Keamanan Runtime

Keamanan saat berjalan melindungi kontainer ketika benar-benar sedang berjalan, bukan hanya sebelum dimulai.

Pemindaian menemukan masalah dalam citra, sedangkan keamanan saat berjalan mengawasi serangan selama pengoperasian langsung.

Citra yang telah dipindai dengan sempurna tetap dapat diserang saat berjalan.

Penyerang mengeksploitasi bug, menyalahgunakan kredensial, atau memicu perilaku tak terduga setelah kontainer diluncurkan, yang tidak dapat ditangkap oleh pemindaian saja.

Pengerasan saat berjalan yang paling sederhana adalah menghindari root.

Tentukan pengguna non-root agar proses yang telah disusupi memiliki hak akses terbatas:

Tambahkan ini ke citra Anda agar kontainer berjalan tanpa hak istimewa.

Sebagian besar aplikasi tidak perlu menulis ke sistem berkasnya sendiri.

Menjadikannya hanya-baca mencegah penyerang menaruh berkas berbahaya:

Kapabilitas Linux memberikan hak akses yang terperinci. Kontainer jarang memerlukan semuanya.

Cabut semuanya, lalu tambahkan kembali hanya yang diperlukan:

Batas mencegah satu kontainer menghabiskan sumber daya kontainer lain.

Hal ini melindungi host dari penghabisan sumber daya yang tidak disengaja atau berbahaya.

Seccomp membatasi panggilan sistem yang boleh digunakan kontainer.

Memblokir panggilan sistem berbahaya memperkecil permukaan serangan, bahkan jika aplikasi telah disusupi. Sebagian besar runtime menyediakan profil bawaan yang wajar.

Alat saat berjalan mengawasi apa yang sebenarnya dilakukan kontainer.

Alat seperti Falco dapat memberi peringatan ketika terjadi sesuatu yang tidak terduga, seperti shell yang dibuat di dalam kontainer web.

Kontainer yang sedang berjalan seharusnya berperilaku seperti citranya. Ketika biner baru muncul atau proses yang tidak terduga dimulai, itulah penyimpangan.

Penyimpangan sering menandakan bahwa penyerang telah mendapatkan pijakan.

Ketika pemantauan saat berjalan mendeteksi serangan, Anda dapat merespons dengan cepat:

• Hentikan proses yang mencurigakan
• Isolasi kontainer dari jaringan
• Ganti dengan instans baru yang bersih

Pola yang kuat adalah memperlakukan kontainer sebagai sesuatu yang tidak dapat diubah: jangan pernah menambal kontainer yang sedang berjalan, tetapi ganti saja.

Hal ini menjaga setiap kontainer tetap bersih dan mempersulit penyerang untuk mempertahankan akses.

Pengaturan saat berjalan mana yang paling mengurangi dampak jika proses dalam kontainer disusupi?

Keamanan saat berjalan melindungi kontainer aktif dengan pengguna non-root, sistem berkas hanya-baca, kapabilitas yang dicabut, batas sumber daya, Seccomp, dan pemantauan perilaku.

Perlakukan kontainer sebagai sesuatu yang tidak dapat diubah dan tanggapi ancaman yang terdeteksi dengan cepat.