Uurime (puuduvat) Docker ja Kubernetes tüüpiliste seadistuste turvalisust

Olen töötanud IT-sektoris üle 20 aasta, kuid kuidagi ei olnud ma varem konteineritega tegelenud. Teoorias mõistsin, kuidas need töötavad ja kuidas need on seadistatud. Kuid kuna ma ei olnud nendega praktikas silmitsi seisnud, ei olnud ma kindel, kuidas nende mehhanismid täpselt töötavad.

Lisaks ei teadnud ma midagi ka nende turvalisusest. Taas kord, teooria kõlab hästi, kuid vana laul „turvalisuse tõustes langeb kasutatavus“ käis mul peas. Nii et mõtlesin, et kuna konteineritega on kõike nii lihtne teha, on seal turvalisus madal. Selgus, et olin õige.

Kiireks alguseks registreerisin end kursustele Black Hat 2020 pealkirjaga „Luhtunud lootustest hiilguseni: sissetung ja kaitse Docker Swarm ja Kubernetes keskkondades».

Kursus, mida viisid läbi Sheila A. Berta ja Sol Ozzan, algas kohe Docker konteinerite toimimise kirjeldamisega ning sellest, milline on nende deployimise tee Kubernetesis. See oli täielikult praktiline klass — õpilased pidid enne tunde oma masinatele Docker ja microk8s installima — suurepärane võimalus näha tööriistade omavahelist koostööd, leida nõrgad kohad ja, mis kõige tähtsam, proovida neid blokeerida.

Kahjuks, kuigi kursused lubasid kahe päeva pärast „printsiks“ saada, tundsin ma, et kõik on alles algamas ja mul on veel palju õppida.

Enne kui sukelduda minu kõrgetesse tähelepanekutesse, on oluline selgitada, mis on konteiner. Arendamise maailmas peetakse normaalseks olukorda, kus teie isiklikul masinal kirjutatud kood töötab ideaalselt, kuid kui proovite seda kuskil serveris käivitada — see lihtsalt ei toimi. Konteinerid üritavad seda probleemi ületada, pakkudes iseseisvaid masin¬nõisi, mida saate hõlpsasti ühest serverist teise kanda, teades, et need töötavad alati. Nagu nimi ütleb, sisaldavad nad koodi, teeke ja muud tarkvara, mis on töötamiseks vajalik. Kubernetes, omakorda, on konteinerite orkestreerimise platvorm. Põhimõtteliselt on selle abil võimalik sujuvalt hallata sadu või tuhandeid erinevaid konteinerid.

Allpool on mõned minu järeldused punase ja sinise meeskonna vaatenurgast.

Punane meeskond

Enamik konteinerite sisu käivitatakse root-kasutajana: see tähendab, et kui kompromiteerite konteineri, saate täieliku ligipääsu konteinerile. See muudab järgmised sammud oluliselt lihtsamaks.

docker.sock-i monteerimine konteineris on ohtlik: kui olete saanud root-privileegid konteineris ja olete ka paigaldanud Docker'i konteinerisse, millel on Docker-soket (/var/run/docker.sock), siis on teil potentsiaalne võimalus uurida kogu klastrit, sealhulgas pääseda juurde igale teisele konteinerile. Sellist ligipääsu ei saa vältida ei võrgus isolatsiooni ega muude meetoditega.

Keskkonnamuutujad sisaldavad sageli salajasi andmeid: enamasti saadavad inimesed paroolid konteinerisse tavaliste keskkonnamuutujate kaudu. Niisiis, kui teil on juurdepääs kontole, saate need keskkonnamuutujad silmas pidades oma õigusi hiljem laiendada.

Docker API võib anda palju teavet: vaikeseadistustes töötab Docker API ilma autentimiseta ja võib anda palju teavet. Kasutades Shodan'i, on lihtne leida avatud sadamate loendit, seejärel saada üksikasjalikku teavet klastri kohta — ja liikuda selle täieliku üle võtmise suunas. TrendMicro kirjutas sellest huvitava artikli.

Sinine meeskond

Ärge käivitage konteinerite sisu root-kasutajana: kuigi root-kasutajana käivitamine on lihtsam, ei tohiks te seda teha. Selle asemel käivitage rakendused väiksemate õigustega, määrates uid või kasutades CLI käitlemisel parameetrit —user või määrates USER-i Dockerfile'is.

Ärge lubage programmide installimist konteinerites: peaaegu iga rünnak algab millegi installimisest. Alustades nmap'ist ja lõpetades ifconfig'iga ning Docker'iga (konteineris), oli konteineris millegi installimine tavaline asi. Samuti tuleb alati blokeerida kõik mittekasutatavad sadamad. See aitab ka vältida juhtimiskäskude edastamist teie masina nakatumisel. Lisaks programmide installimise vältimisele tuleks veenduda, et konteineris on minimaalne hulk rakendusi, mis on vajalik ülesande täitmiseks.

Kaitske docker.sock'i: seda tuleb kaitsta, kuna selle soketi kaudu toimub suhtlus konteineri ja klastri vahel. Kuna ma ei soovi selles artiklis detailselt süveneda, lugege Docker'i märkust, mis võib juhtuda, ning kuidas seda kõike blokeerida.

Kasutage Docker'i salajasi muutujaid keskkonnaparametrite asemel: Salajased muutujaid on olemas umbes 2017. aastast. Kuigi see ei ole ohutu, on see siiski parem kui keskkonnaparametrite kasutamine salajaste andmete edastamiseks konteineris.

Kui artikkel tekitas teie huvi konteinerite vastu, siis on Docker'i või microk8s'i (väiksem Kubernetes'i versioon) paigaldamine suhteliselt lihtne. Siin on olemas juhised Docker'i installimiseks Linuxile ja MacOS-le, samas siin — juhised microk8s'i installimiseks Windowsile, Linuxile ja MacOS-le.

Pärast installimist võite minna selle kiirjuhendi juurde Docker'ilt, sarnane variant pakutakse ka microk8s'ile.

Kui soovite või on teil vajadus läbida põhjalik kursus Docker'ist, kus kogenud esinejad käsitlevad kõiki selle tööriistu: alates põhiabstraktsioonidest kuni võrguvalikute, erinevate operatsioonisüsteemide ja programmeerimiskeelte nüanssideni, proovige "Videokursuse Dockerist". Sa tutvud tehnoloogiaga ja mõistad, kus ja kuidas Dockerit parim viis kasutada. Samuti saad parimaid praktikaid — õppida on parem ohutult ja kogenud praktikute toetusel tõrkedest, kui omal nahal sorkima kui ise teravate käepidemetega.

Allikas: habr.com