ठराविक डॉकर आणि कुबर्नेट्स इंस्टॉलेशन्सची (गहाळ) सुरक्षा एक्सप्लोर करत आहे

मी 20 वर्षांहून अधिक काळ आयटीमध्ये काम करत आहे, पण तरीही मी कधीच कंटेनरच्या आसपास पोहोचलो नाही. सिद्धांतानुसार, त्यांची रचना कशी आहे आणि ते कसे कार्य करतात हे मला समजले. पण सरावात मी त्यांचा कधीच सामना केला नसल्यामुळे, हुडखालील गीअर्स नेमके कसे वळले आणि कसे वळले याची मला खात्री नव्हती.

शिवाय त्यांची सुरक्षा कशी आहे याची मला कल्पना नव्हती. पण पुन्हा, सिद्धांत छान वाटतो, आणि जुने गाणे “जशी सुरक्षितता वाढते, उपयोगिता कमी होते” माझ्या डोक्यात अडकले. म्हणून मला वाटले की कंटेनरमध्ये सर्वकाही करणे इतके सोपे आहे, तर तिथली सुरक्षितता कमी आहे. तो बाहेर वळते म्हणून, मी बरोबर होते.

द्रुत सुरुवात करण्यासाठी, मी अभ्यासक्रमांसाठी साइन अप केले काळी हॅट 2020 शीर्षक "रॅग्सपासून रिचपर्यंत: डॉकर स्वॉर्म आणि कुबर्नेट्स वातावरणात प्रवेश आणि संरक्षण».

शीला ए. बर्टा आणि सोल ओझान यांनी शिकवलेला कोर्स, डॉकर कंटेनर्स कसे कार्य करतात आणि कुबेरनेट्समध्ये तैनात केल्यावर ते काय प्रवास करतात याच्या वर्णनासह लगेचच सुरू झाले. हा पूर्णपणे हँड्स-ऑन वर्ग होता - विद्यार्थ्यांना वर्गापूर्वी त्यांच्या मशीनवर डॉकर आणि मायक्रोक8 स्थापित करावे लागले - साधने एकमेकांशी कसे संवाद साधतात हे पाहण्याचा एक उत्तम मार्ग, कमकुवत बिंदू शोधणे आणि सर्वात महत्त्वाचे म्हणजे त्यांना अवरोधित करण्याचा प्रयत्न करणे.

दुर्दैवाने, जरी अभ्यासक्रमांनी दोन दिवसांनंतर "राजकुमार" बनण्याचे वचन दिले असले तरी, मला असे वाटले की सर्व काही सुरू झाले आहे आणि मला अजूनही बरेच काही शिकायचे आहे.

माझ्या उदात्त निरीक्षणांमध्ये जाण्यापूर्वी, कंटेनर म्हणजे काय हे स्पष्ट करणे महत्त्वाचे आहे. विकासाच्या जगात, आपल्या वैयक्तिक मशीनवर लिहिलेला कोड उत्तम प्रकारे कार्य करणे सामान्य मानले जाते, परंतु जेव्हा आपण ते कोठेतरी सर्व्हरवर चालवण्याचा प्रयत्न करता तेव्हा ते कार्य करत नाही. कंटेनर्स स्वयं-समाविष्ट मशीन प्रदान करून या समस्येवर मात करण्याचा प्रयत्न करतात जे आपण सहजपणे एका सर्व्हरवरून दुसर्‍या सर्व्हरवर जाऊ शकता, हे जाणून ते नेहमी कार्य करतील. नावाप्रमाणेच, ते काम पूर्ण करण्यासाठी आवश्यक असलेले कोड, लायब्ररी आणि इतर सॉफ्टवेअर असतात. दुसरीकडे, Kubernetes आहे कंटेनरसाठी ऑर्केस्ट्रेशन प्लॅटफॉर्म. तत्वतः, हे शेकडो किंवा हजारो भिन्न कंटेनर अखंडपणे व्यवस्थापित करण्यासाठी वापरले जाऊ शकते.

खाली लाल आणि निळ्या संघाच्या दृष्टीकोनातून माझे काही निष्कर्ष आहेत.

लाल संघ

बहुतेक कंटेनर सामग्री रूट म्हणून चालते: याचा अर्थ कंटेनरशी तडजोड केल्यास, तुम्हाला कंटेनरमध्ये पूर्ण प्रवेश असेल. हे पुढील चरण अधिक सोपे करते.

कंटेनरमध्ये docker.sock बसवणे धोकादायक आहे: जर तुमच्याकडे कंटेनरमध्ये रूट असेल आणि डॉकर सॉकेट (/var/run/docker.sock) असलेल्या कंटेनरमध्ये डॉकर स्थापित केले असेल, तर तुमच्याकडे इतर कोणत्याही कंटेनरमध्ये प्रवेशासह संपूर्ण क्लस्टर एक्सप्लोर करण्याची क्षमता आहे. असा प्रवेश नेटवर्क अलगाव किंवा इतर मार्गांनी प्रतिबंधित केला जाऊ शकत नाही.

पर्यावरण व्हेरिएबल्समध्ये अनेकदा गुप्त डेटा असतो: बर्‍याच प्रकरणांमध्ये, लोक सामान्य पर्यावरण व्हेरिएबल्स वापरून कंटेनरला पासवर्ड पाठवतात. म्हणून जर तुमच्याकडे खात्यात प्रवेश असेल, तर तुम्ही नंतर तुमची शक्ती वाढवण्यासाठी या पर्यावरणीय व्हेरिएबल्सची हेरगिरी करू शकता.

डॉकर API बरीच माहिती देऊ शकते: डॉकर API, डीफॉल्टनुसार कॉन्फिगर केलेले असताना, अधिकृततेशिवाय चालते आणि बरीच माहिती तयार करू शकते. Shodan वापरून, तुम्ही खुल्या पोर्टची सूची सहज शोधू शकता, त्यानंतर क्लस्टरबद्दल तपशीलवार माहिती मिळवू शकता - आणि त्याच्या पूर्ण कॅप्चरसाठी पुढे जा. TrendMicro ने याबद्दल लिहिले सर्वात मनोरंजक लेख.

निळा संघ

कंटेनर सामग्री रूट म्हणून चालवू नका: रूट म्हणून चालवणे सोपे असले तरी, तुम्ही ते करू नये. त्याऐवजी, CLI वरून चालत असताना --user पर्याय वापरून, किंवा Dockerfile मध्ये USER निर्दिष्ट करून, uid प्रदर्शित करून रीसेट परवानग्यांसह अनुप्रयोग चालवा.

कंटेनरमध्ये सॉफ्टवेअर स्थापित करण्याची परवानगी देऊ नका: जवळजवळ प्रत्येक आक्रमणाची सुरुवात काहीतरी लावणीपासून होते. nmap पासून ifconfig पर्यंत डॉकर स्वतः (कंटेनरच्या आत), कंटेनरमध्ये काहीही स्थापित करणे सामान्य गोष्ट आहे. त्याच कारणास्तव, आपण नेहमी सर्व न वापरलेले पोर्ट अवरोधित केले पाहिजेत. हे तुमचे मशीन संक्रमित झाल्यावर नियंत्रण आदेश प्रसारित होण्यापासून रोखण्यास मदत करते. प्रोग्राम्सची स्थापना प्रतिबंधित करण्याव्यतिरिक्त, हे सुनिश्चित करणे योग्य आहे की कार्य पूर्ण करण्यासाठी आवश्यक असलेल्या अनुप्रयोगांची संख्या कंटेनरमध्येच स्थापित केली आहे.

docker.sock संरक्षित करा: हे संरक्षित करणे आवश्यक आहे कारण या सॉकेटद्वारे कंटेनर आणि क्लस्टरमधील संप्रेषण प्रक्रिया केली जाते. मला या लेखात तपशिलात जायचे नसल्याने वाचा डॉकरकडून टीप, काय होऊ शकते आणि हे सर्व कसे ब्लॉक करावे.

पर्यावरण व्हेरिएबल्सऐवजी डॉकर रहस्ये वापरा: गुपिते आहेत सुमारे 2017 पासून. जरी हे सुरक्षित नसले तरी, कंटेनरला गुप्त डेटा पास करण्यासाठी पर्यावरण व्हेरिएबल्सपेक्षा हे अद्याप चांगले आहे.

जर लेखाने कंटेनरमध्ये तुमची आवड निर्माण केली असेल, तर तुम्ही डॉकर किंवा मायक्रोक8 (कुबर्नेट्सची एक छोटी आवृत्ती) सहजपणे स्थापित करू शकता. तो आहे Linux आणि MacOS साठी डॉकर स्थापित करण्याच्या सूचना आहेत, आणि येथे — विंडोज, लिनक्स आणि मॅकओएससाठी मायक्रोक8 स्थापित करण्यासाठी सूचना.

प्रतिष्ठापन नंतर आपण जाऊ शकता हे एक द्रुत प्रारंभ मार्गदर्शक आहे डॉकर कडून, समान पर्याय देऊ केले आणि microk8s साठी.

जर तुम्हाला डॉकरवर एक सर्वसमावेशक कोर्स घ्यायचा असेल किंवा आवश्यक असेल, ज्यामध्ये व्यावहारिक स्पीकर्स त्याच्या सर्व साधनांचे परीक्षण करतात: मूलभूत अमूर्ततेपासून नेटवर्क पॅरामीटर्सपर्यंत, विविध ऑपरेटिंग सिस्टम आणि प्रोग्रामिंग भाषांसह काम करण्याच्या बारकावे, नंतर "प्रयत्न करा.डॉकर व्हिडिओ कोर्स" तुम्ही तंत्रज्ञानाशी परिचित व्हाल आणि डॉकर कुठे आणि कसा वापरायचा हे तुम्हाला समजेल. आणि त्याच वेळी, सर्वोत्तम सराव प्रकरणे मिळवा - अणकुचीदार हँडलसह वैयक्तिकरित्या रेकच्या कथांमधून सुरक्षिततेमध्ये आणि अभ्यासकांच्या समर्थनासह शिकणे चांगले आहे.

स्त्रोत: www.habr.com