Çalışma Zamanı Güvenliği

Çalışma zamanı güvenliği, konteynerleri yalnızca başlatılmadan önce değil, gerçekten çalıştıkları sırada da korur.

Tarama imajdaki sorunları yakalar; çalışma zamanı güvenliği ise canlı çalışma sırasında gerçekleşen saldırıları izler.

Mükemmel şekilde taranmış bir imaj bile çalışma zamanında saldırıya uğrayabilir.

Saldırganlar, konteyner başlatıldıktan sonra hatalardan yararlanır, kimlik bilgilerini kötüye kullanır veya beklenmeyen davranışları tetikler; bunları yalnızca tarama yakalayamaz.

Çalışma zamanında güçlendirme yapmanın en basit yolu root kullanmaktan kaçınmaktır.

Ele geçirilmiş bir işlemin yetkileri sınırlı olsun diye root olmayan bir kullanıcı tanımlayın:

Bunu imajınıza eklediğinizde konteyner kısıtlı yetkilerle çalışır.

Çoğu uygulamanın kendi dosya sistemine yazması gerekmez.

Dosya sistemini salt okunur yapmak, saldırganların kötü amaçlı dosyalar bırakmasını engeller:

Linux yetenekleri, ayrıntılı yetkiler sağlar. Konteynerlerin bunların tümüne nadiren ihtiyacı olur.

Her şeyi kaldırın, ardından yalnızca ihtiyacınız olanları geri ekleyin:

Sınırlar, bir konteynerin diğerlerinin kaynaklarını tüketmesini önler.

Bu, ana makineyi kazara veya kötü amaçlı kaynak tüketimine karşı korur.

Seccomp, bir konteynerin hangi sistem çağrılarını kullanabileceğini kısıtlar.

Tehlikeli sistem çağrılarını engellemek, uygulama ele geçirilse bile saldırı yüzeyini küçültür. Çoğu çalışma zamanı, kullanıma hazır makul bir varsayılan profil sunar.

Çalışma zamanı araçları, bir konteynerin gerçekte ne yaptığını izler.

Falco gibi bir araç, örneğin bir web konteyneri içinde kabuk işlemi başlatılması gibi beklenmeyen bir durum gerçekleştiğinde uyarı verebilir.

Çalışan bir konteyner, imajı gibi davranmalıdır. Yeni ikili dosyalar ortaya çıktığında veya beklenmeyen işlemler başladığında buna sapma denir.

Sapma çoğu zaman saldırganın sisteme bir tutunma noktası kazandığını gösterir.

Çalışma zamanı izleme bir saldırı algıladığında hızlıca yanıt verebilirsiniz:

• Şüpheli işlemi sonlandırın
• Konteyneri ağdan yalıtın
• Onu yeni ve temiz bir örnekle değiştirin

Güçlü bir yaklaşım, konteynerleri değişmez olarak ele almaktır: çalışan bir konteyneri asla yamalamayın, yalnızca değiştirin.

Bu, her konteynerin temiz kalmasını sağlar ve saldırganın kalıcılık sağlamasını çok zorlaştırır.

Bir konteyner işlemi ele geçirilirse hangi çalışma zamanı ayarı zararı en çok azaltır?

Çalışma zamanı güvenliği, canlı konteynerleri root olmayan kullanıcılar, salt okunur dosya sistemleri, kaldırılmış yetenekler, kaynak sınırları, seccomp ve davranış izleme ile korur.

Konteynerleri değişmez olarak ele alın ve algılanan tehditlere hızlıca yanıt verin.