Безопасность контейнеров во время выполнения

Добро пожаловать в раздел Безопасность контейнеров во время выполнения! Создание безопасных образов крайне важно, но что происходит после запуска контейнера?

В этом уроке рассматриваются рекомендации по защите приложений во время их работы и ограничению возможного ущерба от уязвимостей или атак.

Один из основополагающих принципов безопасности — принцип наименьших привилегий. Он означает, что сущности (например, контейнеру или пользователю) предоставляются только разрешения, абсолютно необходимые для выполнения её функции, и не более того.

Применение этого принципа уменьшает поверхность атаки и ограничивает последствия компрометации контейнера.

По умолчанию процессы внутри контейнера Docker запускаются от имени пользователя root, обладающего полными административными правами внутри контейнера.

• Риск: если злоумышленник получит контроль над контейнером с привилегиями root, он потенциально сможет использовать уязвимости в службе Docker или ядре, чтобы получить доступ root к хост-системе.
• Рекомендация: всегда запускайте процессы контейнера от имени пользователя, не являющегося root.

Можно указать пользователя (по имени или UID) для процесса контейнера с помощью флага --user команды docker run. В этом примере команда id запускается в контейнере Alpine от имени пользователя 1000.

Если пользователя 1000 не существует, Docker всё равно будет использовать этот UID.

В традиционных системах Linux пользователь root обладает полномочиями по принципу «всё или ничего». Возможности Linux разделяют мощные привилегии root на небольшие отдельные наборы.

Благодаря этому процесс может получить только необходимые ему полномочия уровня root (например, привязку к портам с низкими номерами или доступ к необработанной сети), не получая полный набор прав root.

По умолчанию контейнеры Docker запускаются с большим набором возможностей. Вы можете удалить ненужные возможности с помощью --cap-drop, дополнительно ограничив действия контейнера.

В этом примере мы удаляем возможность NET_RAW. После этого команда ping, которой требуется NET_RAW, завершится с ошибкой, демонстрируя установленное ограничение.

Контейнеры совместно используют ядро и ресурсы хост-системы. Неконтролируемое использование ресурсов одним контейнером может привести к отказу в обслуживании (DoS) других контейнеров или даже самой хост-системы.

• Ограничения CPU: не позволяют контейнеру монополизировать вычислительные циклы CPU.
• Ограничения памяти: не позволяют контейнеру использовать всю доступную RAM, предотвращая нестабильность системы.

Ограничения CPU и памяти можно задать непосредственно с помощью docker run. В этом примере объём памяти ограничен значением 128 МБ, а использование CPU — значением 0.5 (половина одного ядра CPU).

Это позволяет контейнеру работать корректно и не лишать другие процессы необходимых ресурсов.

Многим приложениям не требуется выполнять запись в корневую файловую систему после запуска. Если сделать файловую систему доступной только для чтения, Вы получите значительные преимущества в безопасности:

• Предотвращение изменений: злоумышленник не сможет изменить существующие файлы или записать новые вредоносные файлы.
• Ограничение сохранения изменений: все внесённые изменения будут временными и исчезнут после перезапуска контейнера.
• Обеспечение неизменяемости: это способствует созданию архитектуры, в которой контейнеры являются одноразовыми, а конфигурация хранится отдельно.

Используйте флаг --read-only при запуске контейнера. Любая попытка записи в файловую систему контейнера (за исключением явно подключённых томов) завершится с ошибкой.

Попробуйте создать файл в этом контейнере, доступном только для чтения:

Какие из перечисленных ниже практик подходят для защиты контейнеров во время выполнения?

Отличная работа! Вы узнали, как повысить безопасность контейнеров во время их работы:

• Наименьшие привилегии: предоставляйте только необходимые разрешения.
• Пользователи без прав root: не запускайте процессы от имени root.
• Возможности: удаляйте ненужные возможности Linux.
• Ограничения ресурсов: контролируйте использование CPU и памяти.
• Только для чтения: делайте файловые системы неизменяемыми, чтобы предотвратить запись.

Эти практики значительно уменьшают поверхность атаки и последствия возможной компрометации. Продолжайте практиковаться!