Zagrożenia kontenerów

Kontener pakuje aplikację wraz z jej zależnościami, dzięki czemu działa ona wszędzie w taki sam sposób.

Narzędzia takie jak Docker spopularyzowały kontenery, ponieważ uruchamiają się szybko i są lekkie w porównaniu z maszynami wirtualnymi.

W przeciwieństwie do maszyn wirtualnych kontenery działające na tym samym hoście współdzielą jądro systemu operacyjnego.

Jeśli atakujący wydostanie się z kontenera, współdzielone jądro może stać się drogą do hosta i innych kontenerów.

Wiele zespołów pobiera obrazy z publicznych rejestrów.

Obraz pochodzący od nieznanego autora może zawierać złośliwe oprogramowanie, tylne furtki lub ukryte koparki kryptowalut. Zawsze należy wiedzieć, skąd pochodzi obraz.

Nawet zaufane obrazy mogą być ryzykowne, jeśli są nieaktualne.

Obraz bazowy utworzony kilka miesięcy temu może zawierać znane luki w bibliotekach, które dawno temu zostały naprawione w projekcie źródłowym.

Częstym błędem jest umieszczanie haseł lub kluczy API na stałe w obrazie.

Każdy, kto pobierze obraz, może odczytać te sekrety. Łatwo je ujawnić, przeglądając warstwy:

Domyślnie procesy wewnątrz kontenera często działają jako root.

Jeśli taki proces zostanie przejęty, atakujący uzyska uprawnienia roota wewnątrz kontenera, przez co ewentualne wydostanie się z niego będzie znacznie groźniejsze.

Flagi przyznające dodatkowe uprawnienia zwiększają powierzchnię ataku.

Uruchomienie kontenera w trybie uprzywilejowanym usuwa większość izolacji:

Należy tego unikać, chyba że jest to absolutnie konieczne.

Kontenery często publikują porty sieciowe.

Niepotrzebnie otwarty port, na przykład port bazy danych wystawiony do internetu, daje atakującym bezpośredni cel. Należy publikować tylko porty, których rzeczywiście potrzeba.

Jeśli obrazy są przesyłane przez niezaszyfrowany lub nieuwierzytelniony rejestr, atakujący mogą modyfikować je podczas przesyłania.

Należy używać zaufanych rejestrów z TLS i kontrolą dostępu.

Kontener bez limitów może zużyć całą moc procesora i pamięć hosta.

Powoduje to odmowę usługi dla innych obciążeń. Należy ustawić limity zasobów, aby jeden kontener nie pozbawił pozostałych zasobów.

Ryzyko związane z kontenerami obejmuje cały cykl życia:

• obraz, na podstawie którego tworzony jest kontener,
• rejestr, z którego jest pobierany,
• uprawnienia, z którymi jest uruchamiany,
• host, z którym jest współdzielony.

Każdy etap wymaga uwagi.

Dlaczego wydostanie się z kontenera jest często poważniejsze niż wydostanie się z maszyny wirtualnej?

Zagrożenia związane z kontenerami obejmują niezaufane obrazy, nieaktualne obrazy bazowe, sekrety zapisane w obrazach, uruchamianie jako root, tryb uprzywilejowany, ujawnione porty i współdzielone jądro.

Znajomość tych zagrożeń to pierwszy krok do zabezpieczenia wdrożeń kontenerów.