, die nachfolgenden Befehle als dieser Benutzer auszuführen. Dadurch wird der potenzielle Schaden bei einer Kompromittierung des Containers erheblich begrenzt.

Schreiben Sie niemals vertrauliche Informationen wie API-Schlüssel, Datenbankpasswörter oder private Schlüssel direkt in Ihre Dockerfile und übernehmen Sie sie auch nicht in Ihr Image.

Diese Secrets können von jeder Person mit Zugriff auf das Image leicht extrahiert werden, selbst wenn Sie sie in einem späteren Layer löschen.

Verwenden Sie stattdessen sichere Verfahren wie Docker Secrets, Umgebungsvariablen (für nicht vertrauliche Daten) oder Kubernetes Secrets zur Laufzeit.

Sowohl die Anweisungen COPY als auch ADD kopieren Dateien in Ihr Image. Aus Sicherheits- und Klarheitsgründen wird jedoch im Allgemeinen COPY bevorzugt.

• COPY: Kopiert ausschließlich lokale Dateien oder Verzeichnisse. Die Funktionsweise ist übersichtlich und vorhersehbar.
• ADD: Kann zusätzlich Dateien von URLs abrufen und komprimierte Archive (tar, gzip) automatisch entpacken. Diese zusätzlichen Funktionen bergen potenzielle Sicherheitsrisiken, etwa das Herunterladen nicht vertrauenswürdiger Inhalte oder das Entpacken schädlicher Archive.

Verwenden Sie grundsätzlich COPY, es sei denn, Sie benötigen ausdrücklich die erweiterten Funktionen von ADD und kennen die damit verbundenen Risiken.

Welche der folgenden Vorgehensweisen bei Dockerfiles ist ein entscheidender Schritt, um die Angriffsfläche zu verkleinern und potenzielle Sicherheitslücken zu minimieren?

Gut gemacht! Sie haben wichtige Best Practices für die Sicherheit von Dockerfiles kennengelernt, die die Grundlage für eine sichere Containerisierung bilden:

• Beginnen Sie mit vertrauenswürdigen, minimalen Basis-Images: Verwenden Sie offizielle, spezifische und schlanke Images.
• Minimieren Sie die Image-Größe: Installieren Sie nur das Nötige und räumen Sie nach der Installation auf.
• Führen Sie den Container als Benutzer ohne Root-Rechte aus: Begrenzen Sie die Berechtigungen, um die Auswirkungen möglicher Sicherheitsverletzungen zu reduzieren.
• Vermeiden Sie Secrets: Schreiben Sie niemals vertrauliche Daten fest in Ihre Dockerfile.
• Bevorzugen Sie `COPY` gegenüber `ADD`: Entscheiden Sie sich für die besser vorhersehbare und sicherere Anweisung `COPY`.

Durch die Anwendung dieser Vorgehensweisen verbessern Sie die Sicherheitslage Ihrer containerisierten Anwendungen erheblich!