{"id":91364,"date":"2020-08-12T07:42:33","date_gmt":"2020-08-12T05:42:33","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes"},"modified":"2020-08-12T07:42:33","modified_gmt":"2020-08-12T05:42:33","slug":"izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","title":{"rendered":"Explorando a (ausente) seguran\u00e7a de instala\u00e7\u00f5es t\u00edpicas do Docker e Kubernetes","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"Explorando
\nEu trabalho na \u00e1rea de TI h\u00e1 mais de 20 anos, mas, de alguma forma, nunca cheguei a mexer com cont\u00eaineres. Na teoria, eu entendia como eles funcionam e como est\u00e3o estruturados. Mas como nunca tinha tido experi\u00eancia pr\u00e1tica com eles \u2014 n\u00e3o tinha certeza de como exatamente as engrenagens giram sob o cap\u00f4. <\/p>\n

<\/p>\n

Al\u00e9m disso, eu n\u00e3o tinha ideia de como funcionava a seguran\u00e7a deles. Mas, novamente, a teoria soa bonita e a velha can\u00e7\u00e3o \"com o aumento da seguran\u00e7a, a usabilidade cai\" ficou na minha cabe\u00e7a. Ent\u00e3o pensei que, j\u00e1 que \u00e9 t\u00e3o f\u00e1cil trabalhar com cont\u00eaineres, a seguran\u00e7a deve ser muito baixa. Acabei descobrindo que estava certo.<\/p>\n

<\/a><\/noindex><\/p>\n

Para um in\u00edcio r\u00e1pido, me inscrevi em um curso Black Hat<\/a><\/noindex> em 2020 chamado \"Da Lama ao P\u00f3dio: Penetra\u00e7\u00e3o e Prote\u00e7\u00e3o de Ambientes Docker Swarm e Kubernetes<\/a><\/noindex>\u00bb. <\/p>\n

<\/p>\n

O curso, conduzido por Sheila A. Berta e Sol Ozzan, come\u00e7ou imediatamente com uma descri\u00e7\u00e3o de como os cont\u00eaineres Docker funcionam, bem como do caminho que eles seguem ao serem implementados no Kubernetes. Era uma aula completamente pr\u00e1tica \u2014 os alunos deveriam instalar o Docker e o microk8s em suas m\u00e1quinas antes das aulas \u2014 uma \u00f3tima maneira de ver a intera\u00e7\u00e3o das ferramentas entre si, identificar vulnerabilidades e, o mais importante, tentar bloque\u00e1-las.<\/p>\n

<\/p>\n

Infelizmente, embora os cursos prometessem que eu viraria 'pr\u00edncipe' em dois dias, eu sentia que tudo estava apenas come\u00e7ando e ainda tinha muito a aprender.<\/p>\n

<\/p>\n

\"Explorando<\/p>\n

<\/p>\n

Antes de mergulhar nas minhas observa\u00e7\u00f5es, \u00e9 importante explicar o que \u00e9 um cont\u00eainer. No mundo do desenvolvimento, \u00e9 comum que o c\u00f3digo escrito na sua m\u00e1quina pessoal funcione perfeitamente, mas ao tentar execut\u00e1-lo em algum servidor, simplesmente n\u00e3o funcione. Os cont\u00eaineres tentam superar esse problema fornecendo m\u00e1quinas aut\u00f4nomas que voc\u00ea pode facilmente transportar de um servidor para outro, sabendo que sempre funcionar\u00e3o. Como o nome sugere, eles cont\u00eam o c\u00f3digo, bibliotecas e outros softwares necess\u00e1rios para a opera\u00e7\u00e3o. O Kubernetes, por outro lado, \u00e9 uma plataforma de orquestra\u00e7\u00e3o para cont\u00eaineres<\/a><\/noindex>. Basicamente, com ele \u00e9 poss\u00edvel gerenciar perfeitamente centenas ou milhares de diferentes cont\u00eaineres.<\/p>\n

<\/p>\n

Abaixo est\u00e3o algumas das minhas conclus\u00f5es do ponto de vista da equipe vermelha e da equipe azul.<\/p>\n

<\/p>\n

Equipe Vermelha<\/h2>\n

<\/p>\n

A maior parte do conte\u00fado dos cont\u00eaineres \u00e9 executado sob o root<\/strong>: isso significa que, se o cont\u00eainer for comprometido, voc\u00ea obter\u00e1 acesso total ao cont\u00eainer. Isso torna os passos subsequentes significativamente mais f\u00e1ceis.<\/p>\n

<\/p>\n

Montar docker.sock dentro do cont\u00eainer \u00e9 perigoso<\/strong>: se voc\u00ea obteve root dentro do cont\u00eainer e tamb\u00e9m instalou o Docker dentro do cont\u00eainer que possui o socket Docker (\\\/var\\\/run\\\/docker.sock), voc\u00ea tem a possibilidade de explorar todo o cluster, incluindo acesso a qualquer outro cont\u00eainer. Esse tipo de acesso n\u00e3o pode ser prevenido nem por isolamento de rede nem de outras maneiras.<\/p>\n

<\/p>\n

Vari\u00e1veis de ambiente muitas vezes cont\u00eam dados confidenciais<\/strong>: na maioria dos casos, as pessoas enviam senhas para o cont\u00eainer usando vari\u00e1veis de ambiente comuns. Ent\u00e3o, se voc\u00ea tiver acesso \u00e0 conta, poder\u00e1 espiar essas vari\u00e1veis de ambiente para ampliar seus privil\u00e9gios mais tarde.<\/p>\n

<\/p>\n

Docker API pode fornecer uma s\u00e9rie de informa\u00e7\u00f5es<\/strong>: A Docker API, quando configurada por padr\u00e3o, funciona sem autoriza\u00e7\u00e3o e pode expor uma s\u00e9rie de informa\u00e7\u00f5es. Usando o Shodan, \u00e9 f\u00e1cil encontrar uma lista de portas abertas, obter detalhes sobre o cluster \u2014 e seguir para sua captura total. A TrendMicro escreveu um artigo muito interessante<\/a><\/noindex>.<\/p>\n

<\/p>\n

Time azul<\/h2>\n

<\/p>\n

N\u00e3o execute o conte\u00fado dos cont\u00eaineres como root<\/strong>: embora seja mais f\u00e1cil executar como root, voc\u00ea n\u00e3o deve fazer isso. Em vez disso, inicie os aplicativos com permiss\u00f5es limitadas, especificando o uid ou usando o par\u00e2metro \u2014user ao trabalhar com o CLI, ou especificando USER no Dockerfile.<\/p>\n

<\/p>\n

N\u00e3o permita a instala\u00e7\u00e3o de programas nos cont\u00eaineres<\/strong>: quase todo ataque come\u00e7a com a instala\u00e7\u00e3o de algo. Desde nmap at\u00e9 ifconfig e o pr\u00f3prio Docker (dentro do cont\u00eainer), a instala\u00e7\u00e3o de qualquer coisa no cont\u00eainer foi uma pr\u00e1tica comum. Por essa raz\u00e3o, \u00e9 sempre necess\u00e1rio bloquear todas as portas n\u00e3o utilizadas. Isso tamb\u00e9m ajuda a prevenir a transfer\u00eancia de comandos de controle durante a contamina\u00e7\u00e3o da sua m\u00e1quina. Al\u00e9m de prevenir a instala\u00e7\u00e3o de programas, \u00e9 fundamental garantir que no cont\u00eainer esteja instalado o menor n\u00famero poss\u00edvel de aplicativos necess\u00e1rios para realizar a tarefa.<\/p>\n

<\/p>\n

Proteja o docker.sock<\/strong>: ele deve ser protegido, pois atrav\u00e9s desse socket \u00e9 processada a comunica\u00e7\u00e3o entre o cont\u00eainer e o cluster. Como n\u00e3o quero entrar em detalhes neste artigo, leia uma nota da Docker<\/a><\/noindex>, sobre o que pode acontecer, assim como como bloquear tudo isso.<\/p>\n

<\/p>\n

Use segredos do Docker em vez de vari\u00e1veis de ambiente<\/strong>: Os segredos est\u00e3o dispon\u00edveis desde cerca de 2017<\/a><\/noindex>. Embora isso n\u00e3o seja seguro, ainda \u00e9 melhor do que usar vari\u00e1veis de ambiente para passar dados sens\u00edveis no cont\u00eainer.<\/p>\n

<\/p>\n

Se o artigo despertou seu interesse por cont\u00eaineres, \u00e9 bastante f\u00e1cil instalar o Docker ou o microk8s (uma vers\u00e3o reduzida do Kubernetes). Aqui<\/a><\/noindex> Existem instru\u00e7\u00f5es para instalar o Docker no Linux e no MacOS, e aqui<\/a><\/noindex> instru\u00e7\u00f5es para instalar o microk8s para Windows, Linux e MacOS.<\/p>\n

<\/p>\n

Ap\u00f3s a instala\u00e7\u00e3o, voc\u00ea pode seguir este guia de in\u00edcio r\u00e1pido<\/a><\/noindex> da Docker, uma op\u00e7\u00e3o semelhante \u00e9 oferecida<\/a><\/noindex> tamb\u00e9m para microk8s.<\/p>\n

<\/p>\n

Se voc\u00ea deseja ou precisa fazer um curso abrangente sobre Docker, onde palestrantes praticantes abordam todas as suas ferramentas: desde abstra\u00e7\u00f5es b\u00e1sicas at\u00e9 op\u00e7\u00f5es de rede, nuances de trabalho com diferentes sistemas operacionais e linguagens de programa\u00e7\u00e3o, experimente \"Curso em v\u00eddeo sobre Docker<\/a><\/noindex>\". Voc\u00ea se familiarizar\u00e1 com a tecnologia e entender\u00e1 onde e como usar melhor o Docker. E ainda obter\u00e1 casos de melhores pr\u00e1ticas - \u00e9 melhor aprender com seguran\u00e7a e com o apoio de profissionais a partir de hist\u00f3rias sobre erros do que pessoalmente cometer os erros com garras afiadas.<\/p>\n

Fonte: habr.com<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u042f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 IT \u0431\u043e\u043b\u044c\u0448\u0435 20 \u043b\u0435\u0442, \u043d\u043e \u043a\u0430\u043a-\u0442\u043e \u0440\u0443\u043a\u0438 \u043d\u0435 \u0434\u043e\u0445\u043e\u0434\u0438\u043b\u0438 \u0434\u043e \u043a\u043e\u043d\u0442\u0435\u0439\u043d\u0435\u0440\u043e\u0432. \u0412 \u0442\u0435\u043e\u0440\u0438\u0438 \u044f \u043f\u043e\u043d\u0438\u043c\u0430\u043b, \u043a\u0430\u043a \u043e\u043d\u0438 \u0443\u0441\u0442\u0440\u043e\u0435\u043d\u044b \u0438 \u043a\u0430\u043a \u0440\u0430\u0431\u043e\u0442\u0430\u044e\u0442. \u041d\u043e \u043f\u043e\u0441\u043a\u043e\u043b\u044c\u043a\u0443 \u044f \u043d\u0438\u043a\u043e\u0433\u0434\u0430 \u0441 \u043d\u0438\u043c\u0438 \u043d\u0435 \u0441\u0442\u0430\u043b\u043a\u0438\u0432\u0430\u043b\u0441\u044f \u043d\u0430 \u043f\u0440\u0430\u043a\u0442\u0438\u043a\u0435 \u2014 \u044f \u043d\u0435 \u0431\u044b\u043b \u0443\u0432\u0435\u0440\u0435\u043d \u0432 \u0442\u043e\u043c, \u043a\u0430\u043a \u0438\u043c\u0435\u043d\u043d\u043e \u043a\u0440\u0443\u0442\u044f\u0442\u0441\u044f-\u0432\u0435\u0440\u0442\u044f\u0442\u0441\u044f \u0443 \u043d\u0438\u0445 \u0448\u0435\u0441\u0442\u0435\u0440\u0451\u043d\u043a\u0438 \u043f\u043e\u0434 \u043a\u0430\u043f\u043e\u0442\u043e\u043c. \u041a\u0440\u043e\u043c\u0435 \u0442\u043e\u0433\u043e, \u044f \u0431\u044b\u043b \u0431\u0435\u0437 \u043f\u043e\u043d\u044f\u0442\u0438\u044f […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":91365,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[688],"tags":[],"class_list":["post-91364","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-administrirovanie"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47Explorando a (ausente) seguran\u00e7a de instala\u00e7\u00f5es t\u00edpicas do Docker e Kubernetes | ProHoster","description":"Eu trabalho em TI.","canonical_url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"pt_PT","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0418\u0437\u0443\u0447\u0430\u0435\u043c (\u043e\u0442\u0441\u0443\u0442\u0441\u0442\u0432\u0443\u044e\u0449\u0443\u044e) \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u044c \u0442\u0438\u043f\u0438\u0447\u043d\u044b\u0445 \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043e\u043a Docker \u0438 Kubernetes | ProHoster","og:description":"\u042f \u0440\u0430\u0431\u043e\u0442\u0430\u044e \u0432 IT.","og:url":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/izuchaem-otsutstvuyushhuyu-bezopasnost-tipichnyh-ustanovok-docker-i-kubernetes","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-08-12T05:42:33+00:00","article:modified_time":"2020-08-12T05:42:33+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"91364","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 12:29:22","updated":"2022-09-28 18:39:15","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/91364","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/comments?post=91364"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/posts\/91364\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media\/91365"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/media?parent=91364"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/categories?post=91364"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/pt\/wp-json\/wp\/v2\/tags?post=91364"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}