Безопасность во время выполнения

Безопасность во время выполнения защищает контейнеры, пока они действительно работают, а не только до их запуска.

Сканирование выявляет проблемы в образе, а безопасность во время работы отслеживает атаки во время активной работы.

Даже идеально просканированный образ всё ещё может подвергнуться атаке во время работы.

Злоумышленники используют уязвимости, злоупотребляют учётными данными или вызывают неожиданное поведение после запуска контейнера — одно сканирование не может обнаружить такие проблемы.

Самый простой способ усилить защиту во время работы — не запускать процессы с правами суперпользователя.

Определите пользователя без прав суперпользователя, чтобы скомпрометированный процесс имел ограниченные полномочия:

Добавьте это в образ, и контейнер будет работать без привилегий.

Большинству приложений не требуется записывать данные в собственную файловую систему.

Перевод её в режим только для чтения не позволяет злоумышленникам добавлять вредоносные файлы:

Возможности Linux предоставляют тонко настроенные полномочия. Контейнерам редко нужны все эти возможности.

Удалите их все, а затем добавьте только необходимые:

Ограничения не позволяют одному контейнеру лишать ресурсов другие.

Это защищает хост от случайного или преднамеренного исчерпания ресурсов.

Seccomp ограничивает системные вызовы, которые может использовать контейнер.

Блокировка опасных системных вызовов уменьшает поверхность атаки, даже если приложение скомпрометировано. В большинстве сред выполнения есть разумный профиль по умолчанию.

Инструменты контроля работы отслеживают, что на самом деле делает контейнер.

Такой инструмент, как Falco, может предупредить, если происходит что-то неожиданное, например оболочка запускается внутри контейнера веб-приложения.

Работающий контейнер должен вести себя так же, как его образ. Появление новых двоичных файлов или запуск неожиданных процессов — это отклонение.

Отклонение часто означает, что злоумышленник закрепился в системе.

Когда мониторинг работы обнаруживает атаку, Вы можете быстро отреагировать:

• Завершить подозрительный процесс
• Изолировать контейнер от сети
• Заменить его новым чистым экземпляром

Надёжный подход — считать контейнеры неизменяемыми: никогда не исправлять работающий контейнер, а просто заменять его.

Так каждый контейнер остаётся чистым, а злоумышленникам гораздо сложнее сохранять присутствие в системе.

Какая настройка во время работы сильнее всего уменьшает ущерб, если процесс контейнера скомпрометирован?

Безопасность во время работы защищает активные контейнеры с помощью пользователей без прав суперпользователя, файловых систем только для чтения, удалённых возможностей, ограничений ресурсов, seccomp и мониторинга поведения.

Считайте контейнеры неизменяемыми и быстро реагируйте на обнаруженные угрозы.