Kontejner

28. ledna 2021 | Cybrary

Než se pustíme do toho, co kontejner je, musíme si ujasnit rozdíl mezi dnešním termínem „kontejner“ a předchozím termínem „ hypervizor “, který publikoval CyberHoot. Znalost rozdílu mezi těmito dvěma pojmy vám pomůže prohloubit vaše znalosti o moderních virtualizačních technologiích. Jednoduše řečeno:

Virtuální stroje a hypervizory abstrahovat hardware a umožnit vám spouštět operační systémy
Kontejnery (technicky kontejnerové enginy) abstrahují operační systémy a umožňují spouštět aplikace.

Kontejner je software, kde je aplikační kód zabalen spolu s knihovnami a systémy v podobných formách, takže jej lze spustit kdekoli, ať už na stolním počítači, notebooku nebo v cloudu. Kontejnery využívají formu virtualizace operačního systému (OS), kde se části OS používají k izolaci procesů a k řízení množství CPU, paměti a disku, ke kterým mají tyto procesy přístup. Kontejnery jsou malé, rychlé a přenosné, protože na rozdíl od virtuálního stroje nemusí v každé instanci obsahovat hostující OS a místo toho využívají funkce a zdroje hostitelského OS.

Zdroj: IBM , NetApp , RedHat , TripWire

Další informace: DevOps týmům selhává zabezpečení prostředí softwarových kontejnerů

Související pojmy: Hypervizor , Virtuální privátní síť (VPN)

Co to znamená pro malé a střední podniky?

Majitelé malých a středních podniků a většina zaměstnanců nemusí znát kontejnery a jejich zabezpečení. IT pracovníci nebo třetí strany, které spravují vaše systémy, by měli rozumět tomu, jak virtualizace, hypervizory a kontejnery fungují. Musí také rozumět správnému způsobu zabezpečení této technologie. Bezpečnostní opatření zahrnují zabezpečení jednotlivých aplikací spuštěných v kontejneru, aby se zabezpečila infrastruktura, na které běží. Zabezpečení kontejnerů musí být integrované a nepřetržité. CyberHoot doporučuje zavést následující plány:

1) Vyvíjet, spouštět a podporovat aplikace, které umožňují kontejnery

Zavádění kontejnerů by mohlo narušit vaše stávající vývojové metodiky a vaše současné postupy by nemusí být přímo použitelné v kontejnerizovaném prostředí. Povzbuďte, vzdělávejte a školte svůj vývojový tým, aby přehodnotil svůj způsob kódování a fungování. Zvažte, zda byste svým vývojářům neposkytli školení OWASP Top 10 nejistých postupů kódování, abyste se těmto častým chybám vyhnuli.

2) Používejte hostitelský operační systém specifický pro kontejner namísto jednoúčelového hostitele, abyste snížili počet oblastí, kde by mohly být napadeny.

Kontejnerově specifický hostitelský operační systém je minimalistický operační systém určený pouze pro spouštění kontejnerů. Používání těchto operačních systémů výrazně snižuje riziko útoku.

3) Seskupujte pouze kontejnery se stejným účelem, citlivostí a stavem hrozeb na jednom jádře hostitelského operačního systému.

Segmentace kontejnerů pomáhá zajistit dodatečnou ochranu. Seskupování kontejnerů tímto způsobem hackerovi ztěžuje rozšíření kompromitovaných útoků do dalších skupin. Také zvyšuje pravděpodobnost, že kompromitace budou odhaleny a zadrženy.

4) Přijměte specifické kontejnery řízení zranitelnosti nástroje a postupy pro práci s obrázky

Tradiční bezpečnostní nástroje vycházejí z mnoha předpokladů, které nejsou v souladu s modelem kontejneru, což vede k tomu, že nejsou schopny detekovat zranitelnosti v kontejnerech. Zaveďte nástroje a procesy k ověření a vynucení souladu s osvědčenými postupy pro konfiguraci zabezpečení pro bitové kopie, včetně centralizovaného reportování, monitorování každé bitové kopie a prevence spouštění bitových kopií, které nejsou v souladu s předpisy.

5) Zvažte použití hardwarových protiopatření k zajištění základu pro důvěryhodné výpočty.

Rozšiřte bezpečnostní postupy na všechny úrovně kontejnerové technologie založením zabezpečení na hardwarovém základu důvěryhodnosti, jako je například model důvěryhodné platformy (TPM).

6) Používejte nástroje pro ochranu běhového prostředí s ohledem na kontejnery

Nasaďte a používejte specializované řešení pro zabezpečení kontejnerů, které je schopno monitorovat prostředí kontejneru a přesně detekovat škodlivou aktivitu v něm. Nejúčinnějším způsobem, jak zajistit bezpečnost ve velkém měřítku, je integrace bezpečnostních funkcí a postupů do každé fáze vývoje a nasazení.