Çalışma Zamanında Kapsayıcı Güvenliği

Çalışma Zamanı Kapsayıcı Güvenliği dersine hoş geldiniz! Güvenli imajlar oluşturmak çok önemlidir; peki kapsayıcınız çalışmaya başladıktan sonra ne olur?

Bu derste, uygulamalarınızı etkin oldukları sırada korumaya yönelik en iyi uygulamalara odaklanacağız ve güvenlik açıklarından veya saldırılardan kaynaklanabilecek olası zararı sınırlayacağız.

Temel bir güvenlik kavramı En Az Ayrıcalık İlkesi'dir. Bu ilke, bir varlığa (kapsayıcı veya kullanıcı gibi) görevini yerine getirmesi için kesinlikle gerekli izinlerin verilmesini, daha fazlasının verilmemesini ifade eder.

Bu ilkenin uygulanması saldırı yüzeyini azaltır ve bir kapsayıcı ele geçirilirse etkisini sınırlar.

Varsayılan olarak bir Docker kapsayıcısındaki işlemler, kapsayıcı içinde tam yönetici ayrıcalıklarına sahip olan root kullanıcısı olarak çalışır.

• Risk: Saldırgan root ayrıcalıklarına sahip bir kapsayıcının denetimini ele geçirirse Docker arka plan hizmetindeki veya çekirdekteki güvenlik açıklarından yararlanarak ana sistemde root erişimi elde edebilir.
• En İyi Uygulama: Kapsayıcı işlemlerinizi her zaman root olmayan bir kullanıcı olarak çalıştırın.

docker run ile birlikte --user seçeneğini kullanarak kapsayıcı işleminiz için ada veya UID'ye göre bir kullanıcı belirtebilirsiniz. Burada id komutunu bir Alpine kapsayıcısında 1000 kullanıcısı olarak çalıştırıyoruz.

1000 kullanıcısı mevcut değilse Docker yine de bu UID'yi kullanır.

Geleneksel Linux sistemlerinde root kullanıcısı ya hep ya hiç yaklaşımına sahiptir. Linux Yetenekleri, root'un güçlü ayrıcalıklarını daha küçük ve birbirinden bağımsız birimlere ayırır.

Bu sayede bir işlem, tam root yetkisine sahip olmadan yalnızca ihtiyaç duyduğu belirli root benzeri yetkilere (ör. düşük numaralı bağlantı noktalarına bağlanma veya ham ağ erişimi) sahip olabilir.

Docker kapsayıcıları varsayılan olarak geniş bir yetenek kümesiyle çalışır. Bir kapsayıcının yapabileceklerini daha da kısıtlamak için gereksiz yetenekleri --cap-drop kullanarak kaldırabilirsiniz.

Burada NET_RAW yeteneğini kaldırıyoruz. NET_RAW gerektiren ping komutu başarısız olacak ve kısıtlamayı gösterecektir.

Kapsayıcılar ana makinenin çekirdeğini ve kaynaklarını paylaşır. Bir kapsayıcının denetlenmeyen kaynak kullanımı, diğer kapsayıcılar ve hatta ana makinenin kendisi için Hizmet Engelleme (DoS) durumuna yol açabilir.

• CPU Sınırları: Bir kapsayıcının CPU döngülerini tekeline almasını önler.
• Bellek Sınırları: Bir kapsayıcının kullanılabilir RAM'in tamamını tüketmesini durdurarak sistem kararsızlığını önler.

CPU ve bellek sınırlarını doğrudan docker run ile belirleyebilirsiniz. Bu örnekte bellek 128 MB ile, CPU kullanımı ise 0,5 (tek CPU çekirdeğinin yarısı) ile sınırlandırılır.

Bu, kapsayıcınızın düzgün çalışmasını ve diğer işlemlerin kaynaklardan mahrum kalmamasını sağlar.

Birçok uygulamanın başlangıçtan sonra kök dosya sistemine yazması gerekmez. Dosya sistemini salt okunur hâle getirerek önemli güvenlik avantajları elde edersiniz:

• Değiştirmeyi Önler: Saldırgan mevcut dosyaları değiştiremez veya yeni kötü amaçlı dosyalar yazamaz.
• Kalıcılığı Sınırlar: Yapılan tüm değişiklikler geçicidir ve kapsayıcı yeniden başlatıldığında kaybolur.
• Değişmezliği Zorunlu Kılar: Kapsayıcıların geçici olduğu ve yapılandırmanın dışarıda tutulduğu bir tasarımı teşvik eder.

Bir kapsayıcı çalıştırırken --read-only seçeneğini kullanın. Kapsayıcının dosya sistemine (açıkça bağlanan birimlerin dışına) yazma girişimleri başarısız olur.

Bu salt okunur kapsayıcıda bir dosya oluşturmayı deneyin:

Aşağıdakilerden hangileri, kapsayıcıların çalışma zamanında güvenliğini sağlamak için iyi uygulamalardır?

Harika iş! Kapsayıcılar çalışırken güvenliği nasıl artıracağınızı öğrendiniz:

• En Az Ayrıcalık: Yalnızca gerekli izinleri verin.
• Root Olmayan Kullanıcılar: İşlemleri root olarak çalıştırmaktan kaçının.
• Yetenekler: Gereksiz Linux yeteneklerini kaldırın.
• Kaynak Sınırları: CPU ve bellek kullanımını denetleyin.
• Salt Okunur: Yazma işlemlerini önlemek için dosya sistemlerini değişmez hâle getirin.

Bu uygulamalar saldırı yüzeyini ve olası ele geçirmelerin etkisini önemli ölçüde azaltır. Öğrenmeye devam edin!