Container Security Assessment
Comprehensive container security assessment for Docker and containerized applications
يقيس تقييمنا لأمن الحاويات صور الحاويات (images) وبيئة تشغيلها مقابل معايير معترف بها: CIS Docker Benchmark، ومعيار CIS الخاص بـ container runtime، ووثيقة NIST SP 800-190، وقائمة OWASP Docker Top 10. ننظر إلى شقّي المشكلة معاً: ما هو مُدمَج داخل الصورة (طبقة أساس مصابة بثغرات، أو سرٌّ تُرك فيها بالخطأ، أو عملية تعمل بمستخدم root) وما يسمح به الـ runtime (صلاحيات Linux capabilities زائدة، أو تثبيت host mount قابل للكتابة، أو مسار من داخل الحاوية إلى المضيف). يُتابَع كل اكتشاف حتى إثبات عملي، ويُصنَّف بـ CVSS إلى جانب أثره الفعلي، ويُوثَّق مع خطوة تحصين ملموسة.
ما الذي يشمله
فحص ثغرات الصورة: صورة الأساس والحزم المثبّتة مقابل ثغرات CVE المعروفة
مراجعة Dockerfile وعملية البناء: مستخدم root، والأسرار المتروكة في الطبقات، ووسوم الأساس غير المثبّتة بإصدار، والانكشاف وقت البناء
إعدادات الـ runtime: الوضع المتميّز privileged، وصلاحيات Linux capabilities المضافة، وnamespaces المضيف، ونظام ملفات جذري للقراءة فقط
ضوابط العزل: ملفات seccomp وAppArmor أو SELinux، وuser namespaces
الهروب من الحاوية والوصول إلى المضيف من حاوية مُخترَقة
التعامل مع الأسرار وبيانات الاعتماد في الصور ومتغيرات البيئة وعمليات التثبيت (mounts)
انكشاف Docker daemon وsocket، بما في ذلك docker.sock المثبّت
أمن السجلّ (registry): المصادقة، وتوقيع الصور وإثبات أصلها، وسياسات السحب (pull)
حدود الموارد والانكشاف أمام حجب الخدمة
تحصين الإعدادات مقيساً على CIS Docker Benchmark
كيف يعمل
- ملخص تنفيذي مع نظرة عامة على المخاطر لصنّاع القرار
- تقرير فني تفصيلي، مع إثبات مفهوم قابل لإعادة الإنتاج لكل اكتشاف
- نتائج فحص ثغرات الصورة مع الحزم المتأثّرة والإصدارات المُصحَّحة
- اكتشافات Dockerfile والبناء مع إصلاحات ملموسة
- مراجعة الـ runtime والعزل مُسنَدة إلى CIS Docker Benchmark
- خطورة CVSS وأثر الأعمال لكل اكتشاف
- خارطة طريق لتحصين الحاويات مرتَّبة بالأولوية
- إعادة الاختبار بعد المعالجة
لماذا حافظ سيكيور
الأسئلة الشائعة
يقيّم صور الحاويات وبيئة تشغيلها بحثاً عن نقاط الضعف الأمنية: طبقات الصور المصابة بالثغرات، وخطوات البناء غير الآمنة، وإعدادات الـ runtime المفرطة في الصلاحيات، والهروب من الحاوية، وانكشاف الأسرار؛ مقيساً على CIS Docker Benchmark وNIST SP 800-190 وOWASP Docker Top 10، مع إثبات كل اكتشاف وتصنيفه.
CIS Docker Benchmark ومعيار CIS الخاص بـ container runtime لتحصين الإعدادات، وNIST SP 800-190 لنموذج تهديد حاويات التطبيقات، وOWASP Docker Top 10 لفئات المخاطر الشائعة.
لمراجعة الصور نحتاج إلى سحبها من سجلّكم أو تلقّي ملفات tar مُصدَّرة. ولاختبار الـ runtime والهروب نحتاج إلى مضيف يشغّل الـ container runtime، أو موطئ قدمٍ ضمن افتراض الاختراق داخل حاوية. ونتفق على النطاق وعلى كل ما يجب تجنّبه قبل أن نبدأ.
كلاهما، وكلٌّ يجيب عن سؤال مختلف. تحليل الصورة يجد الطبقات المصابة بالثغرات والأسرار وخيارات البناء غير الآمنة؛ واختبار الـ runtime يكشف ما يُسمح لتلك الصور فعلاً بفعله على المضيف. ويمكن أن يقتصر النطاق على الصورة وحدها إن كان ذلك كل ما تحتاجونه، لكن الاثنين معاً يقدّمان الصورة الحقيقية.
الهروب من الحاوية هو أن تخرج عملية من حاويتها إلى المضيف؛ وغالباً عبر راية privileged، أو صلاحية capability مضافة، أو تثبيت host mount، أو مقبس Docker socket مثبّت. ويهمّ لأنه يحوّل حاوية واحدة مُخترَقة إلى سيطرة على المضيف وعلى كل حاوية أخرى عليه، ولا يراه فحص الثغرات البسيط.
نعم. نفحص انكشاف الـ daemon والـ socket (فـ docker.sock المثبّت داخل حاوية يعادل عملياً صلاحية root على المضيف) ونفحص السجلّ: المصادقة، وما إذا كانت الصور موقَّعة وأصلها مُتحقَّق منه، وما إذا كانت سياسات السحب (pull) تسمح بصور غير موثوقة.
تحليل الصورة ومراجعة الإعدادات عمليتان للقراءة فقط وآمنتان. أما الاختبارات الفعّالة (محاولات الهروب) فيُتفَّق عليها مسبقاً وتُنفَّذ بحذر؛ ونفضّل بيئة staging تحاكي الإنتاج، وعندما يلزم الاختبار على الإنتاج نضع حدوداً ونبقي على جهة اتصال لديكم كي نتوقف فوراً إذا بدا أي شيء خاطئاً.
يحصل كل اكتشاف على درجة CVSS كأساس مشترك، تُعدَّل بحسب الأثر الفعلي في بيئتكم: إلى أين يصل المهاجم، وبأي سهولة، وهل يؤدي ذلك إلى المضيف أو إلى بيانات حسّاسة. ولهذا قد تُرتَّب مشكلتان لهما درجة CVSS نفسها بأولوية مختلفة.
نعم؛ بعد المعالجة نعيد اختبار الاكتشافات المُبلَّغ عنها للتأكد من ثبات كل إصلاح وأنه لم يفتح ثغرة جديدة. وتعتمد المدة على عدد الصور وتعقيد الـ runtime؛ ويستغرق التقييم المعتاد نحو أسبوع إلى ثلاثة أسابيع، ونقدّم تقديراً دقيقاً بعد تحديد النطاق.
خدمات ذات صلة
خدمات تكميلية قد تكون مفيدة لكم