Sikkerhet under kjøring

Den enkleste sikkerhetsforsterkningen under kjøring er å unngå root.

Definer en bruker som ikke er root, slik at en kompromittert prosess har begrensede rettigheter:

Legg dette til i avbildningen, så kjører containeren uten privilegier.

De fleste apper trenger ikke å skrive til sitt eget filsystem.

Å gjøre det skrivebeskyttet hindrer angripere i å legge inn skadelige filer:

Linux-capabilities gir finkornede rettigheter. Containere trenger sjelden alle sammen.

Fjern alt, og legg deretter bare tilbake det som trengs:

Grenser hindrer én container i å bruke opp ressursene til andre.

Dette beskytter verten mot utilsiktet eller ondsinnet ressursuttømming.

Seccomp begrenser hvilke systemkall en container kan bruke.

Ved å blokkere farlige systemkall reduseres angrepsflaten, selv om appen blir kompromittert. De fleste runtime-miljøer leveres med en fornuftig standardprofil.

Runtime-verktøy overvåker hva en container faktisk gjør.

Et verktøy som Falco kan varsle når noe uventet skjer, for eksempel når et skall startes inne i en webcontainer.

En container som kjører, bør oppføre seg som avbildningen. Når nye binærfiler dukker opp eller uventede prosesser starter, er det drift.

Drift er ofte et tegn på at en angriper har fått fotfeste.

Når runtime-overvåkingen oppdager et angrep, kan det reageres raskt:

• Avslutt den mistenkelige prosessen
• Isoler containeren fra nettverket
• Erstatt den med en ny, ren instans

En robust praksis er å behandle containere som immutable: aldri lapp en container som kjører, men bare erstatt den.

Dette holder hver container ren og gjør det mye vanskeligere for angripere å opprettholde tilgang.

Runtime-sikkerhet beskytter containere som kjører, med brukere som ikke er root, skrivebeskyttede filsystemer, fjernede capabilities, ressursgrenser, seccomp og atferdsovervåking.

Behandle containere som immutable, og reager raskt på oppdagede trusler.