{"id":91364,"date":"2020-08-12T07:42:33","date_gmt":"2020-08-12T05:42:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes"},"modified":"2020-08-12T07:42:33","modified_gmt":"2020-08-12T05:42:33","slug":"izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","title":{"rendered":"Untersuchen der (fehlenden) Sicherheit typischer Docker- und Kubernetes-Installationen","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Untersuchen
\nIch arbeite seit \u00fcber 20 Jahren im IT-Bereich, aber irgendwie kam ich nie zu Containern. In der Theorie verstand ich, wie sie aufgebaut sind und funktionieren. Aber da ich noch nie praktisch damit zu tun hatte, war ich mir nicht sicher, wie genau die Zahnr\u00e4der darunter arbeiten. <\/p>\n

<\/p>\n

Au\u00dferdem hatte ich keine Ahnung, wie es um die Sicherheit steht. Aber nochmals, die Theorie klingt sch\u00f6n, und das alte Lied \"Mit zunehmender Sicherheit sinkt der Komfort\" ging mir nicht aus dem Kopf. Also dachte ich, wenn es so einfach ist, mit Containern zu arbeiten, dann ist die Sicherheit dort unterirdisch. Wie sich herausstellte, hatte ich recht.<\/p>\n

<\/a><\/noindex><\/p>\n

Um schnell einzusteigen, meldete ich mich f\u00fcr einen Kurs an Black Hat<\/a><\/noindex> 2020 mit dem Titel \u201eVom Dreck zum Adel: Eindringen und Sch\u00fctzen von Docker Swarm und Kubernetes Umgebungen<\/a><\/noindex>\u00bb. <\/p>\n

<\/p>\n

Der Kurs, der von Sheila A. Berta und Sol Ozzan geleitet wurde, begann sofort mit einer Beschreibung, wie Docker-Container funktionieren und welchen Weg sie beim Bereitstellen in Kubernetes zur\u00fccklegen. Es war eine rein praktische Veranstaltung \u2014 die Studenten mussten Docker und microk8s vor den Kursstunden auf ihren Rechnern installieren \u2014 eine gro\u00dfartige M\u00f6glichkeit, die Interaktion der Werkzeuge zu sehen, Schwachstellen zu finden und, was am wichtigsten ist, zu versuchen, sie zu beheben.<\/p>\n

<\/p>\n

Leider hatte der Kurs zwar versprochen, nach zwei Tagen zum \u201eAdel\u201c zu werden, aber ich f\u00fchlte, dass alles erst beginnt und ich noch viel lernen muss.<\/p>\n

<\/p>\n

\"Untersuchen<\/p>\n

<\/p>\n

Bevor ich in meine hohen Beobachtungen eintauchen kann, ist es wichtig zu erkl\u00e4ren, was ein Container ist. In der Entwicklungswelt gilt es als normal, dass der Code, der auf Ihrem pers\u00f6nlichen Rechner geschrieben wurde, einwandfrei funktioniert, aber beim Versuch, ihn irgendwo auf einem Server auszuf\u00fchren, er einfach nicht funktioniert. Container versuchen, dieses Problem zu \u00fcberwinden, indem sie autonome Maschinen bereitstellen, die Sie problemlos von einem Server auf einen anderen verschieben k\u00f6nnen, in dem Wissen, dass sie immer funktionieren werden. Wie der Name schon sagt, enthalten sie Code, Bibliotheken und andere Software, die zum Betrieb ben\u00f6tigt werden. Kubernetes hingegen ist eine Orchestrierungsplattform f\u00fcr Container<\/a><\/noindex>. Grunds\u00e4tzlich erm\u00f6glicht es Ihnen, nahtlos Hunderte oder Tausende verschiedener Container zu verwalten.<\/p>\n

<\/p>\n

Im Folgenden sind einige meiner Erkenntnisse aus der Perspektive des roten und blauen Teams aufgef\u00fchrt.<\/p>\n

<\/p>\n

Rotes Team<\/h2>\n

<\/p>\n

Der Gro\u00dfteil des Inhalts von Containern wird unter root ausgef\u00fchrt<\/strong>: das bedeutet, dass, wenn Sie den Container kompromittieren, Sie vollen Zugriff auf den Container erhalten. Dies macht die nachfolgenden Schritte erheblich einfacher.<\/p>\n

<\/p>\n

Die Montage von docker.sock innerhalb des Containers ist gef\u00e4hrlich<\/strong>: wenn Sie Root-Zugriff im Container haben und au\u00dferdem Docker innerhalb des Containers installiert haben, der \u00fcber den Docker-Socket (\\\/var\\\/run\\\/docker.sock) verf\u00fcgt, haben Sie potenziell die M\u00f6glichkeit, den gesamten Cluster zu erkunden, einschlie\u00dflich des Zugriffs auf jeden anderen Container. Dieser Zugriff kann weder durch Netzwerkisolierung noch auf andere Weise verhindert werden.<\/p>\n

<\/p>\n

Umgebungsvariablen enthalten h\u00e4ufig geheime Daten<\/strong>: in den meisten F\u00e4llen senden Menschen Passw\u00f6rter \u00fcber normale Umgebungsvariablen in den Container. Wenn Sie also Zugriff auf das Konto haben, k\u00f6nnen Sie diese Umgebungsvariablen einsehen, um sp\u00e4ter Ihre Berechtigungen zu erweitern.<\/p>\n

<\/p>\n

Die Docker API kann eine Menge Informationen preisgeben<\/strong>: Die Docker API l\u00e4uft, wenn sie standardm\u00e4\u00dfig eingerichtet ist, ohne Authentifizierung und kann eine Menge Informationen preisgeben. Mit Shodan lassen sich leicht Listen offener Ports finden, dann detaillierte Informationen \u00fcber den Cluster erhalten \u2014 und ihn vollst\u00e4ndig \u00fcbernehmen. TrendMicro hat dar\u00fcber geschrieben einen sehr interessanten Artikel<\/a><\/noindex>.<\/p>\n

<\/p>\n

Das blaue Team<\/h2>\n

<\/p>\n

F\u00fchren Sie den Inhalt der Container nicht als Root aus<\/strong>: Obwohl es einfacher ist, als Root zu starten, sollten Sie das nicht tun. Starten Sie stattdessen Anwendungen mit reduzierten Rechten, indem Sie die UID angeben oder den Parameter \u2014user beim Arbeiten mit der CLI verwenden oder USER im Dockerfile angeben.<\/p>\n

<\/p>\n

Erlauben Sie keine Installation von Programmen in Containern<\/strong>: Fast jeder Angriff beginnt mit der Installation von irgendetwas. Von nmap bis hin zu ifconfig und Docker selbst (im Container) war die Installation von irgendetwas im Container \u00fcblich. Aus diesem Grund sollten Sie immer alle ungenutzten Ports blockieren. Dies hilft auch, die \u00dcbertragung von Steuerbefehlen im Falle einer Infektion Ihres Systems zu verhindern. Neben der Verhinderung der Installation von Programmen sollten Sie sicherstellen, dass im Container selbst nur die minimal notwendigen Anwendungen installiert sind, um die Aufgabe zu erf\u00fcllen.<\/p>\n

<\/p>\n

Sch\u00fctzen Sie docker.sock<\/strong>: es muss gesch\u00fctzt werden, da \u00fcber diesen Socket die Kommunikation zwischen Container und Cluster abgewickelt wird. Da ich in diesem Artikel nicht ins Detail gehen m\u00f6chte, lesen Sie bitte eine Notiz von Docker<\/a><\/noindex>, was passieren kann und wie man alles blockieren kann.<\/p>\n

<\/p>\n

Verwenden Sie Docker-Secrets anstelle von Umgebungsvariablen<\/strong>: Es gibt Secrets seit etwa 2017<\/a><\/noindex>. Obwohl das nicht sicher ist, ist es dennoch besser als Umgebungsvariablen zur \u00dcbertragung geheimer Daten in Containern.<\/p>\n

<\/p>\n

Wenn der Artikel Ihr Interesse an Containern geweckt hat, k\u00f6nnen Sie Docker oder microk8s (eine kleinere Version von Kubernetes) recht einfach installieren. Hier<\/a><\/noindex> Es gibt Anleitungen zur Installation von Docker f\u00fcr Linux und MacOS, und hier<\/a><\/noindex> \u2014 Anleitungen zur Installation von microk8s f\u00fcr Windows, Linux und MacOS.<\/p>\n

<\/p>\n

Nach der Installation k\u00f6nnen Sie dieses schnelle Starthandbuch<\/a><\/noindex> von Docker durchsehen, ein \u00e4hnlicher Leitfaden angeboten<\/a><\/noindex> gilt auch f\u00fcr microk8s.<\/p>\n

<\/p>\n

Wenn Sie den Wunsch oder die Notwendigkeit haben, einen umfassenden Kurs \u00fcber Docker zu besuchen, in dem praxisorientierte Referenten alle Tools von den grundlegenden Abstraktionen bis hin zu Netzwerkkonfigurationen und den Feinheiten der Arbeit mit verschiedenen Betriebssystemen und Programmiersprachen erkl\u00e4ren, dann probieren Sie \"Videokurs \u00fcber Docker<\/a><\/noindex>\" aus. Sie werden mit der Technologie vertraut gemacht und verstehen, wo und wie man Docker am besten einsetzt. Au\u00dferdem erhalten Sie Best-Practice-Beispiele \u2013 es ist besser, sicher und mit Unterst\u00fctzung von Praktikern aus Fehlern zu lernen, als selbst auf die gleichen Fehler mit spitzen Werkzeugen zu sto\u00dfen.<\/p>\n

Quelle: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u042f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 IT \u0431\u043e\u043b\u044c\u0448\u0435 20 \u043b\u0435\u0442, \u043d\u043e \u043a\u0430\u043a-\u0442\u043e \u0440\u0443\u043a\u0438 \u043d\u0435 \u0434\u043e\u0445\u043e\u0434\u0438\u043b\u0438 \u0434\u043e \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0412 \u0442\u0435\u043e\u0440\u0438\u0438 \u044f \u043f\u043e\u043d\u0438\u043c\u0430\u043b, \u043a\u0430\u043a \u043e\u043d\u0438 \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u044b \u0438 \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442. \u041d\u043e \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u044f \u043d\u0438\u043a\u043e\u0433\u0434\u0430 \u0441 \u043d\u0438\u043c\u0438 \u043d\u0435 \u0441\u0442\u0430\u043b\u043a\u0438\u0432\u0430\u043b\u0441\u044f \u043d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435 \u2014 \u044f \u043d\u0435 \u0431\u044b\u043b \u0443\u0432\u0435\u0440\u0435\u043d \u0432 \u0442\u043e\u043c, \u043a\u0430\u043a \u0438\u043c\u0435\u043d\u043d\u043e \u043a\u0440\u0443\u0442\u044f\u0442\u0441\u044f-\u0432\u0435\u0440\u0442\u044f\u0442\u0441\u044f \u0443 \u043d\u0438\u0445 \u0448\u0435\u0441\u0442\u0435\u0440\u0451\u043d\u043a\u0438 \u043f\u043e\u0434 \u043a\u0430\u043f\u043e\u0442\u043e\u043c. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u044f \u0431\u044b\u043b \u0431\u0435\u0437 \u043f\u043e\u043d\u044f\u0442\u0438\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":91365,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-91364","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Wir erforschen die (fehlende) Sicherheit typischer Docker- und Kubernetes-Installationen | ProHoster","description":"Ich arbeite in der IT.","canonical_url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u0437\u0443\u0447\u0430\u0435\u043c (\u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0443\u044e) \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0442\u0438\u043f\u0438\u0447\u043d\u044b\u0445 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043e\u043a Docker \u0438 Kubernetes | ProHoster","og:description":"\u042f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 IT.","og:url":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-08-12T05:42:33+00:00","article:modified_time":"2020-08-12T05:42:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"91364","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:29:22","updated":"2022-09-28 18:39:15","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/91364","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=91364"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/91364\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/91365"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=91364"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=91364"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=91364"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}