Segurança de contêineres em execução

Boas-vindas à segurança de contêineres em tempo de execução! Criar imagens seguras é essencial, mas o que acontece quando o contêiner está em execução?

Esta lição se concentra nas melhores práticas para proteger suas aplicações enquanto estão ativas, limitando possíveis danos causados por vulnerabilidades ou ataques.

Um conceito fundamental de segurança é o Princípio do Menor Privilégio. Ele consiste em conceder a uma entidade, como um contêiner ou usuário, somente as permissões absolutamente necessárias para executar sua função, e nada além disso.

A aplicação desse princípio reduz a superfície de ataque e limita o impacto caso um contêiner seja comprometido.

Por padrão, os processos dentro de um contêiner Docker são executados como o usuário root, que tem privilégios administrativos completos dentro do contêiner.

• Risco: Se um invasor assumir o controle de um contêiner com privilégios de root, poderá explorar vulnerabilidades no daemon do Docker ou no kernel para obter acesso root ao sistema hospedeiro.
• Melhor prática: Execute sempre os processos do contêiner como um usuário não root.

Você pode especificar um usuário, pelo nome ou pelo UID, para o processo do contêiner usando a opção --user com docker run. Aqui, executamos o comando id em um contêiner Alpine como o usuário 1000.

Se o usuário 1000 não existir, o Docker ainda usará esse UID.

Os sistemas Linux tradicionais têm um usuário root com privilégios de “tudo ou nada”. Os recursos do Linux dividem os poderosos privilégios de root em unidades menores e distintas.

Isso permite que um processo tenha somente os poderes específicos semelhantes aos de root de que precisa, como associar-se a portas baixas ou acessar a rede em modo bruto, sem ter acesso root completo.

Por padrão, os contêineres Docker são executados com um conjunto amplo de recursos. Você pode remover recursos desnecessários usando --cap-drop para restringir ainda mais as ações que um contêiner pode realizar.

Aqui, removemos o recurso NET_RAW. O comando ping, que exige NET_RAW, falhará, demonstrando a restrição.

Os contêineres compartilham o kernel e os recursos do hospedeiro. O uso descontrolado de recursos por um contêiner pode causar uma Negação de Serviço (DoS) em outros contêineres ou até mesmo no próprio hospedeiro.

• Limites de CPU: Impedem que um contêiner monopolize os ciclos de CPU.
• Limites de memória: Impedem que um contêiner consuma toda a RAM disponível, evitando a instabilidade do sistema.

Você pode definir limites de CPU e memória diretamente com docker run. Este exemplo limita a memória a 128 MB e o uso da CPU a 0,5, metade de um núcleo de CPU.

Isso garante que o contêiner se comporte adequadamente e não prive outros processos de recursos.

Muitas aplicações não precisam gravar no sistema de arquivos raiz após a inicialização. Ao tornar o sistema de arquivos somente leitura, você obtém importantes benefícios de segurança:

• Impede adulterações: Um invasor não pode modificar arquivos existentes nem gravar novos arquivos maliciosos.
• Limita a persistência: Todas as alterações feitas são temporárias e se perdem quando o contêiner é reiniciado.
• Impõe a imutabilidade: Promove um design no qual os contêineres são descartáveis e a configuração é externa.

Use a opção --read-only ao executar um contêiner. Qualquer tentativa de gravar no sistema de arquivos do contêiner, fora dos volumes montados explicitamente, falhará.

Experimente criar um arquivo neste contêiner somente leitura:

Quais das opções a seguir são boas práticas para proteger contêineres em tempo de execução?

Parabéns! Você aprendeu a aprimorar a segurança dos contêineres enquanto eles estão em execução:

• Menor privilégio: Conceda somente as permissões necessárias.
• Usuários não root: Evite executar processos como root.
• Recursos: Remova os recursos desnecessários do Linux.
• Limites de recursos: Controle o uso de CPU e memória.
• Somente leitura: Torne os sistemas de arquivos imutáveis para impedir gravações.

Essas práticas reduzem significativamente a superfície de ataque e o impacto de possíveis comprometimentos. Continue praticando!