ارزیابی امنیت کانتینر

ارزیابی امنیت کانتینر، imageهای کانتینر و محیط اجرای آن‌ها را برای ضعف‌های امنیتی می‌سنجد: لایه‌های آسیب‌پذیر image، گام‌های ناامن ساخت، تنظیمات بیش از حد باز runtime، فرار از کانتینر و افشای secret؛ در برابر CIS Docker Benchmark، NIST SP 800-190 و OWASP Docker Top 10، و هر یافته اثبات و رتبه‌بندی می‌شود.

CIS Docker Benchmark و بنچمارک CIS مربوط به container runtime برای سخت‌سازی پیکربندی، سند NIST SP 800-190 برای مدل تهدید کانتینرهای کاربردی، و OWASP Docker Top 10 برای دسته‌های رایج ریسک.

برای بازبینی imageها باید بتوانیم آن‌ها را از registry شما pull کنیم یا فایل‌های tar صادرشده را دریافت کنیم. برای تست runtime و فرار، به میزبانی که container runtime را اجرا می‌کند یا یک پایگاه فرضِ‌نفوذ درون یک کانتینر نیاز داریم. پیش از شروع، دامنه و هر چیزی را که باید کنار گذاشته شود توافق می‌کنیم.

هر دو، و هرکدام به پرسشی متفاوت پاسخ می‌دهند. تحلیل image لایه‌های آسیب‌پذیر، secretها و انتخاب‌های ناامن ساخت را می‌یابد؛ تست runtime نشان می‌دهد آن imageها در عمل روی میزبان مجاز به چه کاری هستند. دامنه می‌تواند فقط‌image باشد اگر همین کافی است، اما این دو با هم تصویر واقعی را می‌دهند.

فرار از کانتینر یعنی یک فرآیند از کانتینر خود به میزبان می‌گریزد؛ معمولاً از راه یک پرچم privileged، یک capability افزوده، یک mount میزبان یا socket متصل‌شده‌ی Docker. اهمیتش از این‌جاست که یک کانتینر به‌خطرافتاده را به تسلط بر میزبان و همه‌ی کانتینرهای دیگر روی آن تبدیل می‌کند، و یک اسکن ساده‌ی آسیب‌پذیری آن را نمی‌بیند.

بله. افشای daemon و socket را بررسی می‌کنیم (یک docker.sock متصل‌شده به کانتینر عملاً برابر با root میزبان است) و همچنین registry را: احراز هویت، این‌که imageها امضا شده و اصالتشان بررسی می‌شود یا نه، و این‌که سیاست‌های pull اجازه‌ی imageهای نامطمئن را می‌دهند یا خیر.

تحلیل image و بازبینی پیکربندی فقط‌خواندنی و ایمن است. آزمون‌های فعال (تلاش برای فرار) از پیش توافق و با احتیاط اجرا می‌شوند؛ ترجیح ما یک محیط staging است که آینه‌ی تولید باشد، و اگر ناچار روی تولید تست کنیم، محدودیت می‌گذاریم و یک نقطه‌ی تماس در سمت شما نگه می‌داریم تا اگر چیزی نادرست به نظر رسید فوراً متوقف شویم.

هر یافته یک امتیاز CVSS برای یک مبنای مشترک می‌گیرد که با اثر واقعی در محیط شما تعدیل می‌شود: مهاجم به چه می‌رسد، چقدر آسان، و آیا به میزبان یا داده‌ی حساس می‌انجامد. به همین دلیل دو مسئله با CVSS یکسان ممکن است اولویت متفاوت بگیرند.

بله؛ پس از رفع، یافته‌های گزارش‌شده را دوباره تست می‌کنیم تا مطمئن شویم هر رفع پابرجاست و شکاف تازه‌ای باز نکرده است. مدت زمان به تعداد imageها و پیچیدگی runtime بستگی دارد؛ یک ارزیابی معمول حدود یک تا سه هفته طول می‌کشد و پس از دامنه‌گذاری برآورد دقیق می‌دهیم.