चिप्स वी.एस.

सॉफ्टवेयर के विकास और तैनाती के लिए कंटेनरों का उपयोग एक मानक अभ्यास बन गया है। मेजबान से स्वतंत्र मानक वातावरण के साथ आसानी से कार्यक्रम प्रदान करने की क्षमता, जिस पर वह चल रहा है, जल्दी से सेटिंग बदलें, कंटेनर में कुछ घटकों को जोड़ें या बदलें, कई डेवलपर्स द्वारा सराहना की गई थी। लेकिन यह सभी चिप्स का केवल एक छोटा सा हिस्सा है जो कंटेनरीकरण तकनीक देता है।



हमेशा की तरह, प्रौद्योगिकी का विकास और इसकी लोकप्रियता का बढ़ना मैलवेयर सहित गैर-मानक उपयोग के विभिन्न तरीकों की पहचान के साथ है। इस लेख में, हम कंटेनरों के उपयोग से जुड़ी विकास प्रक्रिया के सुरक्षा जोखिमों को भी देखेंगे, और बात करेंगे कि क्यों DevOps प्रक्रियाओं को DevSecOps में बदलना चाहिए।

शुरू करने के लिए, कंटेनर डेवलपर्स की सहानुभूति क्यों जीतते हैं और कैसे कंटेनरीकरण का उपयोग पूरे के रूप में विकास को बदलता है।

चिप्स

लपट

आभासी मशीनों और "लोहा" सर्वरों की तुलना में, कंटेनर पूरी तरह से संसाधनों के लिए बिना किसी बाधा के हैं। यह आपको वर्चुअल मशीन की तुलना में एक मशीन पर काफी अधिक कंटेनर चलाने की अनुमति देता है। एक डेवलपर अपने कंप्यूटर पर कंटेनरीकृत माइक्रोसर्विसेज के रूप में एप्लिकेशन कंपोनेंट भी चला सकता है और उसे सिस्टम के जवाब के इंतजार में नहीं रुकना पड़ता है। इस तथ्य के कारण कि कंटेनर सिस्टम के मूल को साझा करते हैं, उनकी शुरुआत और रोक वर्चुअल मशीन को पुनरारंभ करने की तुलना में बहुत तेज है।

इन्सुलेशन

कर्नेल साझा करने के बावजूद, कंटेनर में एप्लिकेशन सिस्टम के अन्य भागों और अनुप्रयोगों से अलगाव में चलता है। इसका मतलब है कि आवेदन में एक त्रुटि केवल एक विशिष्ट कंटेनर को प्रभावित करेगी।

विकास के दौरान कंटेनरों का उपयोग करने से आपको डेवलपर्स और सिस्टम प्रशासक के विशेषाधिकार के अनन्त संघर्ष से दूर होने की अनुमति मिलती है। कंटेनर सुरक्षित रूप से एप्लिकेशन को सिस्टम से अलग करता है, इसलिए प्रोग्रामर ओएस को नष्ट करने के डर के बिना कोई भी प्रयोग कर सकता है।

पोर्टेबिलिटी

प्रत्येक एप्लिकेशन अपनी कॉन्‍फ़िगरेशन फ़ाइलों के साथ अपने कंटेनर इंस्टेंस में चलता है। यह मेजबानों के बीच एप्लिकेशन को स्थानांतरित करने से जुड़े सिरदर्द को समाप्त करता है: काम के लिए आवश्यक सभी चीजें कंटेनर के अंदर संग्रहीत की जाती हैं और शेष एप्लिकेशन घटकों के साथ स्थानांतरित की जाती हैं।

कंटेनर रिपोजिटरी

ओपन कंटेनर इनिशिएटिव मानक के आगमन ने कंटेनर छवियों के सार्वजनिक पुस्तकालयों को बनाने और कंटेनर, सुरक्षा जांच और अन्य कार्यों के प्रबंधन के लिए कंटेनर इंजन, क्लाउड प्लेटफ़ॉर्म और टूल को संयोजित करने वाला एक शक्तिशाली पारिस्थितिकी तंत्र बनाना संभव बना दिया है।

स्वचालन

कंटेनरों का उपयोग करना आपको अनुप्रयोगों (CI / CD) की निरंतर एकीकरण-तैनाती की पूरी तरह से स्वचालित श्रृंखला बनाने की अनुमति देता है, जिसमें "मैनुअल" भाग मुख्य रूप से कोड लेखन होगा। परीक्षण, कोड की गुणवत्ता की जांच, डॉकटर छवि में एप्लिकेशन को पैक करना, छवि को डॉकर हब पर रखना और इसे निष्पादन के लिए होस्ट में तैनात करना मानवीय हस्तक्षेप के बिना प्रदर्शन किया जा सकता है।

कंटेनर धमकी

बेशक, इसके सभी फायदे के साथ, कंटेनरों में विभिन्न नुकसान हैं। उदाहरण के लिए, ये संसाधन-गहन अनुप्रयोगों के प्रदर्शन और विभिन्न आर्किटेक्चर के लिए निर्मित छवियों के सीमित पोर्टेबिलिटी के साथ समस्याएं हैं। लेकिन तकनीकी समस्याओं के अलावा, कंटेनरों में सुरक्षा समस्याएं हैं।


कर्नेल साझा करना

हमेशा की तरह, नुकसान फायदे के फ्लिप पक्ष हैं। कर्नेल को साझा करने से वर्चुअल मशीन की तुलना में कंटेनर अतिरेक कम हो जाता है, लेकिन बड़ी संख्या में अनुमति प्राप्त syscalls सुरक्षा अवरोध को पतला बना देता है और कर्नेल कमजोरियों का फायदा उठाते हुए सभी कंटेनरों पर एक बार हमला करने की अनुमति देता है। आप स्पेक्टर और मेल्टडाउन के सनसनीखेज हमलों के बारे में याद नहीं कर सकते हैं, जो आपको उपयोगकर्ता-अंतरिक्ष से किसी अन्य प्रक्रिया या कर्नेल की मेमोरी पढ़ने की अनुमति देता है।

सार्वजनिक रिपोजिटरी

छवियों के साथ सार्वजनिक रजिस्ट्रियों की उपस्थिति कंटेनरों के लिए "रैपर" की एक विस्तृत चयन प्रदान करती है, लेकिन अतिरिक्त खतरे पैदा करती है, क्योंकि डिफ़ॉल्ट रूप से रजिस्ट्री सर्वर पर भरोसा किया जाता है। यदि हमलावर दुर्भावनापूर्ण पुस्तकालयों के साथ आधार छवियों को संशोधित करने का प्रबंधन करते हैं, तो परिवर्तन स्वचालित रूप से उन सभी सर्वरों को कैश में वितरित किए जाएंगे जिनमें यह आधार छवि संग्रहीत है, और लाइब्रेरी का उपयोग करने वाले सभी कंटेनर स्वचालित रूप से दुर्भावनापूर्ण कार्यक्षमता प्राप्त करेंगे।

उदाहरण

• जून 2018 में, दुर्भावनापूर्ण कोड वाले 17 कंटेनरों को डॉकर हब पोर्टल से हटा दिया गया था , लेकिन इससे पहले, कई महीनों के दौरान, वे एक मिलियन से अधिक बार डाउनलोड होने में कामयाब रहे।
• सितंबर 2018 में, GitHub पर पायथन इंस्टॉलेशन पैकेजों पर हमले का एक उदाहरण प्रकाशित किया गया था , जिसके दौरान पैकेज को स्थापित करते समय दुर्भावनापूर्ण कोड को चलाने के लिए setup.py फ़ाइल को संशोधित किया गया था। चूंकि, एक नियम के रूप में, इस फ़ाइल का उपयोग केवल एक मॉड्यूल को जोड़ने के लिए किया जाता है, कम लोग इसकी सामग्री की जांच करते हैं ।
• अक्टूबर 2018 में, PyPi निर्देशिका पर अपलोड किए गए 12 दुर्भावनापूर्ण पुस्तकालयों के बारे में जानकारी प्रकाशित की गई थी। पुस्तकालयों में डेटा एकत्र करने, संक्रमित मेजबान पर उपस्थिति बनाए रखने, रिवर्स शेल लॉन्च करने और एक हमलावर के पते के साथ बिटकॉइन-वॉलेट पते को बदलने के लिए कोड था।
• नवंबर 2018 में, कई बड़ी परियोजनाओं में प्रयुक्त इवेंट-स्ट्रीम लाइब्रेरी की निर्भरता में से एक ने क्रिप्टोक्यूरेंसी चोरी करने और वर्चुअल टूल से संबंधित सेवाओं पर हमले करने के लिए डिज़ाइन किए गए दुर्भावनापूर्ण कोड का पता लगाया । इवेंट-स्ट्रीम एनपीएम रिपॉजिटरी से लगभग 2 मिलियन दैनिक डाउनलोड के साथ एक लोकप्रिय पुस्तकालय है।
• जनवरी 2019 में, लोकप्रिय NumPy पायथन लाइब्रेरी के अचार मॉड्यूल में एक महत्वपूर्ण भेद्यता की सूचना दी गई थी, जिसके उपयोग से आप दूर से कोड निष्पादित करने की क्षमता प्राप्त कर सकते हैं।

इस प्रकार, एक दुर्भावनापूर्ण पुस्तकालय आवेदन से समझौता करने के लिए पर्याप्त है। बेशक, लोकप्रिय पुस्तकालयों में कमजोरियां और दुर्भावनापूर्ण कार्य कंटेनरों की समस्या नहीं हैं, लेकिन एक ऐसी तकनीक जो छवियों में तेजी से बदलाव सुनिश्चित करती है।

सिफारिशें

जाहिर है, आधुनिक विकास प्रक्रिया में एक नए दृष्टिकोण की आवश्यकता होती है, एक दृष्टिकोण जिसमें सुरक्षा को CI / CD श्रृंखला में एकीकृत किया जाएगा, DevOecOps को DevOps में बदल दिया जाएगा।



गार्टनर के अनुसार, 2019 में

• कॉर्पोरेट विकास प्रक्रियाओं के 70% से अधिक में ओपन-सोर्स घटकों और वाणिज्यिक पैकेजों की स्वचालित भेद्यता और कॉन्फ़िगरेशन निगरानी शामिल होगी।
• 50% से अधिक सीआई / सीडी प्रक्रियाओं में अनिवार्य अंतर्निहित कोड सुरक्षा जांच शामिल होगी;
• 60% से अधिक कंपनियां अपने विकास में संस्करण नियंत्रण और बुनियादी ढांचे के स्वचालन नियंत्रण का उपयोग करेंगी।

कुछ ऐसे घटकों पर विचार करें जो इस प्रक्रिया में मौजूद होने चाहिए ताकि इसके नाम में "Sec" शब्द एक खाली वाक्यांश न हो।

सभी प्रक्रियाओं में जाँच का एकीकरण

एक सुरक्षा जांच को विकास प्रक्रिया के सभी चरणों में कोड निर्माण से लेकर उसके कंटेनरीकरण और तैनाती तक मौजूद होना चाहिए।

सुरक्षा ऑडिट स्वचालन

यह दो कारणों से आवश्यक है:

1. यह प्रशासन की त्रुटियों और गलतफहमी को कम करेगा।
2. सुरक्षा पेशेवरों को कोड को मैन्युअल रूप से सत्यापित करना और सेटिंग्स को बदलना नहीं होगा।

सुरक्षा सुविधाओं के लिए एपीआई

ऐसी कार्यक्षमता के कार्यान्वयन के लिए आवश्यक है कि सुरक्षा प्रणाली सभी सुविधाओं तक पहुंच के लिए एक एपीआई प्रदान करे। इसलिए डेवलपर्स न केवल सत्यापन के लिए सिस्टम का उपयोग कर सकते हैं, बल्कि कोड में उपयुक्त कॉल भी लागू कर सकते हैं।

भूमिका आधारित अभिगम नियंत्रण

विभिन्न सुरक्षा पेशेवरों को सत्यापन तंत्र तक पहुंच के विभिन्न स्तरों की आवश्यकता होती है, उनकी भूमिका पर निर्भर करता है, क्योंकि यह आवश्यक है कि डेवलपर्स सुरक्षा सेटिंग्स को बदलने में सक्षम नहीं हैं, लेकिन बाद में प्रवेश के खतरों के लिए जिम्मेदार नहीं हैं।

डॉकर रजिस्ट्री एपीआई संगतता

आदर्श रूप से, सुरक्षा को किसी भी रजिस्ट्री में डोकर छवियों की स्कैनिंग का समर्थन करना चाहिए जो सभी लोकप्रिय रजिस्ट्रियों के साथ संगतता सुनिश्चित करने के लिए डॉकर रजिस्ट्री वी 2 एपीआई का समर्थन करता है।

प्रवास सुरक्षा

कॉर्पोरेट उपयोगकर्ताओं के लिए, एक खतरनाक क्षण एक मोनोलिथिक से एक माइक्रोसैस आर्किटेक्चर का संक्रमण है। यह महत्वपूर्ण है कि सुरक्षा सुविधाएँ एकीकरण प्रक्रियाओं में एकीकृत होती हैं, स्वचालित मोड में सुरक्षा प्रदान करती हैं।

एक सुरक्षात्मक समाधान का एक उदाहरण ट्रेंड माइक्रो की गहरी सुरक्षा स्मार्ट चेक है, जो लगातार छवियों को स्वचालित रूप से स्कैन करता है, कमजोरियों और मैलवेयर की पहचान करता है। स्मार्ट चेक डॉकर ट्रस्टेड रजिस्ट्री, अमेज़ॅन इलास्टिक कंटेनर रजिस्ट्री, एज़्योर कंटेनर रजिस्ट्री और Google कंटेनर रजिस्ट्री कंटेनर प्लेटफार्मों का समर्थन करता है। इसके अलावा, ट्रेंड माइक्रो प्रमुख एमएमआर सिस्टम और ऑर्केस्ट्रेशन टूल्स जैसे जेनकिंस, कुबेरनेट्स, सूमोलीजिक, स्पंक के साथ एकीकृत करता है।

स्मार्ट चेक की एक महत्वपूर्ण विशेषता महत्वपूर्ण भेद्यता जाँच और ईवेंट लॉगिंग के संदर्भ में सभी विनियामक आवश्यकताओं का अनुपालन है।

एप्लिकेशन लॉन्च करने से पहले विकास के शुरुआती चरणों में DevOps प्रक्रियाओं में कंटेनर सुरक्षा का कार्यान्वयन, अधिक विश्वसनीय और उत्पादक सॉफ़्टवेयर के विकास की अनुमति देगा, साथ ही साथ

• मालवेयर और लाइब्रेरी का पता लगाएं।
• कमजोरियों को पहचानें।
• छवियों को ऑर्केस्ट्रेशन टूल (उदा। कुबेरनेट्स) में स्थानांतरित करने से पहले सही त्रुटियां।
• दुर्भावनापूर्ण सॉफ़्टवेयर को निष्पादित और तैनात करने से दुर्भावनापूर्ण कोड को रोकें।