Compreender os impactos da virtualização na segurança é fundamental para arquitetar e implementar adequadamente a segurança em nuvem. Neste post, discutiremos as melhores práticas para proteger as aplicações em containers.
O que são contêineres?
Os containers são ambientes de execução de código altamente portáteis. Para simplificar, uma máquina virtual é um sistema operacional completo, desde o kernel. Um container, por sua vez, é um ambiente de execução virtual que apresenta um espaço de usuário isolado, mas que usa um kernel compartilhado. Esses containers podem ser construídos diretamente sobre servidores físicos ou executados em máquinas virtuais. As implementações atuais dependem de um kernel / sistema operacional existente, e é por isso que podem ser executadas em uma máquina virtual, mesmo se a virtualização aninhada não for suportada pelo hipervisor. (Os containers de software contam com uma tecnologia completamente diferente para hipervisores.)
Os sistemas de containers de software sempre incluirão três componentes principais:
- O ambiente de execução (o container).
- Um controlador de orquestração e agendamento (que pode ser uma coleção de várias ferramentas).
- Um repositório para as imagens ou código para o container executar.
Juntos, esses são o lugar para administrar as coisas, as coisas a serem executadas e o sistema de gerenciamento para conectá-las.
Os containers são seguros?
Os containers estão evoluindo rapidamente, o que complica alguns aspectos da segurança, mas não significa que sejam inerentemente inseguros. Você pode ler mais sobre os principais desafios da proteção de containers de aplicativos nesta publicação.
Os containers não fornecem necessariamente isolamento total de segurança, mas fornecem segregação de tarefas.
Dito isso, as máquinas virtuais geralmente fornecem esse isolamento de segurança. Assim, você pode configurar tarefas num contexto de segurança equivalente no mesmo conjunto de hosts físicos ou virtuais para fornecer uma melhor segregação de segurança.
Os sistemas de gerenciamento de containers e repositórios de imagens também têm recursos de segurança diferentes, com base nos produtos que você usa. A equipe de segurança deve aprender e compreender os recursos dos produtos aos quais precisam oferecer suporte. Os produtos devem, no mínimo, oferecer suporte a controles de acesso baseados em funções (role-based access controls: RBAC) e autenticação forte. Eles também devem oferecer suporte a configurações seguras, como isolamento de sistema de arquivos, de processos e dos acessos à rede.
Uma compreensão profunda da segurança do container depende de uma compreensão profunda dos componentes internos do sistema operacional, como namespaces, mapeamento de portas da rede, memória e acesso ao armazenamento. Diferentes sistemas operacionais dos host e tecnologias de container oferecem diferentes recursos de segurança. Essa avaliação deve ser incluída em qualquer processo de seleção de qual plataforma de container será adotada.
O que você precisa ter em mente ao proteger os containers?
Garanta a segurança da infraestrutura física subjacente (computação, rede, armazenamento). Isso não é diferente de qualquer outra forma de virtualização, mas agora se estende ao sistema operacional subjacente onde o ambiente de execução do container é executado.
Garanta a segurança do plano de gerenciamento, que neste caso são o orquestrador e o planejador.
Proteja adequadamente o repositório de imagens. O repositório de imagens deve estar em um local seguro com os controles de acesso configurados apropriadamente. Isso evita a perda ou modificação não autorizada de imagens de container e de arquivos de definição, bem como para evitar vazamentos de dados confidenciais por meio de acesso não autorizado aos arquivos. Os containers são executados com tanta facilidade que também é importante que as imagens só possam ser implantadas no contexto correto de segurança.
Crie segurança nas tarefas / código em execução dentro do container. Ainda é possível executar algum software vulnerável dentro de um container e, em alguns casos, isso pode expor o sistema operacional compartilhado ou dados de outros contêineres. Por exemplo, é possível configurar alguns containers para permitir, não apenas o acesso aos dados do container no sistema de arquivos, mas também o acesso ao sistema de arquivos raiz. Permitir acesso demasiado à rede também é uma possibilidade. Todos eles são específicos para a plataforma de container em particular e, portanto, exigem uma configuração segura do ambiente do container e das próprias imagens / configurações do container.
5 recomendações da CSA para proteger containers
- Compreenda como funcionam os recursos de isolamento de segurança da plataforma de container escolhida e do sistema operacional subjacente e escolha a configuração apropriada.
- Use máquinas físicas ou virtuais para fornecer isolamento de um container e de grupos de containers sob os mesmos contextos de segurança, sejam nos mesmos hosts físicos e / ou virtuais.
- Certifique-se de que apenas imagens ou códigos de containers aprovados, conhecidos e seguros possam ser implantados.
- Proteja adequadamente a(s) pilha(s) de software de orquestração / gerenciamento e planejador de containers.
- Implemente controles de acesso baseados em função apropriados e autenticação forte para todo o gerenciamento de containers e repositórios.
Confira o nosso post Clavis é certificada com o MSP Cloud Verify Program®.
Fonte: cloudsecurityalliance.org
Posts relacionados: Cloud Security Alliance (CSA) lança framework de controles IoT e guia de acompanhamento / Nova Estrutura de resposta a incidentes serve como um plano comum para compartilhar as melhores práticas e Cloud Security Alliance lança Cloud Industrial Internet of Things (IIoT) – Glossário de segurança para sistemas de controle industriais