{"id":91364,"date":"2020-08-12T07:42:33","date_gmt":"2020-08-12T05:42:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes"},"modified":"2020-08-12T07:42:33","modified_gmt":"2020-08-12T05:42:33","slug":"izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","title":{"rendered":"Untersuchung der (fehlenden) Sicherheit typischer Docker- und Kubernetes-Installationen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Untersuchung
\nIch arbeite seit \u00fcber 20 Jahren in der IT, aber ich hatte bisher keinen Zugriff auf Container. Theoretisch verstand ich, wie sie aufgebaut sind und funktionieren. Aber da ich nie praktisch mit ihnen gearbeitet habe, war ich mir nicht sicher, wie genau sie unter der Haube wirken. <\/p>\n

<\/p>\n

Zudem hatte ich \u00fcberhaupt keine Ahnung von der Sicherheitslage. Aber wie so oft, klingt Theorie sch\u00f6n, und das alte Sprichwort \u201eMit wachsender Sicherheit sinkt der Bedienkomfort\u201c schwebte mir im Kopf. Also dachte ich, dass bei der vermeintlichen Einfachheit der Arbeit mit Containern auch die Sicherheit eher gering ist. Wie sich herausstellte, hatte ich damit recht.<\/p>\n

<\/a><\/noindex><\/p>\n

Um schnell einen Einstieg zu finden, meldete ich mich zu einem Kurs an Black Hat<\/a><\/noindex> 2020 mit dem Titel \u201eVom Schlamm in den Adel: Eindringen und Sch\u00fctzen von Docker Swarm- und Kubernetes-Umgebungen<\/a><\/noindex>\u00bb. <\/p>\n

<\/p>\n

Der Kurs, der von Sheila A. Berta und Sol Ozzan geleitet wurde, begann sofort mit einer Beschreibung, wie Docker-Container funktionieren und welchen Weg sie beim Bereitstellen in Kubernetes durchlaufen. Es war eine vollst\u00e4ndig praktische Sitzung \u2014 die Studierenden mussten Docker und microk8s im Vorfeld auf ihren Maschinen installieren \u2014 ein hervorragender Weg, um die Interaktion der Werkzeuge zu sehen, Schwachstellen zu finden und, was am wichtigsten ist, zu versuchen, diese zu beheben.<\/p>\n

<\/p>\n

Leider, obwohl die Kurse versprachen, nach zwei Tagen zum 'Experten' zu machen, hatte ich das Gef\u00fchl, dass alles gerade erst anf\u00e4ngt und ich noch viel lernen muss.<\/p>\n

<\/p>\n

\"Untersuchung<\/p>\n

<\/p>\n

Bevor ich in meine tiefen Einsichten eintauche, ist es wichtig, zu erkl\u00e4ren, was ein Container ist. In der Welt der Softwareentwicklung ist es normal, dass der Code, den Sie auf Ihrem pers\u00f6nlichen Rechner geschrieben haben, perfekt funktioniert, aber beim Versuch, ihn irgendwo auf einem Server auszuf\u00fchren, einfach nicht l\u00e4uft. Container versuchen, dieses Problem zu l\u00f6sen, indem sie autonome Maschinen bereitstellen, die Sie leicht von einem Server auf einen anderen verschieben k\u00f6nnen, in dem Wissen, dass sie immer funktionieren werden. Wie der Name schon sagt, enthalten sie den Code, Bibliotheken und andere Software, die f\u00fcr den Betrieb erforderlich sind. Kubernetes hingegen ist eine Plattform zur Orchestrierung von Containern<\/a><\/noindex>. Grunds\u00e4tzlich erm\u00f6glicht es Ihnen, nahtlos Hunderte oder Tausende verschiedener Container zu verwalten.<\/p>\n

<\/p>\n

Nachfolgend finden Sie einige meiner Erkenntnisse aus der Perspektive des roten und blauen Teams.<\/p>\n

<\/p>\n

Rotes Team<\/h2>\n

<\/p>\n

Die meisten Inhalte der Container laufen als root<\/strong>: Das bedeutet, dass Sie, wenn Sie einen Container kompromittieren, vollen Zugriff auf den Container erhalten. Dies erleichtert die nachfolgenden Schritte erheblich.<\/p>\n

<\/p>\n

Das Mounten von docker.sock innerhalb eines Containers ist gef\u00e4hrlich<\/strong>: Wenn Sie Root innerhalb eines Containers erhalten haben und Docker innerhalb eines Containers installiert ist, der \u00fcber den Docker-Socket (\/var\/run\/docker.sock) verf\u00fcgt, haben Sie potenziell die M\u00f6glichkeit, den gesamten Cluster zu erkunden, einschlie\u00dflich des Zugriffs auf jeden anderen Container. Ein solcher Zugriff kann weder durch Netzwerktrennung noch auf andere Weise verhindert werden.<\/p>\n

<\/p>\n

Umgebungsvariablen enthalten h\u00e4ufig geheime Daten.<\/strong>: In den meisten F\u00e4llen senden Menschen Passw\u00f6rter in den Container \u00fcber gew\u00f6hnliche Umgebungsvariablen. Wenn Sie also Zugriff auf das Konto haben, k\u00f6nnen Sie diese Umgebungsvariablen einsehen und versuchen, Ihre Berechtigungen zu erweitern.<\/p>\n

<\/p>\n

Die Docker-API kann eine Menge Informationen preisgeben.<\/strong>: Die Docker-API arbeitet standardm\u00e4\u00dfig ohne Authentifizierung und kann viele Informationen liefern. Mit Shodan k\u00f6nnen Sie leicht eine Liste offener Ports finden, detaillierte Informationen \u00fcber den Cluster erhalten und diesen vollst\u00e4ndig \u00fcbernehmen. TrendMicro hat dar\u00fcber ein interessantes St\u00fcck geschrieben.<\/a><\/noindex>.<\/p>\n

<\/p>\n

Das Blue Team.<\/h2>\n

<\/p>\n

F\u00fchren Sie keine Container-Inhalte als Root aus.<\/strong>: \u043d\u0435\u0441\u043c\u043e\u0442\u0440\u044f \u043d\u0430 \u0442\u043e, \u0447\u0442\u043e \u043f\u043e\u0434 root \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0442\u044c \u043f\u0440\u043e\u0449\u0435, \u0432\u044b \u043d\u0435 \u0434\u043e\u043b\u0436\u043d\u044b \u044d\u0442\u043e\u0433\u043e \u0434\u0435\u043b\u0430\u0442\u044c. \u0412\u043c\u0435\u0441\u0442\u043e \u044d\u0442\u043e\u0433\u043e \u0437\u0430\u043f\u0443\u0441\u043a\u0430\u0439\u0442\u0435 \u043f\u0440\u0438\u043b\u043e\u0436\u0435\u043d\u0438\u044f \u0441 \u0441\u0431\u0440\u043e\u0448\u0435\u043d\u043d\u044b\u043c\u0438 \u043f\u0440\u0430\u0432\u0430\u043c\u0438 \u043e\u0442\u043e\u0431\u0440\u0430\u0437\u0438\u0432 uid \u043b\u0438\u0431\u043e \u0441 \u043f\u043e\u043c\u043e\u0449\u044c\u044e \u043f\u0430\u0440\u0430\u043c\u0435\u0442\u0440\u0430 —user \u043f\u0440\u0438 \u0440\u0430\u0431\u043e\u0442\u0435 \u0441 CLI, \u043b\u0438\u0431\u043e \u0443\u043a\u0430\u0437\u044b\u0432\u0430\u044f USER \u0432 Dockerfile.<\/p>\n

<\/p>\n

Erlauben Sie keine Installation von Programmen in Containern.<\/strong>: Fast jeder Angriff beginnt mit der Installation von irgendetwas. Von nmap bis hin zu ifconfig und Docker selbst (innerhalb des Containers) ist die Installation von irgendetwas in einem Container eine g\u00e4ngige Praxis. Aus diesem Grund sollten Sie immer alle ungenutzten Ports sperren. Dies hilft auch, die \u00dcbertragung von Befehlen bei einer Infektion Ihrer Maschine zu verhindern. Neben der Verhinderung der Installation von Programmen sollten Sie sicherstellen, dass im Container nur die minimal erforderliche Anzahl an Anwendungen installiert ist, um die Aufgabe zu erf\u00fcllen.<\/p>\n

<\/p>\n

Sch\u00fctzen Sie docker.sock.<\/strong>: Dieser muss gesch\u00fctzt werden, da \u00fcber diesen Socket die Kommunikation zwischen Container und Cluster verarbeitet wird. Da ich in diesem Artikel nicht auf die Einzelheiten eingehen m\u00f6chte, lesen Sie die Notiz von Docker,<\/a><\/noindex>, was passieren kann und wie Sie all dies blockieren k\u00f6nnen.<\/p>\n

<\/p>\n

Verwenden Sie Docker-Secrets anstelle von Umgebungsvariablen.<\/strong>: Secrets sind verf\u00fcgbar. ungef\u00e4hr seit 2017<\/a><\/noindex>. Zwar ist das nicht sicher, aber es ist trotzdem besser als Umgebungsvariablen zur \u00dcbertragung geheimer Daten in Containern zu verwenden.<\/p>\n

<\/p>\n

Wenn Sie durch den Artikel Interesse an Containern geweckt haben \u2013 Sie k\u00f6nnen Docker oder microk8s (eine kleinere Version von Kubernetes) relativ einfach installieren. Hier<\/a><\/noindex> Es gibt Anleitungen zur Installation von Docker f\u00fcr Linux und MacOS, hier<\/a><\/noindex> und Anleitungen zur Installation von microk8s f\u00fcr Windows, Linux und MacOS.<\/p>\n

<\/p>\n

Nach der Installation k\u00f6nnen Sie dieses Schnellstart-Handbuch<\/a><\/noindex> von Docker durchgehen, ein \u00e4hnliches bietet zum Bing-Suchdienst zu wechseln).<\/a><\/noindex> auch microk8s.<\/p>\n

<\/p>\n

Wenn Sie den Wunsch oder die Notwendigkeit haben, einen umfassenden Kurs \u00fcber Docker zu absolvieren, in dem praktische Referenten alle seine Werkzeuge erl\u00e4utern: von den grundlegenden Abstraktionen bis zu Netzwerkeinstellungen und Nuancen im Umgang mit verschiedenen Betriebssystemen und Programmiersprachen, dann probieren Sie \u00abVideokurs zu Docker<\/a><\/noindex>\u00bb. Sie werden mit der Technologie vertraut und lernen, wo und wie Docker am besten eingesetzt wird. Au\u00dferdem erhalten Sie Best Practices \u2013 es ist besser, sicher zu lernen und die Unterst\u00fctzung von Praktikern in Geschichten \u00fcber Stolpersteine zu haben, als pers\u00f6nlich \u00fcber diese Stolpersteine mit stacheligen Griffen zu stolpern.<\/p>\n

Quelle: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u042f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 IT \u0431\u043e\u043b\u044c\u0448\u0435 20 \u043b\u0435\u0442, \u043d\u043e \u043a\u0430\u043a-\u0442\u043e \u0440\u0443\u043a\u0438 \u043d\u0435 \u0434\u043e\u0445\u043e\u0434\u0438\u043b\u0438 \u0434\u043e \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0412 \u0442\u0435\u043e\u0440\u0438\u0438 \u044f \u043f\u043e\u043d\u0438\u043c\u0430\u043b, \u043a\u0430\u043a \u043e\u043d\u0438 \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u044b \u0438 \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442. \u041d\u043e \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u044f \u043d\u0438\u043a\u043e\u0433\u0434\u0430 \u0441 \u043d\u0438\u043c\u0438 \u043d\u0435 \u0441\u0442\u0430\u043b\u043a\u0438\u0432\u0430\u043b\u0441\u044f \u043d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435 \u2014 \u044f \u043d\u0435 \u0431\u044b\u043b \u0443\u0432\u0435\u0440\u0435\u043d \u0432 \u0442\u043e\u043c, \u043a\u0430\u043a \u0438\u043c\u0435\u043d\u043d\u043e \u043a\u0440\u0443\u0442\u044f\u0442\u0441\u044f-\u0432\u0435\u0440\u0442\u044f\u0442\u0441\u044f \u0443 \u043d\u0438\u0445 \u0448\u0435\u0441\u0442\u0435\u0440\u0451\u043d\u043a\u0438 \u043f\u043e\u0434 \u043a\u0430\u043f\u043e\u0442\u043e\u043c. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u044f \u0431\u044b\u043b \u0431\u0435\u0437 \u043f\u043e\u043d\u044f\u0442\u0438\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":91365,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-91364","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Wir untersuchen die (fehlende) Sicherheit typischer Docker- und Kubernetes-Installationen | ProHoster","description":"Ich arbeite seit \u00fcber 20 Jahren in der IT, aber irgendwie hatte ich nie die Gelegenheit, mich mit Containern zu besch\u00e4ftigen. Theoretisch verstand ich, wie sie aufgebaut sind und funktionieren. Da ich jedoch nie praktisch mit ihnen gearbeitet habe, war ich mir nicht sicher, wie die Mechanismen im Hintergrund tats\u00e4chlich laufen. Au\u00dferdem hatte ich keine Ahnung.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u0437\u0443\u0447\u0430\u0435\u043c (\u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0443\u044e) \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0442\u0438\u043f\u0438\u0447\u043d\u044b\u0445 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043e\u043a Docker \u0438 Kubernetes | ProHoster","og:description":"\u042f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 IT \u0431\u043e\u043b\u044c\u0448\u0435 20 \u043b\u0435\u0442, \u043d\u043e \u043a\u0430\u043a-\u0442\u043e \u0440\u0443\u043a\u0438 \u043d\u0435 \u0434\u043e\u0445\u043e\u0434\u0438\u043b\u0438 \u0434\u043e \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0412 \u0442\u0435\u043e\u0440\u0438\u0438 \u044f \u043f\u043e\u043d\u0438\u043c\u0430\u043b, \u043a\u0430\u043a \u043e\u043d\u0438 \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u044b \u0438 \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442. \u041d\u043e \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u044f \u043d\u0438\u043a\u043e\u0433\u0434\u0430 \u0441 \u043d\u0438\u043c\u0438 \u043d\u0435 \u0441\u0442\u0430\u043b\u043a\u0438\u0432\u0430\u043b\u0441\u044f \u043d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435 \u2014 \u044f \u043d\u0435 \u0431\u044b\u043b \u0443\u0432\u0435\u0440\u0435\u043d \u0432 \u0442\u043e\u043c, \u043a\u0430\u043a \u0438\u043c\u0435\u043d\u043d\u043e \u043a\u0440\u0443\u0442\u044f\u0442\u0441\u044f-\u0432\u0435\u0440\u0442\u044f\u0442\u0441\u044f \u0443 \u043d\u0438\u0445 \u0448\u0435\u0441\u0442\u0435\u0440\u0451\u043d\u043a\u0438 \u043f\u043e\u0434 \u043a\u0430\u043f\u043e\u0442\u043e\u043c. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u044f \u0431\u044b\u043b \u0431\u0435\u0437 \u043f\u043e\u043d\u044f\u0442\u0438\u044f","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-08-12T05:42:33+00:00","article:modified_time":"2020-08-12T05:42:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"91364","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:29:22","updated":"2022-09-28 18:39:15"},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/91364","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=91364"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/91364\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/91365"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=91364"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=91364"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=91364"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}