Konteyner Tehditleri

Bir kapsayıcı, bir uygulamayı bağımlılıklarıyla birlikte paketleyerek her yerde aynı şekilde çalışmasını sağlar.

Docker gibi araçlar, sanal makinelere kıyasla hızlı başlatıldıkları ve hafif oldukları için kapsayıcıları yaygınlaştırdı.

Sanal makinelerin aksine, aynı ana makinedeki kapsayıcılar işletim sistemi çekirdeğini paylaşır.

Saldırgan bir kapsayıcıdan kaçarsa bu paylaşılan çekirdek, ana makineye ve diğer kapsayıcılara ulaşmak için bir yol hâline gelebilir.

Birçok ekip imajları herkese açık kayıt depolarından çeker.

Bilinmeyen bir geliştiricinin imajında kötü amaçlı yazılım, arka kapılar veya gizli kripto para madenciliği yazılımları bulunabilir. Bir imajın nereden geldiğini her zaman bilin.

Güvenilir imajlar bile güncel değilse riskli olabilir.

Aylar önce oluşturulmuş bir temel imaj, üst projede uzun zaman önce düzeltilmiş kitaplık güvenlik açıklarını hâlâ taşıyor olabilir.

Yaygın bir hata, parolaları veya API anahtarlarını bir imaja sabit olarak yazmaktır.

İmajı çeken herkes bu gizli bilgileri okuyabilir. Katmanları incelemek bunları kolayca ortaya çıkarır:

Varsayılan olarak bir kapsayıcının içindeki süreçler çoğu zaman kök kullanıcı olarak çalışır.

Bu süreç ele geçirilirse saldırgan kapsayıcı içinde kök düzeyinde yetki kazanır ve olası bir kaçış çok daha tehlikeli hâle gelir.

Ek yetki veren bayraklar saldırı yüzeyini genişletir.

Bir kapsayıcıyı ayrıcalıklı kipte çalıştırmak yalıtımın çoğunu ortadan kaldırır:

Kesinlikle gerekli olmadığı sürece bundan kaçının.

Kapsayıcılar genellikle ağ bağlantı noktalarını dışarı açar.

İnternete açılmış bir veritabanı gibi gereksiz bir açık bağlantı noktası, saldırganlara doğrudan bir hedef verir. Yalnızca gerçekten ihtiyaç duyduğunuz bağlantı noktalarını açın.

İmajlar şifrelenmemiş veya kimlik doğrulaması yapılmamış bir kayıt deposu üzerinden aktarılırsa saldırganlar bunları aktarım sırasında değiştirebilir.

TLS ve erişim denetimleri kullanan güvenilir kayıt depolarını tercih edin.

Sınırları olmayan bir kapsayıcı, bir ana makinedeki tüm CPU'yu ve belleği tüketebilir.

Bu durum diğer iş yükleri için hizmet engellemeye yol açar. Bir kapsayıcının diğerlerini kaynaklardan yoksun bırakmasını önlemek için kaynak sınırları belirleyin.

Kapsayıcı riski tüm yaşam döngüsünü kapsar:

• Üzerine kurduğunuz imaj
• İmajı çektiğiniz kayıt deposu
• Çalıştırırken kullandığınız ayrıcalıklar
• Paylaştığınız ana makine

Her aşama dikkat gerektirir.

Bir kapsayıcıdan kaçış neden çoğu zaman bir VM'den kaçıştan daha ciddi sonuçlar doğurur?

Kapsayıcı tehditleri arasında güvenilmeyen imajlar, güncel olmayan temel imajlar, imajlara gömülmüş gizli bilgiler, kök kullanıcı olarak çalıştırma, ayrıcalıklı kip, dışarı açılmış bağlantı noktaları ve paylaşılan çekirdek bulunur.

Bu riskleri bilmek, kapsayıcı dağıtımlarınızı güvenli hâle getirmenin ilk adımıdır.