Turvalisus Docker konteinerite jaoks

Märk. tõlge.: Dockeri turvateema on ilmselt üks ajatu teema tänapäeva IT-maailmas. Seetõttu tutvustame teile tõlget uutest soovitustest, mis sellele teemadele vastavad. Kui olete juba selle küsimuse üle mõelnud, on paljud neist teile tuttavad. Oleme komplekteerinud ka kasulike tööriistade nimekirja ja mõned allikad edasiseks uurimiseks.

Pakun tähelepanu all olevat juhendit Dockeri turvalisuse tagamiseks. Tagasiside on teretulnud, kuna see on pigem erinevates ressurssidest koondatud kokkuvõte, ja mitte kõik need pole põhjalikult kontrollitud. Soovitused on jagatud kolme kategooriasse:

1. Tähtsad meetmed host-operatsioonisüsteemis Dockeriga töötamisel;
2. Juhised, mis puudutavad koostamisfaili konfiguratsiooni ja konteinerite loomist;
3. Turvatooted, mis saavad integreeruda Docker Enterprise'i spetsiifiliste funktsioonidega.

Juhised põhinevad erinevatel ressurssidel, millest paljusid on allpool loetletud. Seda ei saa nimetada ammendavaks, kuid see katab kõik põhiaspektid. Lisainfot leiate CIS testide kirjelduse alt (link on toodud selle juhendi lõpus) ja Docker'i dokumentatsioonist.

Docker Security Benchmark

Docker Bench for Security kontrollib automaatselt teie Dockerit, et see vastaks kõige levinumatele parimatele praktikatele. Skript on hea heuristiline turvatest, kuid seda ei tasu pidada põhjaliku analüüsi tööriistaks.

Host OS

On ilmne, et Docker-konteiner ei saa olla kaitstud, kui host-süsteem ei ole kaitstud. Seetõttu on oluline järgida operatsioonisysteemide turvamise parimaid tavasid. Samuti oleks mõistlik teostada haavatavuste analüüs koos järgmiste soovitustega.

Auditreeglid

Looge ja kasutage Dockeriga seotud failide auditreegleid, kasutades auditctl. Näiteks võite lisada -w /usr/bin/dockerd -k docker kellele /etc/audit.rules ja taaskäivitada auditeerimisteenuse.

FIPS režiim

FIPS-režiimi sisselülmine sunnib krüptograafilisi tööriistu üle minema FIPS-iga loetletud algoritmidele (Ameerika Föderaalsed teabe töötlemise standardid — kt. tõlge), seeläbi vastates föderaalsetele ja tööstuslikutele normidele ja nõuetele. Kui host-OS toetab FIPS-režiimi, saab seda aktiveerida järgmiste käskude täitmisega:

sed -i 's/GRUB_CMDLINE_LINUX="/GRUB_CMDLINE_LINUX="fips=1 /g' /etc/default/grub
grub2-mkconfig -o /boot/grub2/grub.cfg && reboot

FIPS tuleb aktiveerida ka Docker Engine’is:

mkdir -p /etc/systemd/system/docker.service.d 2>&1; echo -e "[Service]n Environment="DOCKER_FIPS=1"" > /etc/systemd/system/docker.service.d/fips-module.conf; systemctl daemon-reload; systemctl restart docker

Täiendavateks teadeteks vaadake dokumentatsiooni Docker ja Red Hat.

Docker Secrets

Salajased andmed peavad olema salvestatud kui saladused. Vastava teenuse saab käivitada järgmise käsuga:

docker service create --label com.docker.ucp.access.label=/prod --name nginx --publish 443 --secret source=orcabank_prod_mobile.ca.pem.v1,target=ca.pem nginx

Üksikasju leiate dokumentatsioonis.

Docker konfiguratsioonifailist

Järgmised seadistused saab lisada konfiguratsioonifaili /etc/docker/daemon.json:

• "icc":false — keelab konteineritevahelise suhtlemise, et vältida mittevajaliku teabe lekkeid.
• log-level: "info" — salvestab kõik logid välja arvatud silumisteated.

• {
    "log-driver": "syslog",
    "log-opts": {
      "syslog-address": "udp://1.2.3.4:1111"
    }
  }

  — ühendab eemaloleva logide haldamise, edastades need määratud aadressile. Töötab ainult juhul, kui syslog daemon on käivitatud. Valikuteks on TCP ja UDP. Samuti on võimalik ühendamine iga konkreetse konteineri jaoks. Selleks seadistatakse erilipp Docker’i käivitamisel (--log-opt syslog-address=ADDRESS).

• "userns-remap": "Your_User" — takistab privileegide tõstmist, isoleerides nimeruumi konkreetse kasutaja all.

Transporttase turvalisus

Docker daemon'i kaugtöötlemise võimalus peaks olema saadaval ainult TLS-klientide autentimistunnustega kasutajatele.

Autentimise pluginaid

Määrake, millistel kasutajatel on lubatud milliseid käske täita, ja looge vastav Docker'i autentimise plugin. Seejärel käivitage Docker daemon ja lisage see plugin:

dockerd --authorization-plugin=PLUGIN_ID

Rohkem teavet autentimispluginode loomisest leiate dokumentatsioonis.

Daemon'i parameetrid

Docker daemon töötab vaikimisi parameetrite kogumiga.

• --live-restore — see parameeter aitab vähendada konteinerite seiskamis- või taaskäivitamisaja seisakut. Nii on neid lihtsam plaastritega uuendada, minimeerides seisakuid;
• --userland-proxy=false — kui on saadaval või kasutatakse hairpin NATs, muutub kasutajaruumi proksi liigne teenus, mis ainult suurendab võimalike rünnakute vektoreid;
• --no-new-privileges — takistab konteineritel täiendavate privileegide saamist suid või sguid abil;
• --seccomp-profile /path/to/profile — kui teil on enda seccomp profiil, saab seda rakendada selle lipuga. Lisainfot Seccompi ja Dockeri kohta leiate siit.

Konteinerite ja ehitusfailide konfiguratsioon

Kasutaja loomine

Veenduge, et konteinerile on loodud kasutaja ja käivitage see selle kasutaja all (ÄRGE käivitage konteinerit rootina).

Kaugjuhtimine

Keelake juurdepääs deemonile kaugelt. Kui see on siiski vajalik, kaitske seda sertifikaatidega.

Isolateeri kasutajanimi

Eriti oluline on tagada, et Dockeris kasutatavad kasutajanimed oleksid isoleeritud, kuna vaikimisi kasutatakse neid koos hosti nimesüsteemiga. Mõningatel juhtudel võib sellest kasu saada õiguste tõstmiseks või isegi konteinerist välja murdmiseks. Kasutajanimede isoleerimiseks saab muuta konfiguratsioonifaili (nagu on kirjeldatud ülal peatükis „Docker konfiguratsioonifail”). Selle probleemi täiendav käsitlemine siin tuleneb selle olulisusest.

Healthcheck’id

Healthcheck (töötamise kontroll) on tugev tööriist, mis võimaldab kontrollida konteineri terviklikkust. See seadistatakse Dockerfile’is juhisega HEALTHCHECKHealthcheck’id aitavad veenduda, et konteiner töötab õigesti. Allolevas näites lõpetab töötamise kontroll 0, kui server töötab, ja 1, kui see on „kukkunud”:

HEALTHCHECK CMD curl --fail http://localhost || exit 1

SELinux

Kui SELinuxit toetatakse hostoperatsioonisüsteemis, looge või importige SELinuxi poliitika ja käitage Docker demonerežiimis, kus SELinux on lubatud:

docker daemon --selinux-enable

Sellel juhul saab Docker-konteinereid käivitada turvaparameetritega, näiteks:

docker run --interactive --tty --security-opt label=level:TopSecret centos /bin/bash

Võrguliidesed

Vaikimisi kuulab Docker kõiki võrguinterfese. Kuna enamasti oodatakse liiklust ainult ühel neist, suurendab selline lähenemine ebatõhusalt ründevõimalusi. Seetõttu saab konteineri käivitamisel selle porte konkreetsetele liidestikele hostis siduda:

docker run --detach --publish 10.2.3.4:49153:80 nginx

Vahemälus olevad pildiversioonid

Pilte alla laadides veenduge, et kohalik vahemälu vastaks hoidla sisule. Vastasel juhul võite saada vananenud pildi või pildi, mis sisaldab haavatavusi.

Võrgusild

Vaikimisi võrgu mudel, docker0, on haavatav ARP-spoofingu ja MAC-floodingu rünnakute suhtes. Selle probleemi lahendamiseks looge võrgu sild vastavalt oma spetsifikatsioonidele, nagu on kirjeldatud siit.

Docker'i soketi hoiatus

Ärge kunagi edasta Docker'i soketit konteinerisse. Vastasel juhul saab konteiner edastada Docker'i käske ja seega seostuda hosti opsüsteemi ja seda kontrollida. Ärge tehke seda.

Docker Enterprise'i konfigureerimine

Docker Trust

Docker Trust võimaldab genereerida võtmeid, millega saab kontrollida piltide krüptoautentsust. Docker Trusti võtmeid saab kasutada Docker'i piltide allkirjastamiseks eraõiguslike võtmetega, mida kontrollitakse avalike võtmete abil Notary Serveris. Lisainfot leiate — siitDocker Trusti aktiveerimise protsess Enterprise Engine'is on üksikasjalikult kirjeldatud selles dokumentatsiooni osas.

Haavatavuste skaneerimine

Docker Enterprise'is on sisseehitatud haavatavuste skanner, mis võimaldab laadida alla CVE andmebaasi, et skaneerida pilte offline-režiimis. Regulaarne piltide skaneerimine aitab neid turvalisemaks muuta: kasutaja saab koheselt teateid avastatud haavatavuste kohta. Lisainfot selle kohta, kuidas seda teha, vt. siit.

Märk. tõlge.: On ka avatud lähtekoodiga haavatavuste skaanereid Docker'i piltides, mille näidised leiate materjali lõpust.

LDAP ja UCP integreerimine

Universal Control Plane'i saab integreerida LDAP-iga. Selle tulemuseks on lihtsustatud autentimissüsteem, mis väldib tarbetut dubleerimist. Lisainfot selle kohta võite lugeda artiklis Integrate with an LDAP directory.

Muud materjalid

Lisa teavet Docker'i turvapraktikate kohta leiate docs.docker.com. Soovitame ka alla laadida Center for Internet Security testid Dockerile.

Tõlkija boonus

Loogilise jätkuna sellele artiklile avaldame nimekirja 10 populaarseimast Open Source-tööriistast, mis tagavad Docker'i turvalisuse. See on laenatud teisest artiklist (autoriks Bill Doerrfeld Doerrfeld.io-st).

NB: Rohkem teavet paljude siin mainitud projektide kohta leiate ka artiklist „33+ Kubernetes'i turbe tööriista».

1. Docker Bench for Security — juba mainitud artikli alguses olev skript, mis kontrollib Docker'i konteinerite vastavust levinud turvapraktikatele.

   

2. Clair — tõenäoliselt kõige populaarsem tööriist konteineri haavatavuste staatiliseks analüüsimiseks. See kasutab selleks mitmeid haavatavuste andmebaase CVE (sealhulgas juhtivate Linuxi jaotuste jälgijad, nagu Red Hat, Debian, Ubuntu). Pakub API-d arendajatele ja lihtsat funktsioonide laiendamise võimalust (läbi „draiverite” lisamise). Kasutatakse populaarses avalikus konteineripiltide registris (sarnane Docker Hub'ile) — Quay.io.
3. Cilium — tuum lahendus, mis tagab tuumtaseme võrgu turvalisuse, põhinedes BPF võrgufiltreerimise tehnoloogial.
4. Anchore — tööriist piltide sisu analüüsiks turvaauke CVE andmebaasi põhjal. Samuti võimaldab see rakendada kohandatud poliitilisi (erinevate andmete, sealhulgas valgete/mustade nimekirjade, failide sisu jne alusel) konteinerite turvalisuse hindamiseks.
5. OpenSCAP Workbench — terve ökosüsteem turvapoliitikate loomiseks ja haldamiseks erinevates platvormides. Konteinerite kontrollimiseks pakub utiliiti oscap-docker.
6. Dagda — tööriist Docker konteinerite skaneerimiseks haavatavuste, troojalaste, viiruste ja kahjulike programmide suhtes. CVE andmebaase sisaldab kontrollimise sõltuvusi OWASP, Red Hat Oval andmebaasi ja Exploit Database'i eksploitide reposi.
7. Notary — raamistik Docker-piltide allkirjastamiseks, algselt loodud Docker Inc. poolt (ja seejärel edastatud CNCF arendamiseks). Selle kasutamine võimaldab rollide delegeerimist ja vastutuse jagamist konteinerite vahel ning kontrollida piltide krüptograafilist terviklikkust.
8. Grafaes — Metaandmete API, mis on mõeldud sisemiste turvapoliitikate haldamiseks. Näiteks aitab see parandada konteinerite turvaskannerite tööd. Shopify kasutab seda API-d oma 500 000 pildi metadaatide haldamiseks.
9. Sysdig Falco — utiliit Kubernetes'e jaoks, mis jälgib süsteemi käitumist: tegevust konteinerites, hostides ja võrgus. See võimaldab seadistada pidevaid kontrolle infrastruktuuris, avastada anomaaliaid ja saata häireid mis tahes Linuxi süsteemikutsed.
10. Banyanops Collector — veel üks tööriist Docker-konteinerite piltide staatiliseks analüüsiks. See võimaldab „vaadata“ piltide faile, koguda vajalikke andmeid, rakendada vajalikku poliitikat jne.

Veel üks hea kogumik praktilisi soovitusi kui teha Docker turvalisemaks, võib leida selles artiklis Aqua Security'lt. Paljud nende nõuanded kattuvad juba eelnevalt mainituga, kuid on ka teisi. Näiteks soovitavad autorid korraldada konteinerite tegevuse jälgimist ja juhivad tähelepanu sellele, millele pöörata tähelepanu Docker Swarmi kasutamisel.

Neile, kes soovivad veelgi sügavamale teemasse süveneda, ilmus eelmisel aastal raamat «Docker Security: Quick Reference», mille lõigud on vabalt kättesaadavad siit.

Viimaks, praktiliseks tutvumiseks mõningate Docker'i turvasa aspektidega: Seccomp'i profiilide ja Linuxi kerneli võimekuse kasutamine konteinerites — saab läbida vastavaid laboratoorseid töid Play with Docker* — vt jaotist «Security».

* Selle ressursi kohta kirjutasime me olen rääkinud kaks aastat tagasi, ja novembris 2018 juhtus temaga väga huvitav (turvalisuse seisukohalt) lugu. Lühidalt öeldes, CyberArk Software Ltd. spetsialistid suutsid selle häkkida: nad said õiguse käivitada käske konteineritest väljaspool, st host-süsteemis. Suurepärane illustratsioon Docker'i turvalisuse probleemist, kas pole? Kõikide juhtumiga seotud detailide kohta loe siit.

P.S. tõlkija märkused

Lugege ka meie blogist:

• «Vulnerable Docker VM — Docker'i ja pentestimise peamurdmisvirtuaalmasin.»;
• «19% populaarseimatest Docker-piltidest puudub root'i jaoks parool»;
• «33+ Kubernetes'i turbe tööriista»;
• «Docker ja Kubernetes turvafookusega keskkondades»;
• «9 parimat praktikat Kubernetes'e turvamiseks»;
• «OPA ja SPIFFE — kaks uut projekti CNCF'is pilve rakenduste turvalisuse jaoks».

Allikas: habr.com