Container-Sicherheit zur Laufzeit

Willkommen bei der Laufzeitsicherheit von Containern! Sichere Images zu erstellen, ist entscheidend. Doch was geschieht, sobald Ihr Container ausgeführt wird?

Diese Lektion konzentriert sich auf bewährte Methoden, um Ihre Anwendungen zu schützen, während sie aktiv sind, und mögliche Schäden durch Schwachstellen oder Angriffe zu begrenzen.

Ein grundlegendes Sicherheitskonzept ist das Prinzip der geringsten Privilegien. Es bedeutet, einer Entität (z. B. einem Container oder Benutzer) nur die Berechtigungen zu erteilen, die für ihre Funktion unbedingt erforderlich sind, und keine weiteren.

Dadurch wird die Angriffsfläche reduziert und die Auswirkung eines kompromittierten Containers begrenzt.

Standardmäßig werden Prozesse innerhalb eines Docker-Containers als Benutzer root ausgeführt, der innerhalb des Containers über vollständige Administratorrechte verfügt.

• Risiko: Erlangt ein Angreifer die Kontrolle über einen Container mit Root-Rechten, könnte er möglicherweise Schwachstellen im Docker-Daemon oder Kernel ausnutzen, um Root-Zugriff auf dem Hostsystem zu erhalten.
• Bewährte Methode: Führen Sie Ihre Container-Prozesse immer als Benutzer ohne Root-Rechte aus.

Sie können mit dem Flag --user von docker run einen Benutzer (anhand seines Namens oder seiner UID) für Ihren Container-Prozess angeben. Hier führen wir den Befehl id in einem Alpine-Container als Benutzer 1000 aus.

Falls der Benutzer 1000 nicht existiert, verwendet Docker trotzdem diese UID.

Herkömmliche Linux-Systeme haben einen Root-Benutzer nach dem Prinzip „alles oder nichts“. Linux-Capabilities unterteilen die mächtigen Root-Berechtigungen in kleinere, voneinander getrennte Einheiten.

Dadurch kann ein Prozess nur über die spezifischen Root-ähnlichen Berechtigungen verfügen, die er benötigt (z. B. das Binden an niedrige Ports oder den Zugriff auf das Netzwerk auf niedriger Ebene), ohne vollständige Root-Rechte zu besitzen.

Docker-Container werden standardmäßig mit einer großen Anzahl von Capabilities ausgeführt. Mit --cap-drop können Sie nicht benötigte Capabilities entfernen und dadurch weiter einschränken, was ein Container tun darf.

Hier entfernen wir die Capability NET_RAW. Der Befehl ping, der NET_RAW benötigt, schlägt anschließend fehl, wodurch die Einschränkung sichtbar wird.

Container teilen sich den Kernel und die Ressourcen des Hosts. Eine unkontrollierte Ressourcennutzung durch einen Container kann zu einem Denial of Service (DoS) für andere Container oder sogar für den Host selbst führen.

• CPU-Limits: Verhindern, dass ein Container die CPU-Kapazität vollständig beansprucht.
• Speicherlimits: Verhindern, dass ein Container den gesamten verfügbaren Arbeitsspeicher verbraucht und dadurch die Systemstabilität beeinträchtigt.

Mit docker run können Sie CPU- und Speicherlimits direkt festlegen. Dieses Beispiel begrenzt den Speicher auf 128 MB und die CPU-Nutzung auf 0,5 (die Hälfte eines CPU-Kerns).

Dadurch verhält sich Ihr Container angemessen und entzieht anderen Prozessen keine Ressourcen.

Viele Anwendungen müssen nach dem Start nicht in ihr Root-Dateisystem schreiben. Wenn Sie das Dateisystem schreibgeschützt machen, ergeben sich erhebliche Sicherheitsvorteile:

• Schutz vor Manipulation: Ein Angreifer kann vorhandene Dateien nicht ändern und keine neuen schädlichen Dateien schreiben.
• Begrenzte Persistenz: Alle vorgenommenen Änderungen sind flüchtig und gehen beim Neustart des Containers verloren.
• Unveränderlichkeit erzwingen: Dies unterstützt ein Design, bei dem Container kurzlebig und Konfigurationen extern verwaltet sind.

Verwenden Sie beim Starten eines Containers das Flag --read-only. Jeder Versuch, in das Dateisystem des Containers zu schreiben (außerhalb ausdrücklich eingebundener Volumes), schlägt fehl.

Versuchen Sie, in diesem schreibgeschützten Container eine Datei zu erstellen:

Welche der folgenden Maßnahmen sind bewährte Methoden, um Container zur Laufzeit abzusichern?

Sehr gut! Sie haben gelernt, wie Sie die Sicherheit von Containern während ihrer Ausführung verbessern:

• Geringste Privilegien: Erteilen Sie nur die erforderlichen Berechtigungen.
• Benutzer ohne Root-Rechte: Vermeiden Sie es, Prozesse als root auszuführen.
• Capabilities: Entfernen Sie nicht benötigte Linux-Capabilities.
• Ressourcenlimits: Begrenzen Sie die CPU- und Speichernutzung.
• Schreibgeschützt: Machen Sie Dateisysteme unveränderlich, um Schreibvorgänge zu verhindern.

Diese Maßnahmen reduzieren die Angriffsfläche und die Auswirkungen möglicher Sicherheitsverletzungen erheblich. Üben Sie weiter!