Segurança em tempo de execução

A segurança em tempo de execução protege os contêineres enquanto eles estão realmente em execução, não apenas antes de serem iniciados.

A análise detecta problemas na imagem; a segurança em tempo de execução monitora ataques durante a operação ativa.

Uma imagem perfeitamente analisada ainda pode ser atacada em tempo de execução.

Atacantes exploram falhas, abusam de credenciais ou provocam comportamentos inesperados depois que o contêiner é iniciado, algo que a análise, por si só, não consegue detectar.

O reforço mais simples da segurança em tempo de execução é evitar o superusuário.

Defina um usuário não privilegiado para que um processo comprometido tenha poderes limitados:

Adicione isso à sua imagem para que o contêiner seja executado sem privilégios.

A maioria dos aplicativos não precisa gravar no próprio sistema de arquivos.

Torná-lo somente leitura impede que atacantes depositem arquivos maliciosos:

As capacidades do Linux concedem poderes granulares. Os contêineres raramente precisam de todas elas.

Remova todas e depois adicione apenas as de que precisa:

Os limites impedem que um contêiner prive os demais de recursos.

Isso protege a máquina hospedeira contra o esgotamento de recursos acidental ou malicioso.

O Seccomp restringe quais chamadas de sistema um contêiner pode usar.

Bloquear chamadas de sistema perigosas reduz a superfície de ataque, mesmo que o aplicativo seja comprometido. A maioria dos ambientes de execução já inclui um perfil padrão adequado.

As ferramentas de tempo de execução observam o que um contêiner realmente faz.

Uma ferramenta como o Falco pode alertar quando algo inesperado acontece, como um interpretador de comandos sendo iniciado dentro de um contêiner web.

Um contêiner em execução deve se comportar como sua imagem. Quando novos binários aparecem ou processos inesperados são iniciados, isso é um desvio.

Um desvio geralmente indica que um atacante conseguiu se estabelecer.

Quando o monitoramento em tempo de execução detecta um ataque, você pode responder rapidamente:

• Encerre o processo suspeito
• Isolate o contêiner da rede
• Substitua-o por uma instância nova e limpa

Um padrão sólido é tratar os contêineres como imutáveis: nunca aplique correções em um contêiner em execução; simplesmente substitua-o.

Isso mantém todos os contêineres limpos e dificulta muito a persistência do atacante.

Qual configuração de tempo de execução reduz mais os danos caso um processo do contêiner seja comprometido?

A segurança em tempo de execução protege contêineres ativos com usuários não privilegiados, sistemas de arquivos somente leitura, capacidades removidas, limites de recursos, Seccomp e monitoramento comportamental.

Trate os contêineres como imutáveis e responda rapidamente às ameaças detectadas.