ความปลอดภัยขณะทำงาน

ความปลอดภัยขณะทำงานช่วยปกป้องคอนเทนเนอร์ในขณะที่กำลังทำงานจริง ไม่ใช่เพียงก่อนเริ่มทำงานเท่านั้น

การสแกนจะตรวจจับปัญหาในอิมเมจ ส่วนความปลอดภัยขณะทำงานจะเฝ้าระวังการโจมตีระหว่างการทำงานจริง

แม้อิมเมจจะผ่านการสแกนอย่างสมบูรณ์ ก็ยังอาจถูกโจมตีขณะทำงานได้

ผู้โจมตีอาจใช้ประโยชน์จากข้อบกพร่อง ใช้ข้อมูลรับรองในทางที่ผิด หรือทำให้เกิดพฤติกรรมที่ไม่คาดคิดหลังจากเปิดใช้งานคอนเทนเนอร์แล้ว ซึ่งการสแกนเพียงอย่างเดียวไม่สามารถตรวจจับได้

วิธีเสริมความปลอดภัยขณะทำงานที่ง่ายที่สุดคือหลีกเลี่ยงการใช้รูท

กำหนดผู้ใช้ที่ไม่ใช่รูท เพื่อให้กระบวนการที่ถูกเจาะมีสิทธิ์จำกัด:

เพิ่มรายการนี้ลงในอิมเมจ แล้วคอนเทนเนอร์จะทำงานโดยไม่มีสิทธิ์พิเศษ

แอปส่วนใหญ่ไม่จำเป็นต้องเขียนลงในระบบไฟล์ของตนเอง

การกำหนดให้เป็นแบบอ่านอย่างเดียวจะป้องกันไม่ให้ผู้โจมตีวางไฟล์อันตรายไว้ในระบบ:

ความสามารถพิเศษของลินุกซ์จะมอบสิทธิ์เฉพาะด้าน คอนเทนเนอร์มักไม่จำเป็นต้องใช้ความสามารถเหล่านี้ทั้งหมด

ตัดออกทั้งหมดก่อน แล้วเพิ่มกลับเฉพาะสิ่งที่จำเป็น:

ขีดจำกัดช่วยป้องกันไม่ให้คอนเทนเนอร์หนึ่งใช้ทรัพยากรจนคอนเทนเนอร์อื่นขาดแคลน

วิธีนี้ช่วยปกป้องโฮสต์จากการใช้ทรัพยากรจนหมดโดยไม่ตั้งใจหรือโดยมีเจตนาร้าย

ซีคอมป์จำกัดว่าคอนเทนเนอร์สามารถใช้การเรียกระบบใดได้บ้าง

การบล็อกการเรียกระบบที่เป็นอันตรายช่วยลดพื้นที่โจมตี แม้แอปจะถูกเจาะแล้วก็ตาม รันไทม์ส่วนใหญ่มีโปรไฟล์เริ่มต้นที่เหมาะสมมาให้

เครื่องมือขณะทำงานจะเฝ้าดูว่าคอนเทนเนอร์ทำอะไรจริง

เครื่องมืออย่างฟัลโกสามารถแจ้งเตือนได้เมื่อเกิดสิ่งที่ไม่คาดคิด เช่น มีการสร้างเชลล์ขึ้นภายในคอนเทนเนอร์เว็บ

คอนเทนเนอร์ที่กำลังทำงานควรมีพฤติกรรมเหมือนอิมเมจของตนเอง เมื่อมีไบนารีใหม่ปรากฏขึ้นหรือมีกระบวนการที่ไม่คาดคิดเริ่มทำงาน นั่นคือการเบี่ยงเบน

การเบี่ยงเบนมักเป็นสัญญาณว่าผู้โจมตีสามารถยึดพื้นที่ภายในระบบได้แล้ว

เมื่อการเฝ้าติดตามขณะทำงานตรวจพบการโจมตี คุณสามารถรับมือได้อย่างรวดเร็ว:

• ยุติกระบวนการที่น่าสงสัย
• แยกคอนเทนเนอร์ออกจากเครือข่าย
• แทนที่ด้วยอินสแตนซ์ใหม่ที่สะอาด

แนวทางที่รัดกุมคือถือว่าคอนเทนเนอร์ไม่เปลี่ยนแปลง: อย่าแก้ไขคอนเทนเนอร์ที่กำลังทำงาน แต่ให้แทนที่ด้วยคอนเทนเนอร์ใหม่

วิธีนี้ช่วยให้คอนเทนเนอร์ทุกตัวสะอาดอยู่เสมอ และทำให้ผู้โจมตีคงอยู่ในระบบได้ยากขึ้นมาก

การตั้งค่าขณะทำงานแบบใดช่วยลดความเสียหายได้มากที่สุด หากกระบวนการของคอนเทนเนอร์ถูกเจาะ

ความปลอดภัยขณะทำงานช่วยปกป้องคอนเทนเนอร์ที่กำลังทำงานด้วยผู้ใช้ที่ไม่ใช่รูท ระบบไฟล์แบบอ่านอย่างเดียว ความสามารถพิเศษที่ถูกตัดออก ขีดจำกัดทรัพยากร ซีคอมป์ และการเฝ้าติดตามพฤติกรรม

ถือว่าคอนเทนเนอร์ไม่เปลี่ยนแปลง และรับมือกับภัยคุกคามที่ตรวจพบให้เร็ว