ภัยคุกคามจากคอนเทนเนอร์

คอนเทนเนอร์ บรรจุแอปพลิเคชันพร้อมการพึ่งพาของแอปพลิเคชันนั้น ทำให้ทำงานในลักษณะเดียวกันได้ทุกที่

เครื่องมืออย่าง ด็อกเกอร์ ทำให้คอนเทนเนอร์ได้รับความนิยม เพราะเริ่มทำงานได้รวดเร็วและมีน้ำหนักเบาเมื่อเทียบกับเครื่องเสมือน

คอนเทนเนอร์ที่ทำงานอยู่บนโฮสต์เดียวกันจะแตกต่างจากเครื่องเสมือนตรงที่ ใช้เคอร์เนลของระบบปฏิบัติการร่วมกัน

หากผู้โจมตีหลบหนีออกจากคอนเทนเนอร์ได้ เคอร์เนลที่ใช้ร่วมกันนั้นอาจกลายเป็นช่องทางไปยังโฮสต์และคอนเทนเนอร์อื่น

หลายทีมดึงอิมเมจจากคลังสาธารณะ

อิมเมจจากผู้สร้างที่ไม่รู้จักอาจมี มัลแวร์ ช่องทางลับ หรือโปรแกรมขุดคริปโตซ่อนอยู่ ควรทราบแหล่งที่มาของอิมเมจทุกครั้ง

แม้อิมเมจที่เชื่อถือได้ก็อาจมีความเสี่ยงหาก ล้าสมัย

อิมเมจพื้นฐานที่สร้างขึ้นเมื่อหลายเดือนก่อนอาจมีช่องโหว่ที่ทราบแล้วในไลบรารีต่าง ๆ ซึ่งต้นทางได้แก้ไขไปนานแล้ว

ข้อผิดพลาดที่พบบ่อยคือการฝังรหัสผ่านหรือคีย์ API ไว้ในอิมเมจโดยตรง

ใครก็ตามที่ดึงอิมเมจไปสามารถอ่านความลับเหล่านั้นได้ การตรวจสอบเลเยอร์จะแสดงความลับเหล่านี้ได้อย่างง่ายดาย:

โดยค่าเริ่มต้น กระบวนการภายในคอนเทนเนอร์มักทำงานในฐานะ รูท

หากกระบวนการนั้นถูกเจาะ ผู้โจมตีจะได้อำนาจระดับรูทภายในคอนเทนเนอร์ ทำให้การหลบหนีออกจากคอนเทนเนอร์เป็นอันตรายยิ่งขึ้น

แฟล็กที่มอบอำนาจเพิ่มเติมจะขยายพื้นผิวการโจมตี

การเรียกใช้คอนเทนเนอร์ใน โหมดสิทธิ์สูง จะลบการแยกออกจากกันเกือบทั้งหมด:

หลีกเลี่ยงวิธีนี้เว้นแต่จำเป็นอย่างยิ่ง

คอนเทนเนอร์มักเผยแพร่พอร์ตเครือข่าย

พอร์ตที่เปิดโดยไม่จำเป็น เช่น ฐานข้อมูลที่เปิดเผยต่ออินเทอร์เน็ต จะมอบเป้าหมายโดยตรงแก่ผู้โจมตี ควรเผยแพร่เฉพาะพอร์ตที่จำเป็นจริง ๆ

หากอิมเมจถูกส่งผ่าน คลังอิมเมจ ที่ไม่มีการเข้ารหัสหรือการยืนยันตัวตน ผู้โจมตีอาจแก้ไขอิมเมจระหว่างการส่งได้

ใช้คลังอิมเมจที่เชื่อถือได้ พร้อม TLS และการควบคุมสิทธิ์เข้าถึง

คอนเทนเนอร์ที่ไม่มีการจำกัดอาจใช้ CPU และหน่วยความจำทั้งหมดบนโฮสต์

ส่งผลให้เกิด การปฏิเสธการให้บริการ ต่อภาระงานอื่น ควรกำหนดขีดจำกัดทรัพยากรเพื่อไม่ให้คอนเทนเนอร์หนึ่งแย่งทรัพยากรจนคอนเทนเนอร์อื่นทำงานไม่ได้

ความเสี่ยงของคอนเทนเนอร์ครอบคลุมตลอดวงจรชีวิต:

• อิมเมจที่ใช้เป็นจุดเริ่มต้นในการสร้าง
• คลังอิมเมจที่ใช้ดึงอิมเมจ
• สิทธิ์ที่ใช้ในการเรียกใช้
• โฮสต์ที่ใช้ร่วมกัน

ทุกขั้นตอนต้องได้รับการใส่ใจ

เหตุใดการหลบหนีออกจากคอนเทนเนอร์จึงมักร้ายแรงกว่าการหลบหนีออกจาก VM

ภัยคุกคามต่อคอนเทนเนอร์ ได้แก่ อิมเมจที่ไม่น่าเชื่อถือ อิมเมจพื้นฐานที่ล้าสมัย ความลับที่ฝังอยู่ การทำงานในฐานะรูท โหมดสิทธิ์สูง พอร์ตที่เปิดเผย และเคอร์เนลที่ใช้ร่วมกัน

การรู้จักความเสี่ยงเหล่านี้เป็นขั้นตอนแรกสู่การรักษาความปลอดภัยให้การนำคอนเทนเนอร์ไปใช้งาน