Угрозы контейнерам

Контейнер объединяет приложение с его зависимостями, чтобы оно одинаково работало везде.

Такие инструменты, как Docker, сделали контейнеры популярными, поскольку они быстро запускаются и потребляют мало ресурсов по сравнению с виртуальными машинами.

В отличие от виртуальных машин контейнеры на одном узле используют общее ядро операционной системы.

Если злоумышленник выйдет из контейнера, это общее ядро может стать путём к узлу и другим контейнерам.

Многие команды загружают образы из общедоступных реестров.

Образ от неизвестного автора может содержать вредоносное ПО, бэкдоры или скрытые майнеры криптовалюты. Всегда проверяйте происхождение образа.

Даже доверенные образы могут быть опасными, если они устарели.

Базовый образ, созданный несколько месяцев назад, может содержать известные уязвимости в библиотеках, которые вышестоящие разработчики давно исправили.

Распространённая ошибка — жёстко прописывать пароли или ключи API в образе.

Любой, кто загрузит образ, сможет прочитать эти секреты. Просмотр слоёв легко их обнаруживает:

По умолчанию процессы внутри контейнера часто запускаются от имени суперпользователя.

Если такой процесс будет скомпрометирован, злоумышленник получит права суперпользователя внутри контейнера, что сделает любой выход из него гораздо опаснее.

Флаги, предоставляющие дополнительные полномочия, расширяют поверхность атаки.

Запуск контейнера в привилегированном режиме устраняет большую часть изоляции:

Избегайте этого, если такая возможность не требуется безусловно.

Контейнеры часто публикуют сетевые порты.

Ненужный открытый порт, например порт базы данных, доступной из интернета, даёт злоумышленникам прямую цель. Публикуйте только действительно необходимые порты.

Если образы передаются через незашифрованный или не прошедший аутентификацию реестр, злоумышленники могут изменить их во время передачи.

Используйте доверенные реестры с TLS и средствами контроля доступа.

Контейнер без ограничений может потребить все CPU и доступную память на узле.

Это приводит к отказу в обслуживании других рабочих нагрузок. Устанавливайте ограничения ресурсов, чтобы один контейнер не лишал ресурсов остальные.

Риски контейнеров охватывают весь жизненный цикл:

• Образ, на основе которого выполняется сборка
• Реестр, из которого выполняется загрузка
• Привилегии, с которыми выполняется запуск
• Узел, совместно используемый с другими контейнерами

Каждый этап требует внимания.

Почему выход из контейнера часто опаснее выхода из VM?

К угрозам для контейнеров относятся ненадёжные образы, устаревшие базовые образы, встроенные секреты, запуск от имени суперпользователя, привилегированный режим, открытые порты и общее ядро.

Знание этих рисков — первый шаг к защите развертываний контейнеров.