Sécurité à l’exécution

La sécurité à l’exécution protège les conteneurs pendant leur fonctionnement réel, et pas uniquement avant leur démarrage.

L’analyse détecte les problèmes présents dans l’image ; la sécurité à l’exécution surveille les attaques pendant le fonctionnement du conteneur.

Une image parfaitement analysée peut tout de même être attaquée pendant son exécution.

Les attaquants exploitent des failles, utilisent abusivement des identifiants ou provoquent des comportements inattendus après le lancement du conteneur, ce que l’analyse seule ne peut pas détecter.

Le moyen le plus simple de renforcer la sécurité à l’exécution consiste à éviter les comptes administrateur.

Définissez un utilisateur sans privilèges élevés afin qu’un processus compromis dispose de pouvoirs limités :

Ajoutez cette instruction à votre image afin que le conteneur s’exécute sans privilèges.

La plupart des applications n’ont pas besoin d’écrire dans leur propre système de fichiers.

Le fait de le rendre accessible en lecture seule empêche les attaquants d’y déposer des fichiers malveillants :

Les capacités Linux accordent des pouvoirs précis. Les conteneurs en utilisent rarement la totalité.

Supprimez-les toutes, puis réactivez uniquement celles dont vous avez besoin :

Les limites empêchent un conteneur de priver les autres de ressources.

Cela protège l’hôte contre l’épuisement des ressources, qu’il soit accidentel ou malveillant.

Seccomp restreint les appels système qu’un conteneur peut utiliser.

Le blocage des appels système dangereux réduit la surface d’attaque, même si l’application est compromise. La plupart des environnements d’exécution fournissent un profil par défaut raisonnable.

Les outils d’exécution surveillent ce que fait réellement un conteneur.

Un outil comme Falco peut déclencher une alerte lorsqu’un événement inattendu se produit, par exemple lorsqu’un interpréteur de commandes est lancé à l’intérieur d’un conteneur web.

Un conteneur en fonctionnement doit se comporter comme son image. Lorsque de nouveaux fichiers binaires apparaissent ou que des processus inattendus démarrent, il s’agit d’une dérive.

Une dérive indique souvent qu’un attaquant a réussi à prendre pied dans le système.

Lorsque la surveillance à l’exécution détecte une attaque, vous pouvez réagir rapidement :

• Arrêter le processus suspect
• Isoler le conteneur du réseau
• Le remplacer par une nouvelle instance saine

Une bonne pratique consiste à traiter les conteneurs comme des éléments immuables : ne corrigez jamais un conteneur en fonctionnement, remplacez-le simplement.

Ainsi, chaque conteneur reste sain et la persistance de l’attaquant devient beaucoup plus difficile.

Quel réglage d’exécution réduit le plus les dégâts si le processus d’un conteneur est compromis ?

La sécurité à l’exécution protège les conteneurs en fonctionnement grâce aux utilisateurs sans privilèges élevés, aux systèmes de fichiers en lecture seule, à la suppression des capacités, aux limites de ressources, à Seccomp et à la surveillance comportementale.

Traitez les conteneurs comme des éléments immuables et réagissez rapidement aux menaces détectées.