Bezpieczeństwo kontenerów w czasie działania

Witamy w lekcji Bezpieczeństwo kontenerów w czasie działania! Tworzenie bezpiecznych obrazów ma kluczowe znaczenie, ale co dzieje się po uruchomieniu kontenera?

Ta lekcja koncentruje się na najlepszych praktykach ochrony aplikacji podczas ich działania, ograniczając potencjalne szkody wynikające z podatności lub ataków.

Podstawową koncepcją bezpieczeństwa jest zasada najmniejszych uprawnień. Oznacza ona przyznawanie jednostce, takiej jak kontener lub użytkownik, wyłącznie uprawnień absolutnie niezbędnych do wykonywania jej funkcji — i żadnych dodatkowych.

Stosowanie tej zasady zmniejsza powierzchnię ataku i ogranicza skutki przejęcia kontenera.

Domyślnie procesy wewnątrz kontenera Docker są uruchamiane jako użytkownik root, który ma pełne uprawnienia administracyjne w kontenerze.

• Ryzyko: Jeśli atakujący przejmie kontrolę nad kontenerem działającym z uprawnieniami użytkownika root, może potencjalnie wykorzystać podatności w demonie Docker lub jądrze, aby uzyskać dostęp root do systemu hosta.
• Najlepsza praktyka: Procesy w kontenerze należy zawsze uruchamiać jako użytkownik inny niż root.

Użytkownika (według nazwy lub UID) dla procesu kontenera można określić za pomocą flagi --user wraz z poleceniem docker run. W tym przykładzie polecenie id jest uruchamiane w kontenerze Alpine jako użytkownik 1000.

Jeśli użytkownik 1000 nie istnieje, Docker i tak użyje tego UID.

Tradycyjne systemy Linux mają użytkownika root z uprawnieniami typu „wszystko albo nic”. Mechanizm Linux Capabilities rozdziela potężne uprawnienia roota na mniejsze, niezależne jednostki.

Dzięki temu proces może otrzymać tylko konkretne uprawnienia przypominające uprawnienia roota, których potrzebuje (np. możliwość nasłuchiwania na portach o niskich numerach lub surowy dostęp do sieci), bez pełnych uprawnień roota.

Kontenery Docker są domyślnie uruchamiane z dużym zestawem capabilities. Można odebrać niepotrzebne capabilities za pomocą --cap-drop, aby dodatkowo ograniczyć możliwości kontenera.

W tym przykładzie odbieramy capability NET_RAW. Polecenie ping, które wymaga NET_RAW, zakończy się wtedy niepowodzeniem, pokazując działanie tego ograniczenia.

Kontenery współdzielą jądro i zasoby hosta. Niekontrolowane zużycie zasobów przez jeden kontener może doprowadzić do odmowy usługi (DoS) wobec innych kontenerów, a nawet samego hosta.

• Limity procesora: Zapobiegają monopolizowaniu czasu procesora przez kontener.
• Limity pamięci: Uniemożliwiają kontenerowi zużycie całej dostępnej pamięci RAM, zapobiegając niestabilności systemu.

Limity procesora i pamięci można ustawić bezpośrednio za pomocą docker run. Ten przykład ogranicza pamięć do 128 MB, a użycie procesora do 0,5 (połowy jednego rdzenia procesora).

Dzięki temu kontener działa poprawnie i nie pozbawia zasobów innych procesów.

Wiele aplikacji po uruchomieniu nie musi zapisywać danych w głównym systemie plików. Ustawienie systemu plików jako tylko do odczytu zapewnia istotne korzyści w zakresie bezpieczeństwa:

• Zapobieganie modyfikacjom: Atakujący nie może modyfikować istniejących plików ani zapisywać nowych, złośliwych plików.
• Ograniczenie trwałości zmian: Wszelkie wprowadzone zmiany są nietrwałe i zostają utracone po ponownym uruchomieniu kontenera.
• Wymuszanie niezmienności: Promuje projektowanie, w którym kontenery można usuwać, a konfiguracja znajduje się na zewnątrz.

Podczas uruchamiania kontenera należy użyć flagi --read-only. Każda próba zapisu w systemie plików kontenera (poza jawnie zamontowanymi wolumenami) zakończy się niepowodzeniem.

Spróbuj utworzyć plik w tym kontenerze tylko do odczytu:

Które z poniższych praktyk są dobre w kontekście zabezpieczania kontenerów w czasie działania?

Świetna praca! Dowiedzieli się Państwo, jak zwiększać bezpieczeństwo kontenerów podczas ich działania:

• Najmniejsze uprawnienia: Należy przyznawać wyłącznie niezbędne uprawnienia.
• Użytkownicy inni niż root: Należy unikać uruchamiania procesów jako root.
• Capabilities: Należy odbierać niepotrzebne capabilities systemu Linux.
• Limity zasobów: Należy kontrolować użycie procesora i pamięci.
• Tylko do odczytu: Należy ustawiać systemy plików jako niezmienne, aby zapobiegać zapisom.

Praktyki te znacznie zmniejszają powierzchnię ataku i skutki potencjalnego przejęcia. Proszę dalej ćwiczyć!