런타임 보안

런타임 보안은 컨테이너가 시작되기 전뿐 아니라 실제로 실행되는 동안에도 컨테이너를 보호합니다.

스캔은 이미지의 문제를 찾아내고, 런타임 보안은 실제 운영 중 발생하는 공격을 감시합니다.

완벽하게 스캔한 이미지도 런타임에 공격받을 수 있습니다.

공격자는 컨테이너가 시작된 후에 버그를 악용하거나, 인증 정보를 오용하거나, 예상치 못한 동작을 유발할 수 있으며, 스캔만으로는 이를 발견할 수 없습니다.

가장 간단한 런타임 강화 방법은 루트 사용을 피하는 것입니다.

침해된 프로세스의 권한을 제한하려면 루트가 아닌 사용자를 지정하십시오.

이 설정을 이미지에 추가하면 컨테이너가 제한된 권한으로 실행됩니다.

대부분의 앱은 자체 파일 시스템에 파일을 쓸 필요가 없습니다.

파일 시스템을 읽기 전용으로 만들면 공격자가 악성 파일을 저장할 수 없습니다.

Linux 기능은 세분화된 권한을 부여합니다. 컨테이너에 이 기능이 모두 필요한 경우는 드뭅니다.

모든 기능을 제거한 다음 필요한 기능만 다시 추가하십시오.

제한을 설정하면 한 컨테이너가 다른 컨테이너의 리소스를 모두 소모하는 것을 막을 수 있습니다.

이를 통해 우발적이거나 악의적인 리소스 고갈로부터 호스트를 보호할 수 있습니다.

Seccomp는 컨테이너가 사용할 수 있는 시스템 호출을 제한합니다.

위험한 시스템 호출을 차단하면 앱이 침해되더라도 공격 표면을 줄일 수 있습니다. 대부분의 실행 환경은 적절한 기본 프로필을 제공합니다.

런타임 도구는 컨테이너가 실제로 수행하는 동작을 감시합니다.

Falco와 같은 도구는 웹 컨테이너 내부에서 셸이 생성되는 것처럼 예상치 못한 일이 발생하면 경고할 수 있습니다.

실행 중인 컨테이너는 해당 이미지와 같은 방식으로 동작해야 합니다. 새로운 바이너리가 나타나거나 예상치 못한 프로세스가 시작되면 이를 드리프트라고 합니다.

드리프트는 공격자가 시스템에 거점을 확보했다는 신호인 경우가 많습니다.

런타임 모니터링이 공격을 감지하면 신속하게 대응할 수 있습니다.

• 의심스러운 프로세스 종료
• 컨테이너를 네트워크에서 격리
• 새롭고 깨끗한 인스턴스로 교체

강력한 방식 중 하나는 컨테이너를 변경 불가한 것으로 취급하는 것입니다. 실행 중인 컨테이너에 패치를 적용하지 말고 교체하십시오.

이렇게 하면 모든 컨테이너를 깨끗하게 유지할 수 있고 공격자가 지속적으로 남아 있기도 훨씬 어려워집니다.

컨테이너 프로세스가 침해되었을 때 피해를 가장 크게 줄이는 런타임 설정은 무엇입니까?

런타임 보안은 루트가 아닌 사용자, 읽기 전용 파일 시스템, 제거된 권한 기능, 리소스 제한, Seccomp, 동작 모니터링을 사용하여 실행 중인 컨테이너를 보호합니다.

컨테이너를 변경 불가한 것으로 취급하고, 감지된 위협에 신속하게 대응하십시오.