隨著越來越多的組織將數據和工作負載轉移到了云上，許多組織都開始依賴于容器來封裝代碼及其依賴的軟件單元，以便在從一個計算環境遷移到另一個計算環境時，應用程序能夠可靠地運行。克萊姆森大學遺傳與生物化學系的云架構師Cole McKnight表示，容器化被譽為是一種以安全方式部署應用程序和服務的強大技術。

Docker和Singularity等容器引擎提供了一種方法來實現和分發給定應用程序的好實踐安全策略，而不是依賴于單個的用戶來配置安全安裝，McKnight說。“容器編排平臺，如Kubernetes、Mesos或Docker Swarm，都具有集成的安全機制來專門用于部署和執行容器，”McKnight說。“結果是可以得到一個易于配置的可用于開發和部署容器的生態系統。”

雖然這些技術抽象了交付安全應用程序和服務的傳統復雜性，但一些開發團隊將這種安全性的可能性也解釋為了一種保證，McKnight說。問題是，容器實現不是萬無一失的，團隊在使用它們時所犯的錯誤依然可能會產生而不是解決安全問題。

1. 過分關注容器本身

“在實現安全容器時，最常見的錯誤是只關注容器本身，”McKnight說。維護映像安全性的好實踐非常重要，他說，但開發人員通常只會將重點放在映像的安全性上，而不考慮執行環境。

“容器內的任何安全措施都無法保護它免受宿主的攻擊，”McKnight說。“承載容器引擎的每臺計算機必須在每一層上都受到保護，以防出現任何傳統上可利用的漏洞。”

必須將容器引擎和容器編制平臺(如果適用的話)配置為正確使用集成的容器安全機制，McKnight說。“因此，容器安全需要從主機的操作系統和網絡開始，”他說。

2. 假設代碼庫是安全的

獨立網絡安全顧問Tony Asher表示，在部署容器時，一些組織會錯誤地將代碼庫包括進來，并認為它們是安全的。“這包括了開發套件中的庫，”Asher說。“更重要的是，第三方庫也經常會被直接引入以加速開發。”

安全性問題指的是這些應用程序代碼庫中可能存在漏洞，Asher說。“編譯應用程序并將它們發布到生產容器中，可能會通過漏洞利用而引入嚴重的風險。”

為了解決這個問題，Asher建議公司在考慮導入第三方庫時，將庫限制在滿足應用程序容器成功標準所需的范圍內，掃描代碼尋找漏洞，并應用安全審查流程。

組織還需要開發一個正式的安全體系結構審查流程。“這個流程應該包括檢查符合風險標準的容器，由一組人來檢查，”Asher說。這提供了問責制，有助于確保風險得到考慮。

3. 給予容器不必要的特權

風險投資公司ClearSky的管理合伙人Jay Leek說，給容器過多的特權是很常見的，而攻擊者可以濫用這些特權來利用容器本不應該訪問但確實可以訪問的資源。“在這里應該應用最小特權原則，并且執行運行時行為監視，以便能夠確保檢測到任何非必要的應用程序特權的濫用。”Leek說。

一種常見的做法是在執行環境中使用特權來運行容器，McKnight說。“取決于主機的軟件堆棧，這可能意味著不同的東西，”他說。“但是在宿主環境中給容器不必要的特權會導致問題的升級，不僅會導致容器被破壞，也可能會導致主機被破壞。”

正如容器內部的安全性無法保護它不受其主機的攻擊一樣，主機內部的安全性也無法保護其免受特權容器的利用。“容器的設計應該確保其運行方式不會在主機環境中為其提供不必要的特權。”McKnight說。

當需要特權時，應該以精細的粒度謹慎地給予特權，McKnight說。“好實踐是避免在宿主環境中提供具有清除權限的容器。”

4. 過度暴露容器

同樣，需要在執行時公開給公共網絡的容器也需要以同樣的心態進行設計。“應該只打開絕對必要的通道，而不是設計一個讓容器暴露于潛在攻擊的全面開放的策略。”McKnight說。

在實現容器本身時需要考慮很多問題。“容器是通過一系列命令構建的，這些命令會在映像規范中被定義，并在映像構建時以root權限運行，”McKnight說。“開發人員通常會在部署和執行容器時錯誤地保留這些權限。”

如果在運行時使用root權限運行容器內的進程，則該容器內的數據和軟件將受到危害。為了解決這個問題，要在容器中運行的命令應該是由非root用戶在沒有權限的情況下運行的(如果可能的話)，以避免容器中的任何權限提升。

在網絡方面，也需要仔細考慮容器的數據和進程暴露給其他實體的方式。“容器的安全需要再一次從傳統的操作系統和網絡安全開始，”McKnight說。“必須檢查容器與外部卷、網絡和進程之間的任何交互。”

5. 未能正確地審查映像

在部署容器時，組織通常忽略的另一個因素是它們所基于的映像。“團隊通常會犯這樣的錯誤:在將另一方開發的映像集成到他們的解決方案之前，沒有對其進行適當的審查。”McKnight說。

在從公共注冊中心部署容器或將其用作基礎映像之前，請對其進行掃描，以查找惡意軟件和漏洞。此外，組織也應該讓有經驗的開發人員徹底檢查映像，找出漏洞，McKnight說。

“假定推送到公共注冊中心的映像是安全的，這是非常危險的，特別是在從這些映像構建額外的映像時。”McKnight說。

6. 不尊重不可變映像的原則

不可變的映像是不可以改變的，Asher指出。“這是Docker、Kubernetes和其它容器解決方案的原則，”他表示。“在internet上部署系統和數據時(internet是不受信任的媒體)，需要創建一個能夠確保完整性的流程。”

不可變的映像提供了一些好處，例如可預測、可銷售以及提供了自動恢復能力。他們還提供了完整性，Asher說，這是安全的核心目的之一。

“當生產容器不遵循不可變的原則時，應用程序將可以連接到它們并進行更改，”Asher說。“這種行為引發了多重安全隱患。具體來說，它會破壞容器的完整性。”

最令人擔憂的風險之一是惡意參與者會修改容器以包含惡意代碼。這可能會對公司造成重大影響，Asher說。監視容器的完整性可以極大地降低這種風險。

“你需要改進和糾正部署管道，以防止生產容器發生變化，”Asher說。“確保在擁有質量保證的測試環境中進行更改，確保這些更改能夠得到批準，然后部署新的不可變映像來替代舊的映像。”

文章名稱：6個需要避免的常見容器安全錯誤
網站URL：http://m.kartarina.com/news23/204873.html

成都網站建設公司_創新互聯，為您提供標簽優化、自適應網站、網站設計、商城網站、ChatGPT、網站排名

廣告

聲明：本網站發布的內容（圖片、視頻和文字）以用戶投稿、用戶轉載內容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網站立場，如需處理請聯系客服。電話：028-86922220；郵箱：631063699@qq.com。內容未經允許不得轉載，或轉載時需注明來源： 創新互聯