डॉकटर कंटेनरों की सुरक्षा

लगभग। ट्रांस। : डॉकर सुरक्षा विषय शायद आज की आईटी दुनिया में अनन्त में से एक है। इसलिए, आगे की व्याख्या के बिना, हम प्रासंगिक सिफारिशों के अगले चयन का अनुवाद प्रस्तुत करते हैं। यदि आप पहले से ही इस मुद्दे में रुचि रखते हैं, तो उनमें से कई आपके परिचित होंगे। और हमने इस मुद्दे के आगे के अध्ययन के लिए उपयोगी उपयोगिताओं और कई संसाधनों की एक सूची के साथ ही चयन को पूरक बनाया।



यहां डॉकर सुरक्षा गाइड है। फीडबैक का स्वागत है, क्योंकि यह विभिन्न संसाधनों के कुछ अंशों का संग्रह है, और उन सभी को अच्छी तरह से जांचा नहीं गया है। सिफारिशों को तीन श्रेणियों में विभाजित किया गया है:

1. डॉकर के साथ काम करते समय मेजबान ऑपरेटिंग सिस्टम के अंदर आवश्यक उपाय;
2. असेंबली कॉन्फ़िगरेशन फ़ाइल और कंटेनर बनाने से संबंधित निर्देश;
3. सुरक्षा उपकरण जो विशिष्ट डॉकर एंटरप्राइज सुविधाओं के साथ एकीकृत कर सकते हैं।

विभिन्न प्रकार के संसाधन नेतृत्व का आधार बन गए हैं, जिनमें से कई नीचे सूचीबद्ध हैं। इसे संपूर्ण नहीं कहा जा सकता है, लेकिन यह सभी मूल बातों को शामिल करता है। सीआईएस परीक्षणों के विवरण में अतिरिक्त जानकारी पाई जा सकती है (लिंक इस मैनुअल के अंत में दी गई है), साथ ही डॉकर के लिए प्रलेखन में भी।

डॉकर सुरक्षा बेंचमार्क

सुरक्षा के लिए डॉकर बेंच स्वचालित रूप से सबसे सामान्य सर्वोत्तम प्रथाओं के अनुपालन के लिए आपके डॉकर की जांच करता है। पटकथा एक अच्छी हेयुरिस्टिक सुरक्षा परीक्षा है, लेकिन इसे एक व्यापक विश्लेषण उपकरण नहीं माना जाना चाहिए।

होस्ट ओएस

जाहिर है, डॉकटर कंटेनर को संरक्षित नहीं किया जा सकता है यदि मेजबान सिस्टम स्वयं सुरक्षित नहीं है। इसलिए, आपको ऑपरेटिंग सिस्टम सुरक्षा के क्षेत्र में सर्वोत्तम प्रथाओं का पालन करना चाहिए। इसके अलावा, निम्न अनुशंसाओं के अतिरिक्त भेद्यता विश्लेषण करना विवेकपूर्ण होगा।

ऑडिट नियम

लेखा परीक्षा का उपयोग करके डॉकर से जुड़ी फाइलों के लिए ऑडिट नियमों को बनाएं और auditctl उपयोग करें। उदाहरण के लिए, आप -w /usr/bin/dockerd -k docker /etc/audit.rules को /etc/audit.rules जोड़ सकते हैं और ऑडिट सेवा को पुनः आरंभ कर सकते हैं।

डेनिश मोड

FIPS मोड को सक्षम करना क्रिप्टोग्राफ़िक टूल को डेनिश में पेश किए गए एल्गोरिदम पर स्विच करने के लिए मजबूर करता है (अमेरिकी संघीय सूचना प्रसंस्करण मानक - लगभग। अनुवाद।) , इस प्रकार संघीय और उद्योग मानकों और आवश्यकताओं का अनुपालन करता है। यदि होस्ट OS दान मोड का समर्थन करता है, तो आप निम्नलिखित कमांड चलाकर इसे सक्षम कर सकते हैं:

 sed -i 's/GRUB_CMDLINE_LINUX="/GRUB_CMDLINE_LINUX="fips=1 /g' /etc/default/grub grub2-mkconfig -o /boot/grub2/grub.cfg && reboot 

आपको Docker Engine में FIPS को सक्षम करना होगा:

 mkdir -p /etc/systemd/system/docker.service.d 2>&1; echo -e "[Service]\n Environment=\"DOCKER_FIPS=1\"" > /etc/systemd/system/docker.service.d/fips-module.conf; systemctl daemon-reload; systemctl restart docker 

अधिक जानकारी के लिए डॉकर और रेड हैट प्रलेखन देखें।

डॉकर रहस्य

गोपनीय डेटा को रहस्य के रूप में रखा जाना चाहिए। आप docker सेवा कमांड का उपयोग करके संबंधित सेवा शुरू कर सकते हैं:

 docker service create --label com.docker.ucp.access.label=/prod --name nginx --publish 443 --secret source=orcabank_prod_mobile.ca.pem.v1,target=ca.pem nginx 

विवरण के लिए दस्तावेज देखें।

डॉकर कॉन्फ़िगरेशन फ़ाइल

निम्न सेटिंग्स को /etc/docker/daemon.json कॉन्फ़िगरेशन /etc/docker/daemon.json जोड़ा जा सकता है:

• "icc":false - अनावश्यक सूचना रिसाव से बचने के लिए कंटेनरों के बीच डेटा के आदान-प्रदान को अक्षम करता है।
• log-level: "info" - डिबगिंग को छोड़कर सभी लॉग को कैप्चर करता है।

•  { "log-driver": "syslog", "log-opts": { "syslog-address": "udp://1.2.3.4:1111" } } 

  
  - दूरस्थ लॉगिंग को जोड़ता है, उन्हें निर्दिष्ट पते पर अग्रेषित करता है। केवल तभी काम करता है जब syslog डेमन चल रहा हो। टीसीपी और यूडीपी को विकल्प के रूप में स्वीकार किया जाता है। प्रत्येक विशिष्ट कंटेनर के लिए कनेक्शन भी संभव है। ऐसा करने के लिए, डॉकर ( --log-opt syslog-address=ADDRESS ) शुरू करते समय एक विशेष ध्वज सेट किया जाता है।
• "userns-remap": "Your_User" - एक विशिष्ट उपयोगकर्ता के लिए नेमस्पेस को अलग करके विशेषाधिकार वृद्धि को रोकता है।

परिवहन सुरक्षा

केवल टीएलएस ग्राहक क्रेडेंशियल्स तक पहुंच वाले उपयोगकर्ता डोकर डेमॉन से कनेक्ट करने में सक्षम होना चाहिए (यदि रिमोट एक्सेस आवश्यक है)।

प्राधिकरण प्लगइन्स

तय करें कि कौन से उपयोगकर्ताओं को कौन सी आज्ञाओं को निष्पादित करने और डॉकर के लिए उपयुक्त प्राधिकरण प्लगइन बनाने की अनुमति है। फिर डॉकर डेमॉन को चलाएं और उसमें प्लगइन जोड़ें:

 dockerd --authorization-plugin=PLUGIN_ID 

प्राधिकरण प्लगइन्स बनाने के बारे में अधिक जानने के लिए, दस्तावेज़ देखें।

डेमॉन विकल्प

डॉकर डेमन डिफ़ॉल्ट मापदंडों के एक सेट के साथ काम करता है।

• --live-restore - यह विकल्प सिस्टम शटडाउन या रिबूट के दौरान कंटेनर डाउनटाइम को कम करने में मदद करता है। उन्हें कम से कम डाउनटाइम के साथ पैच या अपडेट करना आसान हो जाता है;
• --userland-proxy=false - जब हेयरपिन --userland-proxy=false उपलब्ध होते हैं या उपयोग किए जाते हैं, तो उपयोगकर्ता स्थान में प्रॉक्सी एक निरर्थक सेवा बन जाती है, जो केवल संभावित हमले वैक्टर की संख्या को बढ़ाती है;
• --no-new-privileges - suid या sguid का उपयोग करके अतिरिक्त विशेषाधिकार प्राप्त करने से कंटेनरों को रोकता है;
• --seccomp-profile /path/to/profile - यदि आपकी स्वयं की seccomp प्रोफ़ाइल है, तो आप इस ध्वज के साथ इसका उपयोग कर सकते हैं। यहाँ Seccomp और Docker के बारे में अधिक जानें।

कंटेनरों और असेंबली फ़ाइलों को कॉन्फ़िगर करना

उपयोगकर्ता निर्माण

सुनिश्चित करें कि एक उपयोगकर्ता कंटेनर के लिए बनाया गया है और इसे उस उपयोगकर्ता के तहत चलाएं (कंटेनर को रूट के तहत न चलाएं)।

रिमोट एक्सेस

डेमॉन के लिए दूरस्थ पहुँच से इनकार करें। यदि यह अभी भी आवश्यक है, तो इसे प्रमाण पत्र के साथ सुरक्षित रखें।

उपयोगकर्ता नाम अलग करें

यह सुनिश्चित करना विशेष रूप से महत्वपूर्ण है कि डॉकर में उपयोगकर्ता नाम स्थान अलग है, क्योंकि डिफ़ॉल्ट रूप से इसे होस्ट नाम स्थान के साथ साझा किया जाता है। कुछ मामलों में, इसका उपयोग विशेषाधिकारों को बढ़ाने या यहां तक ​​कि कंटेनर के बाहर जाने के लिए भी किया जा सकता है। आप कॉन्फ़िगरेशन फ़ाइल को संपादित करके एक उपयोगकर्ता नामस्थान को अलग कर सकते हैं (जैसा कि डॉकर कॉन्फ़िगरेशन फ़ाइल अनुभाग में ऊपर वर्णित है)। इस समस्या का एक अतिरिक्त उल्लेख इसके महत्व के कारण है।

Healthcheck'i

Healthcheck (Health Check) कंटेनर अखंडता की जाँच के लिए एक शक्तिशाली उपकरण है। यह HEALTHCHECK का उपयोग करके Dockerfile में कॉन्फ़िगर किया गया है। हेल्थचेक आपको यह सत्यापित करने की अनुमति देता है कि कंटेनर ठीक से काम कर रहा है। नीचे दिए गए उदाहरण में, यदि सर्वर चल रहा है, और 1 अगर यह "दुर्घटनाग्रस्त" है, तो स्वास्थ्य जांच 0 पर समाप्त हो जाती है।

 HEALTHCHECK CMD curl --fail http://localhost || exit 1 

SELinux

यदि SELinux होस्ट ऑपरेटिंग सिस्टम द्वारा समर्थित है, तो SELinux नीति बनाएँ या आयात करें और SELinux सक्षम के साथ डेकर मोड में Docker चलाएँ:

 docker daemon --selinux-enable 

इस मामले में, डॉकर कंटेनर को सुरक्षा सेटिंग्स के साथ लॉन्च किया जा सकता है, उदाहरण के लिए:

 docker run --interactive --tty --security-opt label=level:TopSecret centos /bin/bash 

नेटवर्क इंटरफेस

डिफ़ॉल्ट रूप से, डॉकर सभी नेटवर्क इंटरफेस पर सुनता है। चूंकि अधिकांश मामलों में यातायात केवल उनमें से एक पर होने की उम्मीद है, ऐसे दृष्टिकोण से अनुचित तरीके से हमले का खतरा बढ़ जाता है। इसलिए, एक कंटेनर शुरू करते समय, आप इसके बंदरगाहों को मेजबान पर विशिष्ट इंटरफेस से बांध सकते हैं:

 docker run --detach --publish 10.2.3.4:49153:80 nginx 

कैश्ड छवि संस्करण

छवियों को डाउनलोड करते समय, सुनिश्चित करें कि स्थानीय कैश रिपॉजिटरी की सामग्री से मेल खाता है। अन्यथा, आपको छवि का पुराना संस्करण या कमजोरियों वाला चित्र प्राप्त हो सकता है।

नेटवर्क पुल

डिफ़ॉल्ट नेटवर्क मॉडल, docker0 , एआरपी-स्पूफिंग और मैक-बाढ़ जैसे हमलों के लिए कमजोर है। इस समस्या को हल करने के लिए, अपने विनिर्देशों के अनुसार एक नेटवर्क पुल बनाएं, जैसा कि यहां वर्णित है ।

डॉकटर सॉकेट चेतावनी

कंटेनर के अंदर कभी भी डॉक सॉकेट न फेंके। अन्यथा, कंटेनर डॉकर कमांड को निष्पादित करने में सक्षम होगा और इसलिए, होस्ट ऑपरेटिंग सिस्टम के साथ संचार करें और इसे नियंत्रित करें। यह मत करो।

डॉकर एंटरप्राइज को कॉन्फ़िगर करना

डॉकर ट्रस्ट

डॉकर ट्रस्ट आपको उन कुंजियों को उत्पन्न करने की अनुमति देता है जिनका उपयोग छवियों की क्रिप्टोग्राफिक अखंडता को सत्यापित करने के लिए किया जा सकता है। Docker Trust कुंजियों का उपयोग Docker छवियों को निजी कुंजियों के साथ साइन करने के लिए किया जा सकता है, जिन्हें Notary Server पर सार्वजनिक कुंजियों द्वारा सत्यापित किया जाता है। अधिक जानकारी यहाँ । डॉक्यूमेंट ट्रस्ट ऑफ़ एंटरप्राइज इंजन को सक्षम करना इस दस्तावेज़ के खंड में विस्तार से वर्णित है।

भेद्यता स्कैन

डॉकर एंटरप्राइज में एक अंतर्निहित भेद्यता स्कैनर है, जो छवियों में ऑफ़लाइन-स्कैनिंग कमजोरियों के लिए सीवीई डेटाबेस को डाउनलोड करना संभव बनाता है। नियमित रूप से छवियों को स्कैन करना उन्हें सुरक्षित बनाने में मदद करता है: उपयोगकर्ता तुरंत मिली कमजोरियों के बारे में चेतावनी देता है। ऐसा कैसे करें के बारे में अधिक जानकारी के लिए, यहां देखें।

लगभग। ट्रांस। : डोकर-छवियों में ओपन सोर्स-भेद्यता स्कैनर भी हैं, लेख के अंत में उदाहरण देखें।

LDAP और UCP एकीकरण

यूनिवर्सल कंट्रोल प्लेन को LDAP के साथ इंटीग्रेट किया जा सकता है। परिणाम अनावश्यक दोहराव से बचने के लिए एक सरलीकृत प्रमाणीकरण प्रणाली होगी। इस बारे में अधिक पढ़ें लेख में एक LDAP निर्देशिका के साथ एकीकृत करें ।

अन्य सामग्री

डॉकर की सर्वोत्तम सुरक्षा प्रथाओं के बारे में अधिक जानकारी के लिए, docs.docker.com पर जाएं । हम डॉकर के लिए इंटरनेट सुरक्षा परीक्षण केंद्र डाउनलोड करने की भी सलाह देते हैं।

अनुवादक से बोनस

इस लेख के तार्किक पूरक के रूप में, हम डॉकर में 10 लोकप्रिय ओपन सोर्स सुरक्षा उपकरणों की एक सूची प्रकाशित कर रहे हैं। इसे एक अन्य लेख (Doerrfeld.io के बिल डोरफेल्ड द्वारा लिखित) से उधार लिया गया था।

एनबी : " 33+ कुबेरनेट सुरक्षा उपकरण " लेख में यहां वर्णित कई परियोजनाओं के बारे में अधिक पढ़ें।

1. सुरक्षा के लिए डॉकर बेंच एक स्क्रिप्ट है जो पहले से ही लेख की शुरुआत में उल्लिखित है जो सामान्य सुरक्षा प्रथाओं के अनुपालन के लिए डॉकर कंटेनरों की जांच करता है।
   
   
2. एक कंटेनर में कमजोरियों के स्थैतिक विश्लेषण के लिए क्लेयर शायद सबसे लोकप्रिय उपयोगिता है। यह कई सीवीई भेद्यता डेटाबेस (रेड हैट, डेबियन, उबंटू जैसे अग्रणी लिनक्स वितरण के ट्रैकर्स सहित) का उपयोग करता है। यह डेवलपर्स के लिए एक एपीआई और कार्यों का विस्तार करने के लिए एक सरल अवसर प्रदान करता है ("ड्राइवरों" के अलावा)। इसका उपयोग कंटेनर छवियों की लोकप्रिय सार्वजनिक रजिस्ट्री में किया जाता है (डॉकर हब के समान) - Quay.io.
3. Cilium BPF नेटवर्क पैकेट फ़िल्टरिंग तकनीक पर आधारित एक कर्नेल-स्तरीय नेटवर्क सुरक्षा समाधान है।
4. लंगर सुरक्षा कमजोरियों के लिए छवि सामग्री के विश्लेषण के लिए सीवीई आधारित उपयोगिता है। इसके अलावा, यह आपको कंटेनरों की सुरक्षा का मूल्यांकन करने के लिए कस्टम नीतियों (सफेद / काली सूची, फ़ाइल सामग्री आदि सहित विभिन्न डेटा के आधार पर) को लागू करने की अनुमति देता है।
5. OpenSCAP कार्यक्षेत्र प्लेटफ़ॉर्म पर सुरक्षा नीतियों को बनाने और बनाए रखने के लिए एक संपूर्ण पारिस्थितिकी तंत्र है। कंटेनरों की जाँच के लिए, यह oscap-docker उपयोगिता प्रदान करता है।
6. Dagda कमजोरियों, ट्रोजन, वायरस और मैलवेयर के लिए Docker कंटेनरों को स्कैन करने के लिए एक उपयोगिता है। सीवीई डेटाबेस में ओडब्ल्यूएएसपी निर्भरता जांच, रेड हैट ओवल डेटाबेस, शोषण डेटाबेस शोषण भंडार शामिल हैं।
7. नोटरी डोकर छवियों पर हस्ताक्षर करने के लिए एक रूपरेखा है, जो मूल रूप से डॉकर इंक द्वारा बनाई गई थी (और फिर विकास के लिए सीएनसीएफ में बदल गई)। इसका उपयोग आपको भूमिकाओं को सौंपने और कंटेनरों के बीच जिम्मेदारियों को वितरित करने के साथ-साथ छवियों की क्रिप्टोग्राफिक अखंडता को सत्यापित करने की अनुमति देता है।
8. Grafaes एक मेटाडेटा API है जिसे आंतरिक सुरक्षा नीतियों का प्रबंधन करने के लिए डिज़ाइन किया गया है। एक उदाहरण के रूप में, यह कंटेनर सुरक्षा स्कैनर के प्रदर्शन में सुधार करता है। Shopify अपनी 500,000 छवियों पर मेटाडेटा प्रबंधित करने के लिए इस API का उपयोग करता है।
9. Sysdig Falco एक कुबेरनेट्स उपयोगिता है जो सिस्टम व्यवहार की निगरानी करती है: कंटेनरों में, मेजबानों पर, नेटवर्क पर गतिविधि। आपको बुनियादी ढांचे में निरंतर जांच को कॉन्फ़िगर करने, विसंगतियों का पता लगाने और किसी भी लिनक्स सिस्टम कॉल को अलर्ट भेजने की अनुमति देता है।
10. डैनियर कंटेनरों की स्थिर छवि विश्लेषण के लिए एक और उपकरण बनियाप्स कलेक्टर है। आपको छवि फ़ाइलों में "देखने" की अनुमति देता है, आवश्यक डेटा एकत्र करता है, आवश्यक नीतियों को लागू करता है, आदि।

डॉकर को सुरक्षित बनाने के लिए व्यावहारिक सुझावों का एक और अच्छा चयन इस एक्वा सुरक्षा लेख में पाया जा सकता है। उसकी कई युक्तियां उन लोगों के साथ ओवरलैप करती हैं जो पहले से ही ऊपर वर्णित हैं, लेकिन अन्य हैं। उदाहरण के लिए, लेखक कंटेनरों में निगरानी गतिविधि का प्रस्ताव करते हैं और इंगित करते हैं कि डॉकर झुंड का उपयोग करते समय क्या देखना चाहिए।

उन लोगों के लिए जो पिछले साल इस विषय पर अधिक विस्तार से जानकारी प्राप्त करना चाहते हैं, " डॉकर सिक्योरिटी: क्विक रेफरेंस " नामक पुस्तक प्रकाशित की गई , जिसके अंश यहां स्वतंत्र रूप से उपलब्ध हैं ।

अंत में, डॉकटर सुरक्षा के कुछ पहलुओं के साथ व्यावहारिक परिचित के लिए: प्रोफाइल प्रोफाइल और कंटेनरों में लिनक्स कर्नेल की क्षमताओं का उपयोग करते हुए - आप डॉक * संसाधन वाले प्ले पर संबंधित प्रयोगशाला के काम से गुजर सकते हैं - सुरक्षा अनुभाग देखें।



* हमने दो साल पहले इस संसाधन के बारे में बात की थी, और नवंबर 2018 में, एक बहुत ही रोचक (सुरक्षा के दृष्टिकोण से) कहानी इसके साथ हुई। संक्षेप में, CyberArk Software Ltd. के विशेषज्ञ इसे क्रैक करने में कामयाब रहे: कंटेनरों के बाहर कमांड निष्पादित करने की क्षमता प्राप्त करने के लिए, अर्थात। मेजबान प्रणाली पर। डॉकर में सुरक्षा मुद्दों का एक बड़ा चित्रण, सही? यहां क्या हुआ सभी विवरण पढ़ें।

अनुवादक से पी.एस.

हमारे ब्लॉग में भी पढ़ें:

• " कमजोर डॉकटर वीएम - डॉकटर और पंचिंग द्वारा एक आभासी पहेली खेल ";
• " सबसे लोकप्रिय डॉकर छवियों के 19% में, रूट के लिए कोई पासवर्ड नहीं है ";
• " 33+ कुबेरनेट सुरक्षा उपकरण ";
• " सुरक्षा-मांग वाले वातावरण में डोकर और कुबेरनेट्स ";
• " कुबेरनेट्स में 9 सर्वश्रेष्ठ सुरक्षा अभ्यास ";
• " OPA और SPIFFE क्लाउड एप्लिकेशन सुरक्षा के लिए सीएनसीएफ में दो नई परियोजनाएं हैं ।"