Ameaças a contêineres

Um contêiner empacota um aplicativo junto com suas dependências para que ele seja executado da mesma forma em qualquer lugar.

Ferramentas como o Docker popularizaram os contêineres porque eles iniciam rapidamente e são leves em comparação com máquinas virtuais.

Ao contrário das máquinas virtuais, os contêineres no mesmo host compartilham o kernel do sistema operacional.

Se um invasor escapar de um contêiner, esse kernel compartilhado poderá abrir um caminho até o host e outros contêineres.

Muitas equipes obtêm imagens de registros públicos.

Uma imagem de um autor desconhecido pode conter software malicioso, portas dos fundos ou mineradores de criptomoedas ocultos. Saiba sempre de onde vem uma imagem.

Até imagens confiáveis podem ser arriscadas se estiverem desatualizadas.

Uma imagem de base criada meses atrás pode conter vulnerabilidades conhecidas em suas bibliotecas, corrigidas há muito tempo no projeto de origem.

Um erro comum é codificar senhas ou chaves de API diretamente em uma imagem.

Qualquer pessoa que obtenha a imagem poderá ler esses segredos. A inspeção das camadas os revela facilmente:

Por padrão, os processos dentro de um contêiner geralmente são executados como root.

Se esse processo for comprometido, o invasor obterá poder de nível root dentro do contêiner, tornando qualquer escape muito mais perigoso.

Os sinalizadores que concedem poder adicional ampliam a superfície de ataque.

Executar um contêiner no modo privilegiado remove a maior parte do isolamento:

Evite isso, a menos que seja absolutamente necessário.

Os contêineres geralmente publicam portas de rede.

Uma porta aberta desnecessária, como a de um banco de dados exposto à internet, oferece aos invasores um alvo direto. Publique somente as portas de que realmente precisa.

Se as imagens forem transferidas por um registro não criptografado ou não autenticado, os invasores poderão alterá-las durante o trânsito.

Use registros confiáveis com TLS e controles de acesso.

Um contêiner sem limites pode consumir toda a CPU e a memória de um host.

Isso causa negação de serviço para outras cargas de trabalho. Defina limites de recursos para impedir que um contêiner prive os demais de recursos.

Os riscos dos contêineres abrangem todo o ciclo de vida:

• A imagem a partir da qual você cria o contêiner
• O registro de onde você obtém a imagem
• Os privilégios com que você executa o contêiner
• O host que você compartilha

Cada etapa exige atenção.

Por que um escape de contêiner costuma ser mais grave do que um escape de VM?

As ameaças aos contêineres incluem imagens não confiáveis, imagens de base desatualizadas, segredos incorporados, execução como root, modo privilegiado, portas expostas e um kernel compartilhado.

Conhecer esses riscos é o primeiro passo para proteger suas implantações de contêineres.