Zabezpečení kontejnerů v AKS povolené službou Azure Arc
Platí pro: AKS v Azure Local 22H2, AKS na Windows Serveru
Tento článek popisuje různé metody zabezpečení kontejnerů používaných k zabalení a nasazení aplikací a zabránění zavedení ohrožení zabezpečení v AKS povoleném službou Azure Arc.
Kontejnery poskytují provozní a bezpečnostní výhody, protože aplikace a služby jsou oddělené v rámci prostředí. Kontejnery také pomáhají snížit účinky selhání celého systému z důvodu jejich abstrakce, což zajišťuje dobu provozu a zabraňuje útokům, které by mohly ohrozit aplikace nebo služby. Kontejnery obvykle běží na abstraktní vrstvě nad hostitelským operačním systémem a abstrakce nabízí určitou bariéru oddělení a možnost použít vrstvený model obrany.
Průběžné zabezpečení kontejnerů můžete nastavit také zabezpečením kanálu kontejneru, aplikace a prostředí nasazení kontejneru. Následující části popisují některé doporučené postupy pro implementaci zabezpečení kontejneru.
Zabezpečené image
Pokud chcete zabránit neoprávněnému přístupu, hostujte image v zabezpečeném a důvěryhodném registru. Image by měly mít certifikát TLS s důvěryhodnou kořenovou certifikační autoritou a registr by měl používat řízení přístupu na základě role (RBAC) se silným ověřováním. Při návrhu CI/CD pro sestavení a doručování kontejnerů byste měli zahrnout řešení kontroly obrázků. Řešení pro kontrolu obrázků pomáhá identifikovat běžná ohrožení zabezpečení a expozice (CVE) a zajišťuje, aby zneužitelné image nebyly nasazeny bez nápravy.
Posílení hostitelského prostředí
Důležitým aspektem zabezpečení kontejnerů je potřeba posílit zabezpečení systémů, na kterých kontejnery běží, a způsob, jakým fungují během běhu. Zabezpečení kontejnerů by se mělo zaměřit na celý zásobník, včetně hostitele a démonů. Služby byste měli odebrat z hostitele, který není kritický, a v prostředí byste neměli nasazovat nekompatibilní kontejnery. Přístup k hostiteli tak může probíhat pouze prostřednictvím kontejnerů a řízení je centralizovaný do démona kontejneru a odebere hostitele z prostoru útoku. Tyto kroky jsou užitečné zejména v případě, že pro přístup k kontejnerům používáte proxy servery, které můžou omylem obejít bezpečnostní prvky kontejneru.
Omezení prostředků kontejneru
Když dojde k ohrožení zabezpečení kontejneru, útočníci se mohou pokusit použít základní hostitelské prostředky k provádění škodlivých aktivit. Je vhodné nastavit limity využití paměti a procesoru, aby se minimalizoval dopad porušení zabezpečení.
Správně zabezpečené tajné kódy
Tajný kód je objekt obsahující citlivé informace, které můžou být potřeba předat mezi hostitelem a kontejnerem, například hesla, certifikáty SSL/TLS, privátní klíče SSH, tokeny, připojovací řetězec a další data, která by neměla být přenášena v prostém textu nebo uložena nešifrovaná. Všechny tajné kódy byste měli uchovávat mimo image a připojovat je přes orchestrační modul kontejneru nebo správce externích tajných kódů.
Praktická izolace
Používejte izolaci a nepoužívejte privilegovaného uživatele ani uživatele root ke spuštění aplikace v kontejneru. Vyhněte se spouštění kontejnerů v privilegovaném režimu, protože by to útočníkovi umožnilo snadno eskalovat oprávnění v případě ohrožení kontejneru. Znalost UID (jedinečného identifikačního kódu) a GID (identifikačního kódu skupiny) kořenového uživatele v kontejneru může útočníkovi umožnit přístup k souborům zapsaným kořenem na hostitelském počítači a jejich úpravu. Je také nutné použít princip nejnižších oprávnění, kde má aplikace přístup pouze k tajným kódům, které potřebuje. Můžete vytvořit uživatele aplikace, který spustí proces aplikace.
Nasazení monitorování zabezpečení modulu runtime
Vzhledem k tomu, že stále existuje šance, že dojde k ohrožení zabezpečení i po provedení preventivních opatření proti útokům na vaši infrastrukturu, je důležité nepřetržitě monitorovat a protokolovat chování aplikace, aby se zabránilo a detekoval škodlivé aktivity. Nástroje, jako je Například Prometheus , poskytují efektivní prostředky pro monitorování vaší infrastruktury.