Dockeri konteinerite turvalisus

Märkus tõlke kohta.: Dockeri turvateema on kindlasti üks igaveseid teemasid tänapäeva IT-maailmas. Seetõttu tutvustame ilma liigsete selgitusteta tõlget järjekordsetest soovitustest. Kui olete selle küsimusega juba tutvunud, on paljud neist teile tuttavad. Lisaks oleme kogu selle kogumi täiendanud kasulike tööriistade nimekirjaga ja mitmete allikatega edasiseks uurimiseks.

Pakume tähelepanekutena juhendit Docker'i turvamiseks. Tagasiside on teretulnud, kuna see on pigem fragmentide kogum erinevatelt allikatelt ning mitte kõik neist ei ole läbinud põhjalikku kontrolli. Soovitused on jagatud kolme kategooriasse:

1. Vajalikud meetmed host-operatsioonisüsteemis Docker'i kasutamise ajal;
2. Juhised, mis on seotud konfiguratsiooni faili ja konteinerite loomisega;
3. Turvatööriistad, mis võivad integreeruda Docker Enterprise'i spetsiifiliste funktsioonidega.

Juhendi aluseks on erinevad allikad, millest paljusid on siin loetletud. Seda ei saa nimetada ammendavaks, kuid see katab kõik põhialused. Lisainfot võib leida CIS-testide kirjeldusest (link on antud käesoleva juhendi lõpus) ning ka Docker'i dokumentatsioonist.

Dockeri turvabenchmark

Dockeri turvaauditi skript kontrollib automaatselt teie Dockerit, et see vastaks kõige levinumatele parimatele praktikatele. Skript on hea heuristiline turvatest, kuid seda ei tohiks pidada tervikliku analüüsi tööriistaks.

Host-OE

On ilmne, et Dockeri konteiner ei saa olla turvaline, kui host-süsteem ise ei ole kaitstud. Seetõttu on oluline järgida operatsioonisüsteemide turvapraktikaid. Samuti oleks mõistlik teostada haavatavuste analüüs koos järgmiste soovitustega.

Auditireeglid

Looge ja kasutage Dockeriga seotud failide auditireegleid, kasutades auditctl. Näiteks saab lisada -w /usr/bin/dockerd -k docker aadressile /etc/audit.rules ja taaskäivitada auditi teenuse.

FIPS-režiim

FIPS-režiimi aktiveerimine sunnib krüptograafilisi tööriistu vahetama algoritme, mis on lisatud FIPSisse (Ameerika föderaalsed informatsiooni töötlemise standardid — toimetaja märkus), järgides seega föderaalseid ja valdkondlikke norme ja nõudeid. Kui hosti operatsioonisüsteem toetab FIPS-režiimi, saab seda aktiveerida järgmiste käskudega:

sed -i 's\/GRUB_CMDLINE_LINUX="\/GRUB_CMDLINE_LINUX="fips=1 \/g' \/etc\/default\/grub\ngrub2-mkconfig -o \/boot\/grub2\/grub.cfg && reboot

Samuti tuleb FIPS aktiveerida Docker Engine'is:

mkdir -p \/etc\/systemd\/system\/docker.service.d 2>&1; echo -e "[Service]n Environment="DOCKER_FIPS=1"" > \/etc\/systemd\/system\/docker.service.d\/fips-module.conf; systemctl daemon-reload; systemctl restart docker

Lisainformatsiooni saab dokumentatsioonist Docker ja Red Hat.

Docker Secrets

Konfidentsiaalsed andmed tuleb hoida saladustena. Vastava teenuse käivitamiseks saab kasutada käsku docker service create:

docker service create --label com.docker.ucp.access.label=\/prod --name nginx --publish 443 --secret source=orcabank_prod_mobile.ca.pem.v1,target=ca.pem nginx

Üksikasjade kohta vaata dokumentatsioon.

Docker konfiguratsioonifail

Järgmised sätted saab lisada konfiguratsioonifaili /etc/docker/daemon.json:

• "icc":false — keelab andmete vahetuse konteinerite vahel, et vältida tarbetut teabe lekkimist.
• log-level: "info" — registreerib kõik logid, välja arvatud silumise logid.

• {
    "log-driver": "syslog",
    "log-opts": {
      "syslog-address": "udp:\/\/1.2.3.4:1111"
    }
  }

  — aktiveerib kauglugemise, edastades need määratud aadressile. Töötab ainult siis, kui syslog demoon on käivitatud. Vastuvõtmiseks on aktsepteeritavad TCP ja UDP. Samuti on võimalik konfiguratsioon iga konkreetse konteineri jaoks. Selleks tuleb Dockerit käivitades seada spetsiaalne lipp (--log-opt syslog-address=ADDRESS).

• "userns-remap": "Your_User" — takistab privileegide tõstmist (privilege escalation), isoleerides nimede ruumi konkreetse kasutaja jaoks.

Transportkihtide turvalisus

Demonile Docker'ile ühendumise võimalus (kui eemalt juurdepääs on vajalik) peaks olema ainult kasutajatel, kes omavad TLS-kliendi mandaate.

Autoriseerimispluginad

Mõtle, millistel kasutajatel on lubatud milliseid käske täita, ja loo vastav autoriseerimisplugin Docker'ile. Seejärel käivita Docker demon ja lisa plugin:

dockerd --authorization-plugin=PLUGIN_ID

Autoriseerimispluginatest rohkem teada saamiseks vaata dokumentatsioon.

Demoniparameetrid

Docker demon töötab vaikimisi parameetrite komplektiga.

• --live-restore — see parameeter aitab vähendada konteinerite seismise aega süsteemi väljalülitamisel või taaskäivitamisel. Lihtsustab nende kärpimist või värskendamist minimaalse seismisega;
• --userland-proxy=false — kui hairpin NAT’id on saadaval või kasutatakse, muutub kasutajaruumi proksiteenus üleliigseks, suurendades võimalike rünnakuvektorite arvu;
• --no-new-privileges — takistab konteinerite lisaprivilegiume saamist suid või sguid kaudu;
• --seccomp-profile /path/to/profile — kui teil on oma seccomp profiil, saab seda rakendada selle lipuga. Lisateavet Seccompi ja Dockeri kohta leiate siin.

Konteineride konfiguratsioon ja koostamisfailid

Kasutaja loomine

Veenduge, et konteineri jaoks on loodud kasutaja ja käivitage see selle all (ÄRGE käivitage konteinerit rootina).

Kaugjuurdepääs

Keelake kaugjuurdepääs deemonile. Kui see on siiski vajalik, kaitske seda sertifikaatidega.

Isolate the user namespace

On eriti oluline veenduda, et Dockeris oleks kasutaja ruum isoleeritud, kuna vaikimisi kasutatakse seda koos hosti ruumiga. Teatud juhtudel saab seda kasutada privileegide tõstmiseks või isegi konteinerist väljapoole pääsemiseks. Kasutaja ruumi isoleerimiseks saab selle konfigureerida konfiguratsioonifaili muutmise teel (nagu eespool kirjeldatud Docker konfiguratsioonifaili osas). Selle probleemi täiendav mainimine on seotud selle tähtsusega.

Healthcheck’id

Healthcheck (töökontroll) — võimas tööriist, mis võimaldab kontrollida konteineri terviklikkust. Seda seadistatakse Dockerfile’is instruktsiooni abil HEALTHCHECK. Healthcheck’id võimaldavad veenduda, et konteiner töötab korralikult. Allpool on toodud näide, kus töökontroll lõpeb 0, kui server töötab, ja 1, kui see „kukub”:

HEALTHCHECK CMD curl --fail http://localhost || exit 1

SELinux

Kui SELinux on hosti operatsioonisüsteemis toetatud, looge või impordige SELinuxi poliitika ja käivitage Docker deemonirežiimis SELinux sisse lülitatud:

docker daemon --selinux-enable

Sellisel juhul saab Docker-konteinereid käivitada turvaelementidega, näiteks:

docker run --interactive --tty --security-opt label=level:TopSecret centos /bin/bash

Network interfaces

Vaikimisi kuulab Docker kõiki võrgu liideseid. Kuna enamikul juhtudel oodatakse liiklust ainult ühel neist, suurendab selline lähenemine ebamugavalt rünnaku riski. Seetõttu saab konteinerit käivitades siduda selle pordid hosti konkreetsete liideste külge:

docker run --detach --publish 10.2.3.4:49153:80 nginx

Vahemälu versioonid piltidest

Piltide allalaadimisel veenduge, et kohalik vahemälu vastab hoidla sisule. Vastasel juhul võib teil olla vananenud pilt või pilt, mis sisaldab haavatavusi.

Võrgusild

Vaikimisi võrgu mudel, docker0, on vastuvõtlik ARP-spoofing ja MAC-flooding rünnakutele. Selle probleemi lahendamiseks looge võrgu sild vastavalt oma spetsifikatsioonidele, nagu on kirjeldatud siin.

Docker socketi hoiatus

Ärge kunagi jagage Docker socketit konteinerisse. Vastasel juhul omab konteiner võimalust käivitada Docker käsku ja seega suhelda hosti operatsioonisüsteemiga ning seda kontrollida. Ärge tehke seda.

Docker Enterprise'i konfigureerimine

Docker Trust

Docker Trust võimaldab genereerida võtmeid, millega saab kontrollida piltide krüptograafilist terviklikkust. Docker Trusti võtmeid saab kasutada Docker piltide allkirjastamiseks privaatsed võtmed, mida kontrollitakse avalikest võtmetest Notary Serveris. Lisainfot leiate siin. Docker Trust'i aktiveerimise protsess Enterprise Engine'is on üksikasjalikult kirjeldatud selles dokumentatsiooni osas.

Haavatavuste skaneerimine

Docker Enterprise'is on sisseehitatud haavatavuste skanner, mis võimaldab laadida alla CVE andmebaasi offline-haavatavuste skaneerimiseks piltides. Regulaarne piltide skaneerimine aitab neid turvalisemaks muuta: kasutaja saab kohe teadlikkuse leitud haavatavustest. Lisainfot selle kohta, kuidas seda teha, leiate siin.

Märkus tõlke kohta.: On ka Open Source haavatavuste skandereid Docker piltides, mille näiteid leiate materjali lõpust.

LDAP ja UCP integreerimine

Universal Control Plane'i saab integreerida LDAP-iga. Tulemuseks on lihtsustatud autentimissüsteem, mis aitab vältida liigset dubleerimist. Lisainfot selle kohta leiate artiklist Integrate with an LDAP directory.

Muud materjalid

Rohkem informatsiooni Docker'i turvalisuse parimate praktikate kohta leiate lehelt docs.docker.com. Samuti soovitame laadida alla Center for Internet Security testid Docker'i jaoks.

Tõlkijalt boonus

Selle artikli loogilise täienduseks avaldame nimekirja 10 populaarsetest Open Source utiliitidest Docker'i turvalisuse tagamiseks. See oli laenatud teisest artiklist (autor Bill Doerrfeld Doerrfeld.io-st).

NB: Lisage rohkem teavet paljude siin mainitud projektide kohta artiklis «33+ Kubernetesi turvalisuse tööriista».

1. Dockeri turvaauditi skript — varem artikli alguses mainitud skript, mis kontrollib Docker konteinerite vastavust laialt levinud turbepraktikatele.

   

2. Clair — võib-olla kõige populaarsem utiliit konteinerite haavatavuste staatiliseks analüüsiks. Kasutab selleks arvukalt haavatavuste andmebaase CVE (sealhulgas juhtivate Linuxi distributsioonide, nagu Red Hat, Debian, Ubuntu, jälgimisliiste). Pakub arendajatele API ja lihtsat võimalust funktsioonide laiendamiseks (lisades «draivereid»). Kasutatakse populaarsetes avalikes konteinerite piltide registrites (sarnane Docker Hubiga) — Quay.io.
3. Cilium — suhtlusvõrgustiku turvalisuse lahendus tasemel kernel, mis põhineb BPF-pakettide filtreerimise tehnoloogial.
4. Anchore — utiliit, mis analüüsib piltide sisu turvateabe alusel CVE andmebaasis. Lisaks võimaldab see rakendada kasutajapõhiseid poliitikaid (erinevate andmete alusel, sealhulgas valged/mustad loendid, failide sisu jne) konteinerite turvalisuse hindamiseks.
5. OpenSCAP Workbench — terviklik ökosüsteem turvapoliitikate loomise ja toetamise jaoks erinevates platvormides. Kontenerite kontrollimiseks pakub tööriista oscap-docker.
6. Dagda — utiliit Docker konteinerite skannimiseks haavatavuste, troojalaste, viirusetõrje ja pahavara leidmiseks. CVE andmebaasi kuuluvaid kontrolle toetavad OWASP sõltuvused, Red Hati Oval andmebaas ja Exploit Database'i eksploitide repositoorium.
7. Notary — Docker piltide allkirjastamise raamistik, mis loodi algselt Docker Inc poolt (ja hiljem edasi anti CNCF-le arendamiseks). Selle kasutamine võimaldab delegeerida rolle ja jagada vastutusi konteinerite kaupa ning kinnitada piltide krüptograafilist terviklikkust.
8. Grafaes — metaandmete API, mis on loodud sisemiste turvapoliitikate haldamiseks. Näiteks võimaldab see parandada konteineri turvakontrollide toimivust. Shopify kasutab seda API-d oma 500 tuhande pildi metaandmete haldamiseks.
9. Sysdig Falco — Kubernetesi utiliit, mis jälgib süsteemi käitumist: konteinerites, hostides, võrgus. Võimaldab seadistada pidevat kontrolli infrastruktuuris, tuvastada anomaaliaid ja saata häireid mis tahes Linuxi süsteemikõnede korral.
10. Banyanops Collector — veel üks tööriist Docker-konteinerite piltide staatiliseks analüüsiks. Võimaldab "vaadata" piltide faile, koguda vajalikke andmeid, rakendada vajalikke poliitikaid jne.

Veel üks hea valik praktilisi soovitusi kuidas Dockerit turvalisemaks teha, on leitav selles artiklis Aqua Security ettevõttest. Paljusid nende nõuandeid ületavad eelnevalt mainitud soovitused, kuid on ka teisi. Näiteks soovitavad autorid korraldada konteinerite tegevuse jälgimist ja märgivad, millele pöörata tähelepanu Docker Swarmi kasutamisel.

Neile, kes soovivad veelgi sügavamale teemasse süveneda, ilmus mullu raamat "Docker Security: Quick Reference»", mille osad on vabalt kergesti kätte saadavad siin.

Lõpuks, praktilise tutvuse saamiseks mõnede Docker'i turvalisuse aspektidega: Seccomp'i profiilide ja Linuxi tuuma capabilities'i kasutamine konteinerites — on võimalik läbida vastavad laboratoorsed tööd Play with Docker* — vt jaotist "Security".

* Selle ressursi kohta kirjutasime rääkinud kaks aastat tagasi, ja novembris 2018. juhtus sellega väga huvitav (turvalisuse seisukohalt) lugu. Lühidalt öeldes suutis CyberArk Software Ltd. sellele järele jõuda: saavutada käskude täitmise võimalus konteineritest väljaspool, s.t. host-süsteemis. Suurepärane illustreerimine Docker'i turbeprobleemist, eks? Kõik üksikasjad juhtunust loe siin.

P.S. tõlkijalt

Lugege ka meie blogist:

• «Vulnerable Docker VM — Docker'i ja pentestimise puslemasin»;
• «19% populaarseimates Docker-piltides ei ole root'i parooli»;
• «33+ Kubernetesi turvalisuse tööriista»;
• «Docker ja Kubernetes turvalisust nõudvates keskkondades»;
• «9 parimat praktikat Kubernetes'e turvalisuse tagamiseks»;
• «OPA ja SPIFFE — kaks uut projekti CNCF-is pilve rakenduste turvalisuseks».

Allikas: habr.com