Keamanan Container Saat Berjalan

Selamat datang di Keamanan Container Saat Runtime! Membangun image yang aman sangat penting, tetapi apa yang terjadi setelah container Anda berjalan?

Pelajaran ini berfokus pada praktik terbaik untuk melindungi aplikasi Anda selama aktif, dengan membatasi potensi kerusakan akibat kerentanan atau serangan.

Konsep keamanan yang mendasar adalah Prinsip Hak Akses Minimum. Artinya, berikan kepada suatu entitas (seperti container atau pengguna) hanya izin yang mutlak diperlukan untuk menjalankan fungsinya, dan tidak lebih.

Penerapan prinsip ini mengurangi permukaan serangan dan membatasi dampak jika sebuah container berhasil disusupi.

Secara default, proses di dalam container Docker berjalan sebagai pengguna root, yang memiliki hak administratif penuh di dalam container.

• Risiko: Jika penyerang mengambil alih container dengan hak istimewa root, mereka berpotensi mengeksploitasi kerentanan pada daemon Docker atau kernel untuk memperoleh akses root pada sistem host.
• Praktik Terbaik: Selalu jalankan proses container sebagai pengguna non-root.

Anda dapat menentukan pengguna (berdasarkan nama atau UID) untuk proses container menggunakan flag --user bersama docker run. Di sini, kita menjalankan perintah id dalam container Alpine sebagai pengguna 1000.

Jika pengguna 1000 tidak ada, Docker tetap akan menggunakan UID tersebut.

Sistem Linux tradisional memiliki pengguna root dengan model "semua atau tidak sama sekali". Kapabilitas Linux memecah hak istimewa root yang kuat menjadi unit-unit yang lebih kecil dan terpisah.

Dengan demikian, suatu proses hanya dapat memiliki kemampuan khusus yang menyerupai hak root yang dibutuhkannya (misalnya, mengikat port rendah atau mengakses jaringan mentah) tanpa memperoleh hak root penuh.

Secara default, container Docker berjalan dengan banyak kapabilitas. Anda dapat menghapus kapabilitas yang tidak diperlukan menggunakan --cap-drop untuk semakin membatasi hal-hal yang dapat dilakukan container.

Di sini, kita menghapus kapabilitas NET_RAW. Perintah ping, yang memerlukan NET_RAW, kemudian akan gagal dan menunjukkan pembatasan tersebut.

Container berbagi kernel dan sumber daya host. Penggunaan sumber daya yang tidak terkendali oleh satu container dapat menyebabkan Penolakan Layanan (DoS) bagi container lain atau bahkan bagi host itu sendiri.

• Batas CPU: Mencegah container menguasai seluruh siklus CPU.
• Batas Memori: Mencegah container menghabiskan seluruh RAM yang tersedia sehingga sistem tidak stabil.

Anda dapat menetapkan batas CPU dan memori secara langsung dengan docker run. Contoh ini membatasi memori hingga 128MB dan penggunaan CPU hingga 0.5 (setengah dari satu inti CPU).

Dengan demikian, container Anda beroperasi dengan baik dan tidak membuat proses lain kekurangan sumber daya.

Banyak aplikasi tidak perlu menulis ke sistem berkas root setelah dimulai. Dengan menjadikan sistem berkas hanya-baca, Anda memperoleh manfaat keamanan yang signifikan:

• Mencegah Perubahan Tidak Sah: Penyerang tidak dapat mengubah berkas yang ada atau menulis berkas berbahaya baru.
• Membatasi Persistensi: Setiap perubahan yang dibuat bersifat sementara dan hilang saat container dimulai ulang.
• Menegakkan Imutabilitas: Mendorong desain yang menjadikan container dapat dibuang dan konfigurasinya berada di luar container.

Gunakan flag --read-only saat menjalankan container. Setiap upaya untuk menulis ke sistem berkas container (di luar volume yang dipasang secara eksplisit) akan gagal.

Coba buat sebuah berkas dalam container hanya-baca ini:

Manakah dari pilihan berikut yang merupakan praktik baik untuk mengamankan container saat runtime?

Kerja bagus! Anda telah mempelajari cara meningkatkan keamanan container saat sedang berjalan:

• Hak Akses Minimum: Berikan hanya izin yang diperlukan.
• Pengguna Non-root: Hindari menjalankan proses sebagai root.
• Kapabilitas: Hapus kapabilitas Linux yang tidak diperlukan.
• Batas Sumber Daya: Kendalikan penggunaan CPU dan memori.
• Hanya-Baca: Jadikan sistem berkas tidak dapat diubah untuk mencegah penulisan.

Praktik-praktik ini secara signifikan mengurangi permukaan serangan dan dampak dari potensi penyusupan. Teruslah berlatih!