{"id":91364,"date":"2020-08-12T07:42:33","date_gmt":"2020-08-12T05:42:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes"},"modified":"2020-08-12T07:42:33","modified_gmt":"2020-08-12T05:42:33","slug":"izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","title":{"rendered":"Zbadanie (brakuj\u0105cego) bezpiecze\u0144stwa typowych instalacji Docker i Kubernetes","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Zbadanie
\nPracuj\u0119 w IT od ponad 20 lat, ale jako\u015b nigdy nie zajmowa\u0142em si\u0119 kontenerami. W teorii rozumia\u0142em, jak s\u0105 zbudowane i jak dzia\u0142aj\u0105. Ale poniewa\u017c nigdy nie mia\u0142em z nimi do czynienia w praktyce \u2014 nie by\u0142em pewien, jak dok\u0142adnie dzia\u0142aj\u0105 ich mechanizmy pod mask\u0105. <\/p>\n

<\/p>\n

Ponadto nie mia\u0142em poj\u0119cia, jak wygl\u0105da kwestia bezpiecze\u0144stwa. Ale zn\u00f3w, teoria brzmi pi\u0119knie, a stara piosenka \u201ewraz ze wzrostem bezpiecze\u0144stwa spada wygoda u\u017cytkowania\u201d wci\u0105\u017c siedzia\u0142a mi w g\u0142owie. Pomy\u015bla\u0142em wi\u0119c, \u017ce skoro wszystko jest takie \u0142atwe do zrobienia z kontenerami, to bezpiecze\u0144stwo tam jest na bardzo niskim poziomie. Okaza\u0142o si\u0119, \u017ce mia\u0142em racj\u0119.<\/p>\n

<\/a><\/noindex><\/p>\n

Aby szybko zacz\u0105\u0107, zapisa\u0142em si\u0119 na kursy Black Hat<\/a><\/noindex> w 2020 roku pod tytu\u0142em \u201eZ b\u0142ota w ksi\u0119stwa: penetracja i zabezpieczenie \u015brodowisk Docker Swarm i Kubernetes<\/a><\/noindex>\u00bb. <\/p>\n

<\/p>\n

Kurs, kt\u00f3ry prowadzili Sheila A. Berta i Sol Ozzan, od razu rozpocz\u0105\u0142 si\u0119 od opisu, jak dzia\u0142aj\u0105 kontenery Docker oraz jak przebiega ich proces wdra\u017cania w Kubernetes. By\u0142o to ca\u0142kowicie praktyczne zaj\u0119cia \u2014 studenci musieli przed zaj\u0119ciami zainstalowa\u0107 Docker i microk8s na swoich maszynach \u2014 \u015bwietny spos\u00f3b, aby zobaczy\u0107 interakcj\u0119 narz\u0119dzi ze sob\u0105, znale\u017a\u0107 s\u0142abe punkty i, co najwa\u017cniejsze, spr\u00f3bowa\u0107 je zablokowa\u0107.<\/p>\n

<\/p>\n

Niestety, chocia\u017c kursy obiecywa\u0142y, \u017ce stan\u0119 si\u0119 \u201eksi\u0119ciem\u201d w ci\u0105gu dw\u00f3ch dni, czu\u0142em, \u017ce to dopiero pocz\u0105tek, i jeszcze wiele musz\u0119 si\u0119 nauczy\u0107.<\/p>\n

<\/p>\n

\"Zbadanie<\/p>\n

<\/p>\n

Zanim zanurkuj\u0119 w moje g\u0142\u0119bokie obserwacje, wa\u017cne jest, aby wyja\u015bni\u0107, czym jest kontener. W \u015bwiecie programowania sytuacja, w kt\u00f3rej kod napisany na twojej osobistej maszynie dzia\u0142a idealnie, ale przy pr\u00f3bie uruchomienia go na serwerze \u2014 po prostu nie dzia\u0142a, jest uznawana za norm\u0119. Kontenery pr\u00f3buj\u0105 przezwyci\u0119\u017cy\u0107 ten problem, zapewniaj\u0105c autonomiczne maszyny, kt\u00f3re mo\u017cna \u0142atwo przenosi\u0107 z jednego serwera na inny, wiedz\u0105c, \u017ce zawsze b\u0119d\u0105 dzia\u0142a\u0107. Jak wskazuje nazwa, zawieraj\u0105 one kod, biblioteki i inne oprogramowanie potrzebne do dzia\u0142ania. Kubernetes, z drugiej strony, jest platform\u0105 orkiestracyjn\u0105 dla kontener\u00f3w<\/a><\/noindex>. W zasadzie z jego pomoc\u0105 mo\u017cna bezproblemowo zarz\u0105dza\u0107 setkami lub tysi\u0105cami r\u00f3\u017cnych kontener\u00f3w.<\/p>\n

<\/p>\n

Poni\u017cej przedstawiam kilka moich wniosk\u00f3w z perspektywy czerwonej i niebieskiej dru\u017cyny.<\/p>\n

<\/p>\n

Czerwona dru\u017cyna<\/h2>\n

<\/p>\n

Wi\u0119kszo\u015b\u0107 zawarto\u015bci kontener\u00f3w dzia\u0142a z uprawnieniami roota<\/strong>: oznacza to, \u017ce je\u015bli kontener zostanie skompromitowany, uzyskasz pe\u0142ny dost\u0119p do kontenera. U\u0142atwia to nast\u0119pne kroki.<\/p>\n

<\/p>\n

Monta\u017c docker.sock wewn\u0105trz kontenera jest niebezpieczny<\/strong>: je\u015bli uzyska\u0142e\u015b dost\u0119p do roota w kontenerze, a tak\u017ce zainstalowa\u0142e\u015b Docker wewn\u0105trz kontenera z soketem Docker (\u2044var\u2044run\u2044docker.sock), masz potencjaln\u0105 mo\u017cliwo\u015b\u0107 eksploracji ca\u0142ego klastra, w tym dost\u0119p do dowolnego innego kontenera. Taki dost\u0119p jest niemo\u017cliwy do zapobie\u017cenia ani przez izolacj\u0119 sieciow\u0105, ani w \u017caden inny spos\u00f3b.<\/p>\n

<\/p>\n

Zmienne \u015brodowiskowe cz\u0119sto zawieraj\u0105 poufne dane<\/strong>: w wi\u0119kszo\u015bci przypadk\u00f3w ludzie przesy\u0142aj\u0105 has\u0142a do kontenera przy u\u017cyciu standardowych zmiennych \u015brodowiskowych. Wi\u0119c je\u015bli masz dost\u0119p do konta, mo\u017cesz podejrze\u0107 te zmienne \u015brodowiskowe, aby p\u00f3\u017aniej rozszerzy\u0107 swoje uprawnienia.<\/p>\n

<\/p>\n

Docker API mo\u017ce ujawni\u0107 wiele informacji<\/strong>: Docker API, przy ustawieniach domy\u015blnych, dzia\u0142a bez autoryzacji i mo\u017ce ujawni\u0107 wiele informacji. U\u017cywaj\u0105c Shodan, mo\u017cna \u0142atwo znale\u017a\u0107 list\u0119 otwartych port\u00f3w, a nast\u0119pnie uzyska\u0107 szczeg\u00f3\u0142owe informacje o klastrze \u2013 i przej\u015b\u0107 do jego pe\u0142nego przej\u0119cia. TrendMicro napisa\u0142 na ten temat interesuj\u0105cy artyku\u0142<\/a><\/noindex>.<\/p>\n

<\/p>\n

Zesp\u00f3\u0142 niebieski<\/h2>\n

<\/p>\n

Nie uruchamiaj zawarto\u015bci kontener\u00f3w pod roota<\/strong>: mimo \u017ce uruchamianie z uprawnieniami root jest prostsze, nie powiniene\u015b tego robi\u0107. Zamiast tego uruchamiaj aplikacje z ograniczonymi uprawnieniami, u\u017cywaj\u0105c uid lub parametru \u2014user podczas korzystania z CLI, albo wskazuj\u0105c USER w Dockerfile.<\/p>\n

<\/p>\n

Nie zezwalaj na instalacj\u0119 program\u00f3w w kontenerach<\/strong>: prawie ka\u017cdy atak zaczyna si\u0119 od instalacji czegokolwiek. Od nmap po ifconfig i samego Dockera (wewn\u0105trz kontenera), instalacja czegokolwiek w kontenerze by\u0142a powszechn\u0105 praktyk\u0105. Z tego powodu zawsze nale\u017cy blokowa\u0107 wszystkie nieu\u017cywane porty. Pomaga to r\u00f3wnie\u017c zapobiec przesy\u0142aniu komend kontrolnych w przypadku infekcji twojej maszyny. Opr\u00f3cz zapobiegania instalacji aplikacji, warto upewni\u0107 si\u0119, \u017ce w samym kontenerze zainstalowana jest minimalna liczba aplikacji niezb\u0119dnych do wykonania zadania.<\/p>\n

<\/p>\n

Chro\u0144 docker.sock<\/strong>: nale\u017cy go chroni\u0107, poniewa\u017c przez ten soket odbywa si\u0119 komunikacja mi\u0119dzy kontenerem a klastrami. Poniewa\u017c nie chc\u0119 wg\u0142\u0119bia\u0107 si\u0119 w szczeg\u00f3\u0142y w tym artykule, przeczytaj notatk\u0119 od Docker<\/a><\/noindex>, co mo\u017ce si\u0119 zdarzy\u0107 i jak to wszystko zablokowa\u0107.<\/p>\n

<\/p>\n

U\u017cyj sekret\u00f3w Dockera zamiast zmiennych \u015brodowiskowych<\/strong>: Sekrety s\u0105 od oko\u0142o 2017 roku<\/a><\/noindex>. Cho\u0107 nie jest to bezpieczne, jest to wci\u0105\u017c lepsze ni\u017c zmienne \u015brodowiskowe do przesy\u0142ania tajnych danych do kontenera.<\/p>\n

<\/p>\n

Je\u015bli artyku\u0142 wzbudzi\u0142 twoje zainteresowanie kontenerami \u2014 mo\u017cna \u0142atwo zainstalowa\u0107 Dockera lub microk8s (ma\u0142a wersja Kubernetes). Tutaj<\/a><\/noindex> s\u0105 instrukcje dotycz\u0105ce instalacji Dockera dla system\u00f3w Linux i MacOS, a tutaj<\/a><\/noindex> \u2014 instrukcje dotycz\u0105ce instalacji microk8s dla Windows, Linux i MacOS.<\/p>\n

<\/p>\n

Po instalacji mo\u017cesz przej\u015b\u0107 do tego przewodnika po szybkim starcie<\/a><\/noindex> od Dockera, podobna wersja jest oferowana<\/a><\/noindex> i dla microk8s.<\/p>\n

<\/p>\n

Je\u015bli masz ochot\u0119 lub potrzeb\u0119 przej\u015b\u0107 kompleksowy kurs dotycz\u0105cy Dockera, w kt\u00f3rym praktycy omawiaj\u0105 wszystkie jego narz\u0119dzia: od podstawowych abstrakcji po parametry sieci, niuanse pracy z r\u00f3\u017cnymi systemami operacyjnymi i j\u0119zykami programowania, spr\u00f3buj \"Kurs wideo po Dockerze<\/a><\/noindex>\". Poznasz technologi\u0119 i zrozumiesz, gdzie i jak najlepiej wykorzysta\u0107 Dockera. Od razu otrzymasz r\u00f3wnie\u017c przypadki najlepszych praktyk \u2014 lepiej uczy\u0107 si\u0119 w bezpieczny spos\u00f3b i z pomoc\u0105 praktyk\u00f3w na historiach o b\u0142\u0119dach, ni\u017c na w\u0142asnych b\u0142\u0119dach z kolczastymi uchwytami.<\/p>\n

\u0179r\u00f3d\u0142o: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u042f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 IT \u0431\u043e\u043b\u044c\u0448\u0435 20 \u043b\u0435\u0442, \u043d\u043e \u043a\u0430\u043a-\u0442\u043e \u0440\u0443\u043a\u0438 \u043d\u0435 \u0434\u043e\u0445\u043e\u0434\u0438\u043b\u0438 \u0434\u043e \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0412 \u0442\u0435\u043e\u0440\u0438\u0438 \u044f \u043f\u043e\u043d\u0438\u043c\u0430\u043b, \u043a\u0430\u043a \u043e\u043d\u0438 \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u044b \u0438 \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442. \u041d\u043e \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u044f \u043d\u0438\u043a\u043e\u0433\u0434\u0430 \u0441 \u043d\u0438\u043c\u0438 \u043d\u0435 \u0441\u0442\u0430\u043b\u043a\u0438\u0432\u0430\u043b\u0441\u044f \u043d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435 \u2014 \u044f \u043d\u0435 \u0431\u044b\u043b \u0443\u0432\u0435\u0440\u0435\u043d \u0432 \u0442\u043e\u043c, \u043a\u0430\u043a \u0438\u043c\u0435\u043d\u043d\u043e \u043a\u0440\u0443\u0442\u044f\u0442\u0441\u044f-\u0432\u0435\u0440\u0442\u044f\u0442\u0441\u044f \u0443 \u043d\u0438\u0445 \u0448\u0435\u0441\u0442\u0435\u0440\u0451\u043d\u043a\u0438 \u043f\u043e\u0434 \u043a\u0430\u043f\u043e\u0442\u043e\u043c. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u044f \u0431\u044b\u043b \u0431\u0435\u0437 \u043f\u043e\u043d\u044f\u0442\u0438\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":91365,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-91364","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Zajmujemy si\u0119 (brakuj\u0105cym) bezpiecze\u0144stwem typowych instalacji Dockera i Kubernetes | ProHoster","description":"Pracuj\u0119 w IT.","canonical_url":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pl_PL","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u0437\u0443\u0447\u0430\u0435\u043c (\u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0443\u044e) \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0442\u0438\u043f\u0438\u0447\u043d\u044b\u0445 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043e\u043a Docker \u0438 Kubernetes | ProHoster","og:description":"\u042f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 IT.","og:url":"https:\/\/prohoster.info\/pl\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-08-12T05:42:33+00:00","article:modified_time":"2020-08-12T05:42:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"91364","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:29:22","updated":"2022-09-28 18:39:15","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/91364","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/comments?post=91364"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/posts\/91364\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media\/91365"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/media?parent=91364"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/categories?post=91364"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pl\/wp-json\/wp\/v2\/tags?post=91364"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}