Olá, gente! Tudo bem?

Hoje vou falar sobre algumas questões que pouca gente se preocupa – ou até mesmo implementa – mas que eventualmente pode prejudicar a sua aplicação ou seu negócio. Sim, hoje falaremos sobre Segurança.

Abaixo veremos algumas preocupações que devemos ter e possíveis soluções relacionadas a segurança quando usamos containers.

Kernel exploits (exploração do kernel)

Ao contrário de uma Virtual Machine, ao usar containers, o kernel é compartilhado entre todos os containers e o host, aumentando a importância de qualquer vulnerabilidade que explore o kernel.

Denial-of-service attacks (ataque de negação de serviço)

Como todos os containers compartilham recursos do kernel, se um container pode monopolizar o acesso a certos recursos, incluindo memória, ou até IDs de usuário (UIDs), pode faltar recursos para outros containers, resultando em uma negação de serviço (DoS).

Container breakouts (invasão de container)

Um invasor que tem acesso a um container não pode ter acesso a outros containers ou ao host. Se você usa root no container, você será root no host.

Poisoned images (imagens “envenenadas”)

Como você sabe que as imagens que você está usando são seguras, não foram adulteradas, e vêm de onde elas afirmam vir?

Application secrets (segredos de aplicações)

Quando um container acessa um banco de dados ou serviço, provavelmente exigirá credenciais, como um token ou mesmo usuário e senha. Se um invasor tiver acesso ao container, terá acesso a estes dados.

Boas práticas de segurança ao usar Docker

No tópico anterior foi levantada algumas preocupações de segurança que devemos ter ao usar containers. Agora vamos ver algumas possíveis soluções para tentar resolver estes problemas.

Inicio esse tópico com uma pergunta

Como devemos armazenar dados sensíveis, como: senhas, chaves privadas, tokens e chaves de APIs?

Para começar a responder esta pergunta, acho mais fácil e direto responder como não devemos armazenar dados sensíveis.

Não use variáveis de ambiente ou incorpore na imagem de container. É uma dica meio óbvia mas acontece, e muito. Se quiserem ler sobre um caso de utilização de credenciais incorporadas na imagem e que vazou, tem um consideravelmente conhecido que aconteceu com a IBM: IBM Data Science Experience: Whole-Cluster Privilege Escalation Disclosure.

Mas então, como devemos armazenar nossas credenciais de acesso quando usamos containers? Uma ótima solução é utilizar o Docker Secrets Management.

Docker Secrets Management

O Docker Secrets funciona como um cofre onde você pode colocar coisas sensíveis lá e só quem tem a chave do cofre consegue utilizar. No caso essa chave é designada aos nós dos serviços que a chave for atribuída. Mais sobre como funciona pode ser visto no Mundo Docker — Docker Secrets.

Outras dicas de segurança menciono abaixo em forma de tópicos:

Proteja seu host

• Certifique-se de que seu host e a configuração do Docker engine sejam seguras
• Mantenha seu SO atualizado
• Impor controle de acesso para evitar operações indesejadas, tanto no host como nos containers, usando
• ferramentas como SecComp, AppArmor ou SELinux

Redução dos privilégios

• Tomar cuidado ao executar como root
• Crie namespaces isolados
• Limitar privilégios ao máximo
• Verifique se o container é confiável (verifique a imagem)

Alto uso de recursos do container

• Limite os recursos no kernel ou no container
• Fazer testes de carga antes de pôr em produção
• Implemente monitoramento e alertas

Autenticidade da imagem

• De onde veio?
• Você confia no criador?
• Quais políticas de segurança está usando?
• Identificação do autor
• Não use se não confia na fonte
• Use um servidor Docker Registry próprio
• Verifique a assinatura da imagem

Vulnerabilidades de segurança presentes na imagem

• Inspecionar as imagens
• Atualize para pegar novos patches de segurança
• Utilize uma ferramenta de scanner de vulnerabilidades
• Integre esse scanner como etapa do seu CI/CD

Isso é tudo, por enquanto. Se você quer saber mais sobre segurança relacionada a Docker, neste artigo: Segurança e hacking de containers Docker, apresento algumas dicas sobre ferramentas que podem nos auxiliar no dia-a-dia, e se você conhece outras dicas que não são mencionadas aqui, deixe um comentário abaixo.

Obrigado pela leitura.

***

Texto originalmente publicado no Blog da KingHost.