評(píng)估容器安全的現(xiàn)狀,解你心中疑惑

責(zé)任編輯:editor005

作者:Adrian Mouat

2016-09-20 14:53:18

摘自:51CTO

·審查:生產(chǎn)環(huán)境定期接受審查,確保所有容器都基于最新的容器,主機(jī)和容器都得到了安全配置。限制容器所做的內(nèi)核調(diào)用也能顯著減小攻擊面,一方面限制攻擊者能做的破壞,另一方面減小內(nèi)核代碼面臨漏洞的風(fēng)險(xiǎn)。

任何理性的企業(yè)都希望能在容器上運(yùn)行關(guān)鍵任務(wù)型服務(wù),但他們會(huì)有這樣的疑問(wèn):“容器真的安全嗎?我們真的可以把數(shù)據(jù)和應(yīng)用程序放心地交給容器嗎?”

在技術(shù)人員當(dāng)中,這常常導(dǎo)致容器與虛擬機(jī)之爭(zhēng),并討論虛擬機(jī)中的虛擬機(jī)管理程序?qū)犹峁┑谋Wo(hù)。雖然這可能是一種有趣而翔實(shí)的討論,但容器與虛擬機(jī)這種對(duì)立本身就是錯(cuò)的;有關(guān)方應(yīng)在虛擬機(jī)里面運(yùn)行容器,目前這一幕出現(xiàn)在大多數(shù)云提供商身上。一個(gè)顯著的例外是來(lái)自Joyent的Triton,它使用SmartOS Zones,確保租戶(hù)相互隔離。還有一個(gè)日益壯大的社區(qū)認(rèn)為,Linux上的容器安全和隔離已得到了長(zhǎng)足的改進(jìn),用戶(hù)可以使用裸機(jī)容器服務(wù),而不是使用虛擬機(jī),實(shí)現(xiàn)隔離。比如說(shuō),IBM在Bluemix公共云服務(wù)上構(gòu)建了一種托管的容器服務(wù),該服務(wù)運(yùn)行時(shí)租戶(hù)之間虛擬機(jī)并不隔離。

為了保持容器的靈活性?xún)?yōu)勢(shì),多個(gè)容器在每個(gè)虛擬機(jī)里面運(yùn)行。關(guān)注安全的企業(yè)可以使用虛擬機(jī),隔離在不同安全級(jí)別下運(yùn)行的容器。比如說(shuō),可以安排處理計(jì)費(fèi)信息的容器在不同于留給面向用戶(hù)型網(wǎng)站的節(jié)點(diǎn)的節(jié)點(diǎn)上運(yùn)行。值得關(guān)注的是,包括Hyper、英特爾和VMware在內(nèi)的幾家公司正致力于構(gòu)建速度飛快的基于虛擬機(jī)的框架,這些框架實(shí)施了Docker API,試圖把容器工作流程的速度與虛擬機(jī)管理程序的安全性結(jié)合起來(lái)。

一旦我們改用容器并不意味著放棄虛擬機(jī)管理程序提供的已確立、得到驗(yàn)證的安全性,下一步就是調(diào)查,可以通過(guò)使用容器和基于容器的工作流程實(shí)現(xiàn)安全的增益。

安全工作流程

在典型的工作流程中,一旦開(kāi)發(fā)人員完成了某項(xiàng)功能,就會(huì)推送到持續(xù)集成(CI)系統(tǒng),該系統(tǒng)將構(gòu)建和測(cè)試鏡像。然后,鏡像被推送到注冊(cè)中心(registry)?,F(xiàn)在鏡像準(zhǔn)備部署到生產(chǎn)環(huán)境,這通常需要一種編排系統(tǒng),比如Docker的內(nèi)置編排工具、Kubernetes和Mesos等。一些企業(yè)可能在推送到生產(chǎn)環(huán)境之前改而推送到登臺(tái)環(huán)境。

容器安全的現(xiàn)狀評(píng)估

圖1:在容器工作流程中,開(kāi)發(fā)人員將變更內(nèi)容推送到擁有測(cè)試組件的持續(xù)集成系統(tǒng)。簽名的鏡像將移到注冊(cè)中心,它在這里可以部署到生產(chǎn)環(huán)境。

遵循安全最佳實(shí)踐的系統(tǒng)會(huì)擁有下列功能和屬性:

·鏡像起源:安全標(biāo)簽系統(tǒng)落實(shí)到位,負(fù)責(zé)識(shí)別生產(chǎn)環(huán)境中運(yùn)行的容器到底確切地來(lái)自哪里。

·安全掃描:鏡像掃描工具自動(dòng)檢查所有鏡像,查找已知漏洞。

·審查:生產(chǎn)環(huán)境定期接受審查,確保所有容器都基于最新的容器,主機(jī)和容器都得到了安全配置。

·隔離和最低權(quán)限:使用最少資源和最低權(quán)限運(yùn)行的容器需要高效運(yùn)行。它們不能對(duì)主機(jī)或其他容器造成不當(dāng)?shù)母蓴_。

·運(yùn)行時(shí)威脅檢測(cè)和響應(yīng):這種功能檢測(cè)運(yùn)行時(shí)環(huán)境中的容器化應(yīng)用程有沒(méi)有活躍威脅,并自動(dòng)采取響應(yīng)措施。

·訪(fǎng)問(wèn)控制:AppArmor或SELinux等Linux安全模塊用來(lái)執(zhí)行訪(fǎng)問(wèn)控制。

鏡像起源

企業(yè)要認(rèn)真對(duì)待運(yùn)行的軟件,尤其是生產(chǎn)環(huán)境中的軟件。避免運(yùn)行過(guò)期、易受攻擊的軟件,或避免已受到某種破壞或篡改的軟件,這點(diǎn)至關(guān)重要。由于這個(gè)原因,能夠識(shí)別和驗(yàn)證任何容器的來(lái)源,包括誰(shuí)構(gòu)建了容器,它到底在運(yùn)行哪個(gè)版本的代碼,這很重要。

鏡像起源的黃金標(biāo)準(zhǔn)是Docker Content Trust(https://docs.docker.com/engine/security/trust/content_trust/)。啟用Docker Content Trust后,一個(gè)數(shù)字簽名被添加到鏡像,然后鏡像被推送到注冊(cè)中心。獲取鏡像時(shí),Docker Content Trust會(huì)驗(yàn)證簽名,從而確保鏡像來(lái)自相應(yīng)的企業(yè),確保鏡像內(nèi)容完全符合被推送的鏡像。這確保攻擊者沒(méi)有篡改鏡像,無(wú)論在傳送過(guò)程中,還是存儲(chǔ)在注冊(cè)中心時(shí)。Docker Content Trust還通過(guò)實(shí)施更新框架(TUF),可以預(yù)防其他更先進(jìn)的攻擊,比如回滾攻擊和凍結(jié)攻擊。

撰寫(xiě)本文時(shí),Docker Content Trust得到了Docker Hub、Artifactory和Docker Trusted Registry(目前處于實(shí)驗(yàn)階段)的支持??梢杂肈ocker Content Trust來(lái)搭建開(kāi)源的專(zhuān)用注冊(cè)中心,但是這還需要搭建一臺(tái)Notary服務(wù)器(欲知詳情,請(qǐng)參閱這些說(shuō)明:https://docs.docker.com/engine/security/trust/content_trust/)。

要是沒(méi)有Docker Content Trust,仍可以使用摘要(digest)來(lái)驗(yàn)證鏡像起源,摘要就是鏡像內(nèi)容的密碼散列。鏡像被推送后,Docker客戶(hù)機(jī)返回表示鏡像摘要的一個(gè)字符串(比如sha256:45b23dee08af5e43a7fea6c4cf9c25ccf269ee113168c19722f87876677c5cb2)。然后,這個(gè)摘要可用于獲取鏡像。只要以這種方式獲取鏡像,Docker就會(huì)驗(yàn)證摘要與鏡像匹配。不像標(biāo)記,摘要總是會(huì)指向同一個(gè)鏡像;鏡像的任何更新都會(huì)導(dǎo)致新的摘要生成。使用摘要存在的問(wèn)題是,企業(yè)需要搭建一個(gè)專(zhuān)有系統(tǒng),用于自動(dòng)提取并分發(fā)摘要。

還需要明確來(lái)自第三方的鏡像的起源,無(wú)論它們直接使用,還是用作基本鏡像。使用Docker Hub時(shí),所有“官方”鏡像已得到Docker的審核,附有內(nèi)容信任信息,應(yīng)該被視為是最安全的Hub鏡像。使用其他鏡像應(yīng)謹(jǐn)慎行事,不過(guò)要注意:“自動(dòng)化構(gòu)建的鏡像”連接到構(gòu)建所使用的源代碼,應(yīng)該被認(rèn)為比普通的用戶(hù)鏡像更值得信賴(lài)。企業(yè)應(yīng)考慮自行從源代碼構(gòu)建鏡像,而不是從不可信的庫(kù)來(lái)獲取。由于Docker Store(https://store.docker.com)的出現(xiàn),這種情況目前在發(fā)生一點(diǎn)變化。Store將為發(fā)布者提供一個(gè)可信賴(lài)的商店,運(yùn)作方式如同蘋(píng)果的應(yīng)用程序商店。

安全掃描

Docker鏡像的安全掃描是幾家公司提供的一項(xiàng)新服務(wù)?;鞠敕ê芎?jiǎn)單:拿來(lái)Docker鏡像后,將鏡像包含的軟件與已知安全漏洞列表相互對(duì)照,為鏡像出具一份“健康證明”。基于這些信息,企業(yè)隨后就可以采取行動(dòng),緩解安全漏洞。

目前的產(chǎn)品包括紅帽的Atomic Scan、IBM的Bluemix Vulnerability Advisor、CoreOS的Clair、 Docker公司的Docker Security Scanning、Aqua Security的Peekr以及Twistlock Trust。無(wú)論工作方式、訪(fǎng)問(wèn)方式還是成本,它們都大不一樣。一個(gè)關(guān)鍵的區(qū)別在于掃描工具識(shí)別安裝在鏡像中的軟件的方式。

包括Clair在內(nèi)的一些掃描工具會(huì)質(zhì)詢(xún)軟件包管理器(比如Debian和Ubuntu上的Apt),以查找已安裝的軟件,但是這對(duì)通過(guò)打包軟件(tarball)安裝的軟件來(lái)說(shuō)行不通;如果掃描工具無(wú)法識(shí)別軟件包管理器,也行不通。相比之下,Docker Security Scanning對(duì)鏡像執(zhí)行二進(jìn)制代碼層面的分析;無(wú)論是什么軟件包管理器,這種方法都適用,還能識(shí)別靜態(tài)鏈接庫(kù)的版本。Twistlock也值得關(guān)注,原因在于它可以對(duì)通過(guò)打包文件安裝的軟件執(zhí)行掃描,漏洞掃描能夠發(fā)現(xiàn)零日攻擊,并且可在嚴(yán)加隔離的環(huán)境下工作。

考慮安全掃描如何整合到你的系統(tǒng)中至關(guān)重要。Docker Security Scanning可作為Docker Cloud和Docker Datacenter的一個(gè)組成部分,而不是作為一項(xiàng)獨(dú)立服務(wù)。其他提供商提供應(yīng)用程序接口(API),允許整合到現(xiàn)有的CI系統(tǒng)和定制工作流程中。一些掃描工具可安裝在本地環(huán)境,這對(duì)要求所有軟件都放在內(nèi)部的企業(yè)來(lái)說(shuō)很重要。

一旦你已整合了安全掃描服務(wù),首先想到的可能是全面禁止存在安全漏洞的任何鏡像在生產(chǎn)環(huán)境中運(yùn)行。遺憾的是,你很可能會(huì)發(fā)現(xiàn),你的大多數(shù)鏡像存在一些漏洞,全面禁止在現(xiàn)實(shí)中不是一個(gè)辦法。比如說(shuō),Ubuntu向來(lái)以迅速更新鏡像而著稱(chēng),但是在撰寫(xiě)本文時(shí),由于使用的Perl版本,16.04基本鏡像隨帶一個(gè)重大的安全漏洞(其他大多數(shù)鏡像存在的問(wèn)題多得多)。因此你可能會(huì)發(fā)現(xiàn),需要逐個(gè)調(diào)查發(fā)現(xiàn)的漏洞,確定它們是不是果真對(duì)系統(tǒng)構(gòu)成了重大風(fēng)險(xiǎn)。

如果使用去除了不必要軟件的輕量級(jí)容器,就可以大大緩解這種情況。要做到這一點(diǎn),最簡(jiǎn)單的方法就是,使用非常小巧的基本鏡像,比如Alpine,大小只有5MB。另一種有點(diǎn)極端的方法就是,構(gòu)建靜態(tài)鏈接二進(jìn)制代碼,然后把代碼拷貝到“空空如也”的鏡像上。這樣一來(lái),根本不存在操作系統(tǒng)層面的漏洞。這種方法的主要缺點(diǎn)是,構(gòu)建和調(diào)試變得復(fù)雜許多,甚至沒(méi)有外殼可用。

對(duì)業(yè)界的安全人士來(lái)說(shuō),自動(dòng)化掃描向前邁出了一大步。它迅速發(fā)現(xiàn)潛在風(fēng)險(xiǎn),并對(duì)廠(chǎng)商施壓、要求及時(shí)給易受攻擊的基本鏡像打補(bǔ)丁。通過(guò)關(guān)注掃描結(jié)果、迅速反應(yīng),企業(yè)才能比許多潛在的攻擊者領(lǐng)先一步。

審查

緊隨安全掃描和鏡像起源的就是審查。我們希望能夠隨時(shí)看到哪些鏡像在生產(chǎn)環(huán)境下運(yùn)行,它們?cè)谶\(yùn)行哪個(gè)版本的代碼。尤其是,識(shí)別哪些容器在運(yùn)行過(guò)期、可能易受攻擊的鏡像很重要。

使用容器時(shí),強(qiáng)烈建議遵循有時(shí)所謂的“黃金鏡像”方法:別給運(yùn)行中的容器打補(bǔ)丁,而是把它們換成運(yùn)行更新后代碼的新容器――藍(lán)綠部署和滾動(dòng)升級(jí)可以用來(lái)避免停機(jī)。使用這種方法,只要查看構(gòu)建所用的鏡像,就可以審查數(shù)量眾多的運(yùn)行中的容器。Docker diff之類(lèi)的工具可用來(lái)驗(yàn)證容器文件系統(tǒng)沒(méi)有偏離底層鏡像。

請(qǐng)注意:在部署鏡像之前掃描鏡像還不夠。新的漏洞報(bào)告后,之前擁有健康證明的鏡像會(huì)變得已知易受攻擊。因此,不斷掃描生產(chǎn)環(huán)境中運(yùn)行的所有鏡像很重要。是否需要深入的重新掃描,這取決于具體使用的掃描解決方案;掃描工具可以列出鏡像已掃描的軟件,并迅速拿來(lái)與新的漏洞作一比較。

審查基于容器的系統(tǒng)下的主機(jī)仍然很重要,但是如果運(yùn)行極簡(jiǎn)發(fā)行版,比如CoreOS、Red Hat Atomic或Ubuntu Snappy,可以簡(jiǎn)化這一步,這類(lèi)發(fā)行版被設(shè)計(jì)成可運(yùn)行容器,所含的需要審查的軟件比較少。另外,Docker Bench for Security等工具可用于核查配置,Aqua Security和Twistlock都提供了審查主機(jī)和配置的解決方案。

隔離和最低權(quán)限

容器的一大安全好處就是添加了隔離方面的工具。容器的工作原理是,構(gòu)建一種在文件系統(tǒng)、網(wǎng)絡(luò)和進(jìn)程方面有著不同世界觀(guān)(即獨(dú)立命名空間)的系統(tǒng)。另外,控制組(cgroup)用于控制對(duì)處理器和內(nèi)存等資源訪(fǎng)問(wèn)的級(jí)別。此外,可以通過(guò)Linux功能和seccomp,控制容器做出的Linux內(nèi)核調(diào)用。

信息安全領(lǐng)域的基本概念之一是最低權(quán)限原則,這個(gè)原則最初是這樣闡述的:

“系統(tǒng)的每一個(gè)程序和每一個(gè)特權(quán)用戶(hù)都應(yīng)該使用完成工作所必需的最低權(quán)限來(lái)操作。” —Jerome Saltzer

就容器而論,這意味著每個(gè)容器應(yīng)該以有效操作所需的最低權(quán)限來(lái)運(yùn)行。運(yùn)用這個(gè)原則使攻擊者的日子難過(guò)得多;即使發(fā)現(xiàn)了某個(gè)容器的漏洞,攻擊者也很難有效地利用弱點(diǎn)。如果容器無(wú)法訪(fǎng)問(wèn)易受攻擊的特性,它就不會(huì)被壞人利用。

一個(gè)有效而簡(jiǎn)單的安全措施就是運(yùn)行擁有只讀文件系統(tǒng)的容器。在Docker中,只要將–read-only標(biāo)志傳遞給docker run,就能做到這一點(diǎn)。這一步落實(shí)到位后,利用漏洞的任何攻擊者會(huì)發(fā)現(xiàn)對(duì)系統(tǒng)做手腳困難得多;他們無(wú)法將惡意腳本寫(xiě)入到文件系統(tǒng),也無(wú)法篡改文件內(nèi)容。許多應(yīng)用程序想要寫(xiě)出到文件,但是針對(duì)特定的文件或目錄使用tmpfs(https://docs.docker.com/engine/reference/run/#tmpfs-mount-tmpfs-filesystems)或卷,就可以支持這一點(diǎn)。

限制對(duì)其他資源的訪(fǎng)問(wèn)同樣有效。限制容器可用的內(nèi)存量將防止攻擊者耗用主機(jī)上的所有內(nèi)存,導(dǎo)致其他運(yùn)行中的服務(wù)無(wú)內(nèi)存可用。限制處理器和網(wǎng)絡(luò)帶寬可以防止攻擊者運(yùn)行耗用大量資源的進(jìn)程,比如比特幣挖掘或種子文件節(jié)點(diǎn)(Torrent peer)。

在生產(chǎn)環(huán)境中運(yùn)行容器時(shí)最常見(jiàn)的錯(cuò)誤也許是容器以root用戶(hù)的身份來(lái)運(yùn)行。構(gòu)建鏡像時(shí),通常需要root權(quán)限來(lái)安裝軟件、配置鏡像。然而,容器啟動(dòng)時(shí)執(zhí)行的主進(jìn)程不該以root的身份來(lái)運(yùn)行。如果這么做,黑客只要危及進(jìn)程,就會(huì)在容器里面擁有root層面的權(quán)限。最糟糕的是,由于用戶(hù)在默認(rèn)情況下并不使用命名空間,萬(wàn)一攻擊者設(shè)法擺脫容器、進(jìn)入到主機(jī),他們也許能夠?qū)χ鳈C(jī)獲得root層面的全部權(quán)限。

為了防止這種情況,應(yīng)始終確保Dockerfile聲明非特權(quán)用戶(hù),執(zhí)行主進(jìn)程之前切換到該用戶(hù)。自Docker1.10以來(lái),就有支持啟用用戶(hù)命名空間的選項(xiàng),這會(huì)自動(dòng)將容器中的用戶(hù)映射到主機(jī)上的高編號(hào)用戶(hù)。這一招管用,但目前有幾個(gè)缺點(diǎn),包括使用只讀文件系統(tǒng)和卷存在問(wèn)題。許多這些問(wèn)題在Linux社區(qū)的上游得到了解決,因此預(yù)計(jì)在不遠(yuǎn)的將來(lái),用戶(hù)命名空間支持對(duì)更大比例的使用場(chǎng)合而言會(huì)變得更切實(shí)可行。

限制容器所做的內(nèi)核調(diào)用也能顯著減小攻擊面,一方面限制攻擊者能做的破壞,另一方面減小內(nèi)核代碼面臨漏洞的風(fēng)險(xiǎn)。限制權(quán)限的首要機(jī)制是使用Linux功能。Linux定義了約40種功能,它們映射到一組組內(nèi)核調(diào)用。容器運(yùn)行時(shí)環(huán)境(包括rkt和Docker)讓用戶(hù)可以選擇容器應(yīng)以哪些權(quán)限來(lái)運(yùn)行。這些功能映射到約330個(gè)系統(tǒng)調(diào)用,這意味著幾種功能(尤其是SYS_ADMIN)映射到大量調(diào)用。想對(duì)允許哪些內(nèi)核調(diào)用實(shí)行更精細(xì)的控制,Docker現(xiàn)在擁有seccomp支持,用于指定到底可以使用哪些調(diào)用,并隨帶一個(gè)默認(rèn)的seccomp策略,它已證明在緩解Linux內(nèi)核的問(wèn)題方面頗有成效。這兩種方法的主要問(wèn)題就是,要搞清楚你的應(yīng)用程序需要做出的一組最少的內(nèi)核調(diào)用。僅僅以不同級(jí)別的功能來(lái)運(yùn)行、查找故障很有效但很費(fèi)時(shí),可能會(huì)錯(cuò)過(guò)未測(cè)試的部分代碼中的問(wèn)題。

現(xiàn)有工具可能有助于確定應(yīng)用程序使用系統(tǒng)調(diào)用的情況,而不是求助于反復(fù)試錯(cuò)。如果你能借助跟蹤功能(比如strace2elastic)完全演練應(yīng)用程序的代碼路徑,這將報(bào)告容器運(yùn)行過(guò)程中在你的應(yīng)用程序里面使用的系統(tǒng)調(diào)用。

雖然操作系統(tǒng)層面的隔離和實(shí)施最低權(quán)限至關(guān)重要,但隔離還需要與應(yīng)用程序邏輯聯(lián)系起來(lái)。如果不了解在主機(jī)上運(yùn)行的應(yīng)用程序,操作系統(tǒng)層面的隔離可能本身不是很有效。

運(yùn)行時(shí)威脅檢測(cè)和響應(yīng)

不管你在漏洞掃描和容器加固方面的工作做得多好,運(yùn)行時(shí)總會(huì)出現(xiàn)未知的代碼錯(cuò)誤和安全漏洞,會(huì)引起入侵或泄密。這就是為什么為系統(tǒng)添置實(shí)時(shí)威脅檢測(cè)和事件響應(yīng)功能很重要。

相比整體式應(yīng)用程序,容器化應(yīng)用程序明顯來(lái)得更精簡(jiǎn)、不可改變。這就有可能為你的應(yīng)用程序設(shè)定基線(xiàn),其逼真度比傳統(tǒng)的整體式應(yīng)用程序來(lái)得更高。使用該基線(xiàn),你應(yīng)該能夠檢測(cè)實(shí)時(shí)威脅、異常情況和安全隱患,誤報(bào)率低于傳統(tǒng)的異常檢測(cè)系統(tǒng)。

行為基線(xiàn)是2016年黑帽大會(huì)上最熱門(mén)的潮流之一,它是指,安全機(jī)制專(zhuān)注于了解應(yīng)用程序或系統(tǒng)的典型行為,從而識(shí)別異常情況。行為基線(xiàn)的關(guān)鍵是讓設(shè)定基線(xiàn)、持續(xù)監(jiān)控以及檢測(cè)和響應(yīng)盡可能實(shí)現(xiàn)自動(dòng)化。如今,大多數(shù)企業(yè)結(jié)合手動(dòng)勞力和數(shù)據(jù)科學(xué)來(lái)獲得行為基線(xiàn)。然而,由于容器具有瞬時(shí)性,整個(gè)過(guò)程自動(dòng)化顯得尤為重要。

主動(dòng)式響應(yīng)與基線(xiàn)相輔相成。主動(dòng)式反應(yīng)是指一旦檢測(cè)到威脅,如何應(yīng)對(duì)攻擊、泄密或異常情況。響應(yīng)可能有多種不同的形式,比如提醒相關(guān)人員、與企業(yè)故障單系統(tǒng)進(jìn)行聯(lián)系,或者對(duì)系統(tǒng)和應(yīng)用程序采取一些預(yù)先確定的糾正措施。

在容器環(huán)境下,主動(dòng)式響應(yīng)可能意味著執(zhí)行額外的日志,運(yùn)用額外的隔離規(guī)則,動(dòng)態(tài)禁用用戶(hù),甚至積極刪除容器。自動(dòng)化在這里又是關(guān)鍵――執(zhí)行的所有操作不得對(duì)應(yīng)用程序邏輯帶來(lái)負(fù)面影響,比如讓系統(tǒng)處于不一致的狀態(tài),或者干擾非冪等操作。

目前提供這種級(jí)別的運(yùn)行時(shí)威脅檢測(cè)和響應(yīng)的一些產(chǎn)品包括:Aqua Security、Joyent Triton SmartOS、Twistlock和紅帽O(jiān)penShift。隨著越來(lái)越多的關(guān)鍵任務(wù)型應(yīng)用程序遷移到容器,運(yùn)行時(shí)威脅檢測(cè)和響應(yīng)自動(dòng)化對(duì)容器安全而言將越來(lái)越重要。想針對(duì)容器化環(huán)境擴(kuò)展運(yùn)行時(shí)安全體系,唯一的辦法就是能夠關(guān)聯(lián)信息、分析攻陷指標(biāo)、管理取證及響應(yīng)動(dòng)作,而且這一切采用自動(dòng)化方式。

訪(fǎng)問(wèn)控制

Linux內(nèi)核支持在執(zhí)行內(nèi)核調(diào)用之前執(zhí)行策略的安全模塊。兩種最常見(jiàn)的安全模塊就是AppArmor和SELinux,兩者都實(shí)現(xiàn)了所謂的強(qiáng)制訪(fǎng)問(wèn)控制(MAC)。MAC可核查用戶(hù)或進(jìn)程有權(quán)對(duì)某個(gè)對(duì)象(比如文件、套接字或進(jìn)程)執(zhí)行各種操作,比如讀取和寫(xiě)入。訪(fǎng)問(wèn)策略集中定義,而且無(wú)法由用戶(hù)改變。與之形成對(duì)比的則是文件和權(quán)限的標(biāo)準(zhǔn)Unix模式:擁有足夠權(quán)限的用戶(hù)隨時(shí)可以更改,這有時(shí)又叫自由訪(fǎng)問(wèn)控制(DAC)。

SELinux最初由美國(guó)國(guó)家安全局(NSA)開(kāi)發(fā),但現(xiàn)在主要由紅帽開(kāi)發(fā),用在紅帽的發(fā)行版中。雖然使用SELinux確實(shí)另外添加了一道強(qiáng)大的安全層,但用起來(lái)有點(diǎn)難度。一旦啟用SELinux,你會(huì)注意到的頭一件事就是,卷無(wú)法正常工作,需要額外的標(biāo)志來(lái)控制卷的標(biāo)簽。AppArmor很相似,但不如SELinux來(lái)得全面,對(duì)于卷缺乏同樣的控制。默認(rèn)情況下它在Debian和Ubuntu發(fā)行版上已被啟用。

在這兩種情況下,可以制定特殊的策略,以便運(yùn)行特定的容器,比如運(yùn)行Apache或NGINX的Web服務(wù)器策略,允許某些網(wǎng)絡(luò)操作,但是不允許其他各種調(diào)用。理想情況下,所有鏡像都有各自專(zhuān)門(mén)制定的策略,但是制定這類(lèi)策略往往是令人沮喪的過(guò)程,bane等第三方工具有一點(diǎn)幫助。在將來(lái),我們預(yù)計(jì)會(huì)看到與容器如影相隨的集成式安全配置文件,為內(nèi)核調(diào)用、SELinux/AppArmor配置文件和資源需求指定設(shè)置。

進(jìn)一步探討訪(fǎng)問(wèn)控制話(huà)題,有必要指出:有權(quán)運(yùn)行Docker容器的人實(shí)際上擁有該主機(jī)的root權(quán)限――他們可以?huà)燧d和編輯任何文件,或者創(chuàng)建可以拷回到主機(jī)的setuid(一旦執(zhí)行就設(shè)置用戶(hù)ID)二進(jìn)制代碼。在大多數(shù)情況下,這一點(diǎn)完全要注意,但一些企業(yè)希望對(duì)用戶(hù)權(quán)限擁有更細(xì)粒度的控制。為此,企業(yè)可能應(yīng)該考慮使用更高級(jí)的平臺(tái),比如Docker Datacenter和OpenShift,或者是Aqua Security和Twistlock之類(lèi)的工具,添加這類(lèi)控制。

結(jié)論

企業(yè)在實(shí)施基于容器的工作流程或在生產(chǎn)環(huán)境中運(yùn)行容器時(shí),考慮安全至關(guān)重要。安全影響整個(gè)工作流程,需要一開(kāi)始就考慮進(jìn)來(lái)。鏡像起源始于開(kāi)發(fā)人員在筆記本電腦上構(gòu)建、獲取和推送鏡像,然后通過(guò)持續(xù)集成和測(cè)試階段,最后終于容器在生產(chǎn)環(huán)境下運(yùn)行。

容器和黃金鏡像方法帶來(lái)了新的工作方式和新的工具,尤其是鏡像掃描和審查方面。企業(yè)更能夠跟蹤了解生產(chǎn)環(huán)境下運(yùn)行的軟件,而且極容易、極快速地應(yīng)對(duì)安全漏洞。更新后的基本鏡像可以在短短幾分鐘內(nèi)測(cè)試、集成和部署。鏡像簽名證實(shí)了容器的真實(shí)性,確保攻擊者沒(méi)有篡改容器的內(nèi)容。

由于經(jīng)過(guò)驗(yàn)證和簽名的鏡像變得很常見(jiàn),集成式安全配置文件等功能添加以來(lái),未來(lái)會(huì)出現(xiàn)更重要的功能。在今后幾個(gè)月,單單安全優(yōu)點(diǎn)就是企業(yè)向容器遷移的一個(gè)充分理由。

原文標(biāo)題:Assessing the Current State of Container Security 作者:Adrian Mouat

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)