सामान्य डकर र कुबर्नेट्स स्थापनाहरूको (हराइरहेको) सुरक्षा अन्वेषण गर्दै

म IT मा 20 वर्ष भन्दा बढि काम गर्दैछु, तर कुनै न कुनै रूपमा म कन्टेनरहरू वरिपरि पाइन। सिद्धान्तमा, मैले बुझें कि तिनीहरू कसरी संरचित थिए र तिनीहरूले कसरी काम गरे। तर व्यवहारमा मैले तिनीहरूलाई कहिल्यै नभेटेकोले, तिनीहरूको हुडमुनिका गियरहरू कसरी घुम्छन् र कसरी घुम्छन् भन्ने कुरामा मलाई पक्का थिएन।

यसबाहेक, मलाई थाहा थिएन उनीहरूको सुरक्षा कस्तो छ। तर फेरि, सिद्धान्त राम्रो लाग्दछ, र पुरानो गीत "सुरक्षा बढ्दै जाँदा, उपयोगिता घट्छ" मेरो टाउकोमा अड्कियो। त्यसैले मैले सोचें कि कन्टेनरहरूसँग सबै कुरा गर्न सजिलो छ, त्यसपछि त्यहाँ सुरक्षा बराबर छ। यो बाहिर जान्छ, म सही थिएँ।

द्रुत सुरुवात प्राप्त गर्न, मैले पाठ्यक्रमहरूको लागि साइन अप गरें कालो टोपी 2020 शीर्षक "र्याग्स देखि रिच सम्म: डकर स्वार्म र कुबर्नेट्स वातावरणको प्रवेश र सुरक्षा"।

शिला ए बर्टा र सोल ओज्जन द्वारा सिकाइएको पाठ्यक्रम, डकर कन्टेनरहरूले कसरी काम गर्दछ र कुबेरनेटमा तैनाथ गर्दा तिनीहरूले गर्ने यात्राको विवरणको साथ तुरुन्तै सुरु भयो। यो पूर्णतया ह्यान्ड्स-अन क्लास थियो - विद्यार्थीहरूले कक्षा अघि आफ्नो मेसिनहरूमा Docker र microk8s स्थापना गर्नुपर्थ्यो - उपकरणहरूले कसरी एकअर्कासँग अन्तरक्रिया गर्छन्, कमजोर बिन्दुहरू फेला पार्ने र सबैभन्दा महत्त्वपूर्ण कुरा, तिनीहरूलाई रोक्न प्रयास गर्ने उत्कृष्ट तरिका।

दुर्भाग्यवश, पाठ्यक्रमहरूले दुई दिन पछि "राजकुमार" बन्ने वाचा गरे तापनि, मैले महसुस गरें कि सबै कुरा भर्खरै सुरु भएको थियो, र मैले अझै धेरै सिक्न बाँकी थियो।

मेरो उच्च अवलोकनहरूमा डाइभ गर्नु अघि, कन्टेनर के हो भनेर व्याख्या गर्न महत्त्वपूर्ण छ। विकास संसारमा, तपाईको व्यक्तिगत मेसिनमा लेखिएको कोडले पूर्ण रूपमा काम गर्नको लागि सामान्य मानिन्छ, तर जब तपाइँ यसलाई कतै सर्भरमा चलाउन प्रयास गर्नुहुन्छ, यसले काम गर्दैन। कन्टेनरहरूले यो समस्यालाई आत्म-निहित मेसिनहरू उपलब्ध गराउने प्रयास गर्छन् जुन तपाईं सजिलैसँग एक सर्भरबाट अर्कोमा सार्न सक्नुहुन्छ, तिनीहरू सधैं काम गर्नेछन्। जसरी नामले सुझाव दिन्छ, तिनीहरूमा कोड, पुस्तकालयहरू, र अन्य सफ्टवेयरहरू छन् जुन काम गर्न आवश्यक छ। Kubernetes, अर्कोतर्फ, छ कन्टेनरहरूको लागि आर्केस्ट्रा प्लेटफर्म। सिद्धान्तमा, यो निर्बाध रूपमा सयौं वा हजारौं विभिन्न कन्टेनरहरू व्यवस्थापन गर्न प्रयोग गर्न सकिन्छ।

तल रातो र निलो टोलीको परिप्रेक्ष्यबाट मेरा केही निष्कर्षहरू छन्।

रातो टोली

धेरै कन्टेनर सामग्री रूटको रूपमा चल्छ: यसको मतलब यो हो कि यदि कन्टेनरमा सम्झौता गरिएको छ भने, तपाइँसँग कन्टेनरमा पूर्ण पहुँच हुनेछ। यसले अर्को चरणहरू धेरै सजिलो बनाउँछ।

कन्टेनर भित्र docker.sock माउन्ट गर्नु खतरनाक छ: यदि तपाइँसँग कन्टेनर भित्र रूट छ र डकर सकेट (/var/run/docker.sock) भएको कन्टेनर भित्र डकर स्थापना गर्नुभयो भने, तपाइँसँग कुनै पनि अन्य कन्टेनरमा पहुँच सहित सम्पूर्ण क्लस्टर अन्वेषण गर्ने क्षमता छ। यस्तो पहुँच नेटवर्क अलगाव वा अन्य माध्यमबाट रोक्न सकिँदैन।

वातावरण चरहरूले प्रायः गोप्य डाटा समावेश गर्दछ: अधिकांश अवस्थामा, मानिसहरूले सामान्य वातावरण चर प्रयोग गरेर कन्टेनरमा पासवर्डहरू पठाउँछन्। त्यसोभए यदि तपाइँसँग खातामा पहुँच छ भने, तपाइँ पछि तपाइँको शक्तिहरू विस्तार गर्न यी वातावरण चरहरूमा जासूसी गर्न सक्नुहुन्छ।

Docker API ले धेरै जानकारी दिन सक्छ: डकर एपीआई, पूर्वनिर्धारित रूपमा कन्फिगर हुँदा, प्राधिकरण बिना चल्छ र जानकारीको एक टन उत्पादन गर्न सक्छ। Shodan प्रयोग गरेर, तपाइँ सजिलैसँग खुला पोर्टहरूको सूची फेला पार्न सक्नुहुन्छ, त्यसपछि क्लस्टरको बारेमा विस्तृत जानकारी प्राप्त गर्नुहोस् - र यसको पूर्ण क्याप्चर गर्न अगाडि बढ्नुहोस्। TrendMicro ले यस बारे लेख्यो सबैभन्दा रोचक लेख.

निलो टोली

कन्टेनर सामग्रीहरू रूटको रूपमा नचलाउनुहोस्: रूटको रूपमा चलाउन सजिलो भएता पनि, तपाईंले यो गर्नु हुँदैन। यसको सट्टा, Uid देखाएर रिसेट अनुमतिहरूसँग अनुप्रयोगहरू चलाउनुहोस्, या त CLI बाट चलिरहेको बेला --user विकल्प प्रयोग गर्नुहोस्, वा डकरफाइलमा USER निर्दिष्ट गरेर।

कन्टेनरहरूमा सफ्टवेयर स्थापना गर्न अनुमति नदिनुहोस्: लगभग हरेक आक्रमण केहि रोपण संग सुरु हुन्छ। nmap देखि ifconfig सम्म डकर आफैं (एक कन्टेनर भित्र), कन्टेनरमा केहि पनि स्थापना गर्नु सामान्य भएको छ। एउटै कारणको लागि, तपाईंले सधैं सबै प्रयोग नगरिएका पोर्टहरू ब्लक गर्नुपर्छ। यसले तपाईंको मेसिन संक्रमित हुँदा नियन्त्रण आदेशहरू प्रसारण हुनबाट रोक्न मद्दत गर्दछ। कार्यक्रमहरूको स्थापना रोक्नको अतिरिक्त, यो सुनिश्चित गर्न लायक छ कि कार्य पूरा गर्न आवश्यक अनुप्रयोगहरूको न्यूनतम संख्या कन्टेनरमा स्थापना गरिएको छ।

docker.sock सुरक्षित गर्नुहोस्: यो सुरक्षित हुनुपर्छ किनभने कन्टेनर र क्लस्टर बीचको संचार यस सकेट मार्फत प्रशोधन गरिन्छ। म यस लेखमा विस्तृत रूपमा जान चाहन्न, पढ्नुहोस् डकरबाट नोट, के हुन सक्छ, र यो सबै कसरी ब्लक गर्ने।

वातावरण चरको सट्टा डकर गोप्य प्रयोग गर्नुहोस्: त्यहाँ रहस्यहरू छन् लगभग 2017 देखि। यद्यपि यो सुरक्षित छैन, यो अझै पनि कन्टेनरमा गोप्य डाटा पास गर्नको लागि वातावरण चर भन्दा राम्रो छ।

यदि लेखले कन्टेनरहरूमा तपाइँको चासो जगाएको छ भने, तपाइँ सजिलै संग Docker वा microk8s (Kubernetes को सानो संस्करण) स्थापना गर्न सक्नुहुन्छ। यो छ डकर स्थापना गर्ने निर्देशनहरू छन् Linux र MacOS, र यहाँ - microk8s स्थापना निर्देशनहरू Windows, Linux र MacOS।

स्थापना पछि तपाईं जान सक्नुहुन्छ यो एक द्रुत सुरुवात गाइड हो डकरबाट, समान विकल्प प्रस्ताव गरिएको र microk8s को लागी।

यदि तपाइँ चाहानुहुन्छ वा Docker मा एक विस्तृत पाठ्यक्रम लिन आवश्यक छ, जसमा व्यावहारिक वक्ताहरूले यसको सबै उपकरणहरू जाँच गर्छन्: आधारभूत एब्स्ट्र्याक्सनदेखि नेटवर्क प्यारामिटरहरू, विभिन्न अपरेटिङ सिस्टमहरू र प्रोग्रामिङ भाषाहरूसँग काम गर्ने बारीकताहरू, त्यसपछि "प्रयास गर्नुहोस्।डकर भिडियो कोर्स" तपाईं टेक्नोलोजीसँग परिचित हुनुहुनेछ र कहाँ र कसरी डकर प्रयोग गर्ने भनेर बुझ्नुहुनेछ। र एकै समयमा, उत्तम अभ्यास केसहरू पाउनुहोस् - व्यक्तिगत रूपमा स्टड ह्यान्डलहरूका साथ रेकहरूबाट भन्दा सुरक्षामा र अभ्यासकर्ताहरूको समर्थनमा रेकहरूका कथाहरूबाट सिक्नु राम्रो हुन्छ।

स्रोत: www.habr.com