Menaces liées aux conteneurs

Un conteneur regroupe une application et ses dépendances afin qu’elle s’exécute de la même manière partout.

Des outils comme Docker ont popularisé les conteneurs, car ils démarrent rapidement et sont légers par rapport aux machines virtuelles.

Contrairement aux machines virtuelles, les conteneurs qui s’exécutent sur le même hôte partagent le noyau du système d’exploitation.

Si un attaquant s’échappe d’un conteneur, ce noyau partagé peut devenir un chemin vers l’hôte et les autres conteneurs.

De nombreuses équipes récupèrent des images depuis des registres publics.

Une image provenant d’un auteur inconnu peut contenir des logiciels malveillants, des portes dérobées ou des mineurs de cryptomonnaie cachés. Vérifiez toujours l’origine d’une image.

Même des images fiables peuvent présenter des risques si elles sont obsolètes.

Une image de base créée il y a plusieurs mois peut contenir des vulnérabilités connues dans ses bibliothèques, corrigées depuis longtemps en amont.

Une erreur courante consiste à inscrire des mots de passe ou des clés d’API en dur dans une image.

Toute personne qui télécharge l’image peut lire ces secrets. L’inspection des couches permet de les découvrir facilement :

Par défaut, les processus à l’intérieur d’un conteneur s’exécutent souvent en tant que superutilisateur.

Si ce processus est compromis, l’attaquant obtient des privilèges de niveau superutilisateur dans le conteneur, ce qui rend toute évasion beaucoup plus dangereuse.

Les options qui accordent des pouvoirs supplémentaires élargissent la surface d’attaque.

L’exécution d’un conteneur en mode privilégié supprime la plupart des mécanismes d’isolation :

Évitez cela, sauf en cas d’absolue nécessité.

Les conteneurs publient souvent des ports réseau.

Un port ouvert inutile, comme celui d’une base de données exposée à Internet, offre une cible directe aux attaquants. Ne publiez que les ports dont vous avez réellement besoin.

Si les images transitent par un registre non chiffré ou non authentifié, les attaquants peuvent les altérer pendant le transfert.

Utilisez des registres fiables avec TLS et des contrôles d’accès.

Un conteneur dépourvu de limites peut consommer la totalité du processeur et de la mémoire d’un hôte.

Cela provoque un déni de service pour les autres charges de travail. Définissez des limites de ressources afin qu’un conteneur ne prive pas les autres de ressources.

Les risques liés aux conteneurs couvrent tout leur cycle de vie :

• L’image de départ utilisée pour la construction
• Le registre depuis lequel vous récupérez l’image
• Les privilèges utilisés pour l’exécution
• L’hôte que vous partagez

Chaque étape nécessite une attention particulière.

Pourquoi une évasion de conteneur est-elle souvent plus grave qu’une évasion de VM ?

Les menaces liées aux conteneurs comprennent les images non fiables, les images de base obsolètes, les secrets intégrés, l’exécution avec les privilèges de superutilisateur, le mode privilégié, les ports exposés et le noyau partagé.

Connaître ces risques est la première étape pour sécuriser vos déploiements de conteneurs.