Seguridad de contenedores en tiempo de ejecución

¡Le damos la bienvenida a la seguridad de contenedores en tiempo de ejecución! Crear imágenes seguras es fundamental, pero ¿qué sucede una vez que el contenedor está en ejecución?

Esta lección se centra en las prácticas recomendadas para proteger sus aplicaciones mientras están activas y limitar los posibles daños causados por vulnerabilidades o ataques.

Un concepto fundamental de seguridad es el principio de mínimo privilegio. Consiste en otorgar a una entidad (como un contenedor o un usuario) únicamente los permisos absolutamente necesarios para realizar su función, y ninguno más.

Aplicarlo reduce la superficie de ataque y limita el impacto en caso de que un contenedor se vea comprometido.

De forma predeterminada, los procesos dentro de un contenedor de Docker se ejecutan como el usuario root, que tiene privilegios administrativos completos dentro del contenedor.

• Riesgo: Si un atacante obtiene el control de un contenedor con privilegios de root, podría aprovechar vulnerabilidades en el daemon de Docker o en el kernel para obtener acceso root en el sistema host.
• Práctica recomendada: Ejecute siempre los procesos del contenedor como un usuario que no sea root.

Puede especificar un usuario (por nombre o UID) para el proceso del contenedor mediante la marca --user con docker run. En este caso, ejecutamos el comando id en un contenedor Alpine como el usuario 1000.

Si el usuario 1000 no existe, Docker utilizará igualmente ese UID.

Los sistemas Linux tradicionales tienen un usuario root con privilegios de «todo o nada». Las capacidades de Linux dividen los potentes privilegios de root en unidades más pequeñas y diferenciadas.

Esto permite que un proceso tenga únicamente los poderes específicos similares a los de root que necesita (por ejemplo, asociarse a puertos bajos o acceder directamente a la red), sin disponer de todos los privilegios de root.

De forma predeterminada, los contenedores de Docker se ejecutan con un conjunto amplio de capacidades. Puede eliminar las capacidades innecesarias mediante --cap-drop para restringir aún más las acciones que puede realizar un contenedor.

En este caso, eliminamos la capacidad NET_RAW. El comando ping, que requiere NET_RAW, fallará, lo que demuestra la restricción.

Los contenedores comparten el kernel y los recursos del host. El uso incontrolado de recursos por parte de un contenedor puede provocar una denegación de servicio (DoS) a otros contenedores o incluso al propio host.

• Límites de CPU: Evitan que un contenedor monopolice los ciclos de CPU.
• Límites de memoria: Impiden que un contenedor consuma toda la RAM disponible y provoque inestabilidad en el sistema.

Puede establecer límites de CPU y memoria directamente con docker run. Este ejemplo limita la memoria a 128 MB y el uso de CPU a 0.5 (la mitad de un núcleo de CPU).

Esto garantiza que el contenedor se comporte correctamente y no prive de recursos a otros procesos.

Muchas aplicaciones no necesitan escribir en su sistema de archivos raíz después del inicio. Al convertir el sistema de archivos en uno de solo lectura, obtiene importantes ventajas de seguridad:

• Evita la manipulación: Un atacante no puede modificar archivos existentes ni escribir archivos maliciosos nuevos.
• Limita la persistencia: Cualquier cambio realizado es efímero y se pierde al reiniciar el contenedor.
• Impone la inmutabilidad: Promueve un diseño en el que los contenedores son desechables y la configuración es externa.

Utilice la marca --read-only al ejecutar un contenedor. Cualquier intento de escribir en el sistema de archivos del contenedor (fuera de los volúmenes montados explícitamente) fallará.

Pruebe a crear un archivo en este contenedor de solo lectura:

¿Cuáles de las siguientes son buenas prácticas para proteger los contenedores en tiempo de ejecución?

¡Buen trabajo! Ha aprendido a mejorar la seguridad de los contenedores mientras están en ejecución:

• Mínimo privilegio: Otorgar únicamente los permisos necesarios.
• Usuarios no root: Evitar ejecutar procesos como root.
• Capacidades: Eliminar las capacidades de Linux innecesarias.
• Límites de recursos: Controlar el uso de CPU y memoria.
• Solo lectura: Hacer que los sistemas de archivos sean inmutables para impedir escrituras.

Estas prácticas reducen significativamente la superficie de ataque y el impacto de posibles vulneraciones. ¡Siga practicando!