Beste praktyke vir sekuriteit - bou 'n robuuste kajuithouer
Beveilig u dokhouer …
Docker het 'n lang pad gestreef en streef daarna om 'n hoogs funksionele, maar tog 'n veilige produk te bou, die beste praktyke te lewer en baie reageer op enige kwesbaarheid of kwessies..
Sedert sy ontstaan, het Docker 'n aansienlike toename in sy aanneming jaar op jaar. Deur ywerig op te stel, sonder 'n element van onkunde, word Docker 'n kragtige bate waarvoor u ongetwyfeld instem vir u IT-praktyke..
Die onus om u houermilieu te beveilig, lê nie net op die verharding van die houers of die bedieners waarop hulle uiteindelik loop nie, maar moet ook strategie wees om te sorg vir elke klein aksie reg vanaf die trek van die houerbeeld van 'n register tot wanneer die houer gedruk word. na die produksiewêreld.
Aangesien die houers meestal met die DevOps-snelheid as deel van die CI / CD-raamwerk ontplooi word, is dit noodsaaklik om meer take te outomatiseer wat die doeltreffendheid, produktiwiteit, ouditering / aanmelding en derhalwe die hantering van veiligheidskwessies verhoog..
Hierna gee u 'n oorsig van die veiligheidsverwante beste praktyke wat u moet oppas tydens die aanneming van Docker.
1 Outentieke Docker-prent
2 Gemagtigde toegang
3 Sensitiewe inligtingsbestuur
4 Kode-vlak en toepassings-tydsekuriteit
5 Voltooi lewensiklusbestuur
6 Beperking van bronne
7 Monitering van houeraktiwiteit
Ontwikkelaars gebruik baie keer die basis Docker-beelde eerder as om van nuuts af te herbou. Maar die aflaai van hierdie prente uit onbetroubare bronne kan sekuriteitskwessies byvoeg.
Daarom is dit ondeurdringbaar om die egtheid na te gaan voordat u die prent aflaai, deur die volgende voorsorgmaatreëls te tref:
Die gebruik van die basisbeeld van betroubare bronne soos die Docker Hub met prente wat geskandeer en nagegaan word deur die Docker's Security Scanning Services.
Gebruik die basisbeeld wat digitaal onderteken is deur Docker Content Trust wat beskerming teen vervalsing beskerm.
Terwyl u in groot spanne werk, is dit noodsaaklik om rolgebaseerde toegangsbeheer (RBAC) vir u Docker-houer op te stel. Groot ondernemingsorganisasies gebruik gidsoplossings soos Active Directory om toegang en toestemming vir toepassings regoor die organisasie te bestuur.
Dit is noodsaaklik om 'n goeie oplossing vir toegangsbestuur vir Docker te hê wat die houers in staat stel om te werk met minimale voorregte en toegang wat benodig word om die taak te verrig, wat weer die risikofaktor verminder..
Dit help om die skaalbaarheid by die groeiende aantal gebruikers te versorg.
Volgens die Docker Swarm dienste, geheime is die sensitiewe stuk data wat nie gekommunikeer of gestoor moet word nie in Dockerfile of die program se bronkode..
Geheime is sensitiewe inligting soos die wagwoorde, SSH-sleutels, tekens, TLS-sertifikate, ens. Geheime word geïnkripteer tydens vervoer en in rus in 'n Docker-swerm. 'N Geheim is slegs toeganklik vir die dienste wat eksplisiet toegang verleen het en slegs wanneer die dienste bedryf word.
Dit is noodsaaklik om seker te maak dat die geheime slegs toeganklik is vir die betrokke houers en nie op die gasheervlak blootgestel of geberg moet word nie..
Kode-vlak en toepassings-tydsekuriteit
Docker-sekuriteit begin op die gasheervlak, dus dit is noodsaaklik om die gasheerbedryfstelsel op datum te hou. Die prosesse wat binne-in die houer loop, moet ook die nuutste opdaterings bevat deur die beste sekuriteitsverwante koderingspraktyk in te sluit.
U moet veral toesien dat die houers wat deur die derde party verskaffers geïnstalleer word, niks aflaai en loop gedurende loop-tyd nie. Alles wat 'n Docker-houer loop, moet verklaar word en by die statiese houerbeeld opgeneem word.
Toestemmings van naamruimte en groepe moet optimaal toegepas word vir toegangsisolasie en om te beheer wat elke proses kan verander.
Houers skakel oor die hele groep heen, waardeur hul kommunikasie die sigbaarheid van firewalls en netwerkinstrumente beperk. Nano-segmentasie kan gebruik word om die ontploffingsradius te beperk in die geval van aanvalle.
Houersekuriteit lê in die hantering van die houersiklus, wat behels die reg van die skepping, opdatering en die verwydering van houers. Die houers moet as onveranderlik behandel word, in plaas daarvan om die lopende houer met opdaterings te verander of op te dateer, 'n nuwe beeld te skep en hierdie houers deeglik te toets vir kwesbaarhede en die bestaande houers te vervang.
Beperking van bronne
Dokters is liggewigprosesse omdat u meer houers as virtuele masjiene kan bestuur. Dit is voordelig om die gasheerhulpbronne optimaal te benut. Alhoewel dit 'n bedreiging vir kwesbaarhede soos ontkenning van aanvalle kan veroorsaak, kan dit hanteer word deur die stelselhulpbronne wat individuele houers kan verbruik deur die houerraamwerk soos Swarm te beperk..
Monitering van houeraktiwiteit
Soos enige ander omgewing, is dit noodsaaklik om die gebruikeraktiwiteit rondom u houer-ekosisteem voortdurend te monitor om enige kwaadwillige of verdagte aktiwiteite te identifiseer en op te los.
Ouditlogboeke moet in die aansoek opgeneem word om gebeure op te neem, soos toe die rekening geskep en geaktiveer is, vir watter doel, wanneer die laaste wagwoord bygewerk is en soortgelyke aksies op organisasievlak.
As u sulke ouditroetes implementeer rondom elke houer wat u vir u organisasie skep en implementeer, is dit 'n goeie praktyk om 'n kwaadwillige indringing te identifiseer.
Docker, volgens ontwerp, is gebou met die beste sekuriteitspraktyk in gedagte, daarom is veiligheid nie 'n probleem in houers nie. Maar dit is van kardinale belang dat u nooit u wag in die steek laat nie en waaksaam moet wees.
Met die opdatering en verbetering van hierdie funksies, sal dit help om veilige programme te bou. Die gebruik van die houerbeveiligingsaspekte soos houerbeelde, toegangs- en toestemmingsregte, houersegmentering, geheime en lewensiklusbestuur in IT-praktyke kan verseker dat optimale DevOps-prosesse met minimale veiligheidskwessies voorkom.