quindi ben venga bene se fai il giusto
decisione per aver scelto questa traccia no
solo perché questo argomento interessante
ma anche perché abbiamo il comodo
le sedie qui penso che mi piacciono molto
questa stanza qui in sessione va bene
tutti parlano di contenitori
e ieri abbiamo avuto un breve oratore
incontro e ho già promesso che io
piace rompere tutto un po ‘
quindi c’è così tanta eccitazione
contenitori che vale davvero la pena di guardare a
un po ‘nei dettagli come in realtà
i nostri contenitori funzionano e questo è quello che è mio
la presentazione è tutto sul mio nome è
ha bisogno di Magnus. Sto lavorando per il tag linux
o linux talk è un po ‘ un hobby e
uno dei fondatori del tag linux
associazioni e ne gestiamo un paio
conferenza Linux e open source
come noi stessi più prevalentemente il
autocarro di linux stesso ma più recentemente noi
deciso di spostare un po ‘il nostro focus
su hosting più piccolo più focalizzato
conferenze e così abbiamo fatto per
esempio l’host del sistema dr cohn a
un paio di settimane fa anche qui a Berlino
abbiamo fatto i cons commit e altri
cose così e come parte di questo
lavoro volontario per il tag linux i
indagare un po ‘nei soggetti
che mi piace davvero e containerizzazione
e
l’ingegneria del sistema è così
anche il mio lavoro e quindi lo preparo
presentazione quindi perché stiamo parlando
sicurezza perché abbiamo bisogno di parlare
sicurezza nel contesto del contenitore
in realtà penso che fosse il cappello rosso sì
la rossa ha commissionato la ricerca a Forrester
condurre un sondaggio sulle misure che
impedire alle aziende di implementare effettivamente
il contenitore continua i modelli di izzazione
nelle loro applicazioni e ottenere il
uso produttivo di hd2 e oltre la metà di
i decisori sono sempre importanti
gruppo di persone aveva preoccupazioni per il
sicurezza del contenitore in realtà e diversi
altri oratori già menzionati qui
è una domanda famosa che quindi la parola è
anche da Red Hat e lui è stato per tanto tempo
tempo il mantenimento del selinux a
quadro chiesto di contenitori in realtà
contengono e che è una delle domande
Mi piacerebbe investigare qui su un singolo
contesto contenitore in questa situazione noi
ha avuto diversi colloqui interessanti come
bene per l’ambiente quelli
i container vivono ma mi sono concentrato principalmente
qui sul solo contenitore ma
come una breve deviazione ho una storia
lezione un quiz sulla storia per te um là
è un proverbio russo non parlo
Molto male russo ma lo traduce o
legge dovrei no tutto bene
qualcuno ha sentito parlare di questo già o
sono felice di chi sia stato in realtà
affermare che così uno di quelli era questo ragazzo
questo è pendente e intra come un
fatto interessante anche questo ragazzo ha usato questo
un paio di volte anche il signor Ronald
Reagan Presidente degli Stati Uniti presso
quella volta e in realtà il proverbio
Mi sono tradotto in trust ma verifica e
questo è un motto per questo
parlare così tante persone hanno dei sospetti
su una sicurezza del contenitore che
ha davvero senso controllare cosa possiamo
fiducia e cosa non così tante persone
mi ha avvicinato e mi ha chiesto di suonare bene
con docker e sei indagato a
un po ‘è davvero sicuro vedere
questa è una domanda molto complessa perché
l’infermiera sicura di qualcosa il
la sicurezza di qualcosa dipende dal
obiettivi di sicurezza attuali cosa sei
cercare e tenerlo sempre presente
se distribuisci un qualche tipo di contenitore di
virtualizzazione nei tuoi ambienti
molto probabilmente l’uso di qualcosa di simile
un contenitore rende la tua applicazione a
almeno leggermente più sicuro rispetto a
non usare un’applicazione contenitore a
almeno se si confronta lo stesso
ambiente quindi è importante trovarlo
fuori ciò che effettivamente sono pianificati
proteggere il software da che tipo di
Profilo TECA
hai in mente e come stai
in realtà cerchiamo di impedire che ci attacchino
da quello che cerchi di impedire così tanto
il momento in cui la funzione di sicurezza è quella
Gli strumenti docker sono l’isolamento
da un servizio all’altro e come
bene al cavallo ma se l’isolamento
è da un contenitore all’host
rotto ovviamente l’isolamento di tutti
vicino ad un container c’è una breccia
così la maggior parte dei ricercatori di sicurezza che
concentrarsi sul tentativo di uscire dal
docker ambiente la prigione docker a
mostra se questo isolamento può essere violato
in un modo o nell’altro o per dimostrare
che questo non è possibile a Dhaka stesso
fatto una dichiarazione importante hanno detto
Dhaka protegge dall’errore ma non
abuso che in realtà significa che è un
caratteristica molto bella per strutturare il tuo
implementazioni e struttura del tuo
le applicazioni stesse quindi abbiamo avuto un sacco
di parlare di microservices essere il
implementazioni più predominanti di
quelli separati separati e tritati
giù i servizi sono davvero utili ma
non sono la prima sicurezza
caratteristica per isolarli l’uno dall’altro
bene ho già menzionato i contenitori
non contenere una dichiarazione di den wat
in realtà abbastanza divertente ha detto che
prima di trasferirsi da una rossa ad alcuni
altra società che promuove in particolare
l’intera containerizzazione della testarossa
i prodotti che penso sia stato chiamato
home shift e tutti questi ecosistemi e
ora lavora davvero per creare contenitori
più sicuro anche implementando un po ‘
un po ‘del vecchio ufficio o del vecchio progetto
selinux e cose del genere così solo per
darti un’idea approssimativa in quale contesto
quelle citazioni vanno bene se proviamo a farlo
caratterizzano le caratteristiche di isolamento di
ambienti ha senso guardare a
un paio di proprietà che tipo di
risorse fanno sistemi e i nostri
gli ambienti effettivamente condividono cosa a cosa
questo tipo di scenari di attacco è questo
che tipo di controlli di sicurezza sono
di solito in atto per impedire quelli
attacchi in aree e quanto sia complesso questo
tipo di mitigazione o prevenzione
fammi iniziare o questo è interessante così
questo è in tedesco, spero di pensare a
altro lascia che ti mostri tutto questo a
una volta così hai l’inglese corretto
traduzione anche se hai un
host fisico che di solito condividi almeno
la rete o forse anche lo spazio di archiviazione o
qualcosa del genere e attaccare quello
devi attaccare l’host stesso
porte e servizi in esecuzione su questo host
quindi se sei in Attica di solito usi
una rete esegue la scansione di una scansione di vulnerabilità o
qualcosa del genere o alcuni script tu
portato te stesso e per impedirlo
di solito usa un filtro porta che usi
firewall!
segmenta le tue reti e questo è
tipo di facile è almeno un migliore
le pratiche si avvicinano a quelle classiche
operazioni persone o operazioni di rete
la gente ha imparato ed esercita per una coppia
di anni se gestisci i tuoi servizi all’interno
macchine virtuali che condividi lo stesso host
hardware abbiamo diversi supporto da
dall’hardware stesso incorporato in
un paio di CPU pure e se tu
in realtà vuole attaccare questo scenario
devi attaccare l’hypervisor e come
abbiamo imparato dalla presentazione precedente
l’attacco l’hypervisor stesso
si compone di un paio di dieci
migliaia di righe di codice, quindi questo è
ancora molto ma questo è una specie di a
quantità gestibile di codice almeno per
per squadra qualificata quindi la sicurezza
controlli per mantenere l’isolamento su un VM
il livello sta effettivamente avendo un buon risultato
hypervisor su hypervisor come
ambiente che è ancora un po ‘
scienza missilistica, ma ha un più o meno
superficie d’attacco definita e puoi
gestiscilo da un punto centralizzato così
se si tratta di container, non condividiamo
solo la stessa rete non solo la stessa
hardware che vale anche ma anche noi
condividi il kernel di Linux stesso così tutto
i contenitori hanno lo stesso colore e se tu
effettivamente ottenere e ottenere l’accesso al
colonnello più interiore ha il voto
limitazioni quindi possiedi l’intero host
e da quello che possiedi tutti i contenitori
corri su quell’host
e forse anche di più ci sono abbastanza
credenziali o cose del genere coinvolte
quindi lo scenario del testo è dentro il
angolo e ci sono diversi modi per
in realtà lo faccio e impariamo a a
un paio di loro in un minuto e il
i controlli di sicurezza devono essere implementati
all’interno del contenitore gestisci o in
funzionalità di sicurezza aggiuntive come a
salina delle capacità e altro
caratteristiche di sicurezza che tipico contenitore
soluzioni di sicurezza come docker o razzo
o qualsiasi cosa in realtà abbiamo un sacco di
quelle caratteristiche di mitigazione implementate in
esistenza di nella virtualizzazione del contenitore
software ma ancora sono molto difficili
a causa di tutta la grande tecnologia
superficie così così data questa panoramica I
preparato quattro tipi di attacchi o minacce
tipi che si applicano al container
ambiente e la prima nostra tecnologia
attacca così avvicinandosi davvero
tecnologia che i contenitori sono costruiti
quando c’è l’architettura lo tengo
Insomma perché ne avevamo diversi altri
presentazioni incentrate su questo argomento
così come sono le fonti che puoi
in realtà fiducia e uno dei più importanti
le minacce a quegli ambienti sono le
gli utenti stessi perché abbiamo un
un paio di caratteristiche di sicurezza che possono essere
spento e di solito sono gli utenti
chi spegne quella funzione di sicurezza I
torna più tardi
quindi Fred numero uno è l’attacco complesso
superficie pensa bene penso in a
un paio di giorni quello che fa parte
l’episodio 7 o qualcosa di Star Wars
al cinema e probabilmente ti ricordi
un episodio di Star Wars per la grande def
star e Luke Skywalker lo sono davvero
facendo esplodere questo complesso pezzo di
questo in questo caso il nostro hardware ma penso
sulla superficie di attacco molto complessa
con tutti quei dettagli e questo vale
un po ‘ anche per contenere a
virtualizzazione perché la superficie di
le stelle sordi in questo caso la superficie
del kernel di Linux e ci sono a
un paio di misure preventive che
implementa Linux ne conta uno
sono le cosiddette capacità I
non so con chi abbia familiarità
funzionalità si può alzare una mano va bene
quindi non probabilmente non tutti, ma penso
la maggior parte di voi ha sentito parlare dei diritti di root
quindi il superutente in Linux o UNIX
il sistema è in grado di accedere a tutti i file
accesso o dispositivi accedono a tutto
Wallace e per un paio d’anni giusto
ora gli sviluppatori del kernel di Linux
ha introdotto qualcosa chiamato Linux
capacità di acquistare quelle radici
i diritti in una serie di circa bene penso
ci sono 30 35 o 36 capacità a
il momento che puoi assegnare a un utente
e puoi ritirarti da un utente e
per esempio e nella prima parte del mio
del mio slide ti ho mostrato l’output di
le capacità di un utente root tipico
vedere questo a causa del segno di hash sul
primo comando ho recuperato il
capacità del processo attuale questo
è il simbolo del dollaro e ci sono
molte capacità diverse e dopo
si lancia un container docker come ho fatto io
qui avanti al secondo comando dr. corro
tu12 Ho appena iniziato una festa in un panino
per immagine contenitore e dopo questo noi
abbiamo molto meno capacità
di quello che avevano prima e questo ha fatto il
doc un demone che ha ritirato quelli
funzionalità dal contenitore
stesso perché non è davvero necessario
in generale per avere quelli dentro il
contenitore e se li avessi li potresti
tipo di ripristinare la situazione sul
ospitare anche perché effettivamente girare
il contenitore che devi configurare a
un paio di altre funzionalità come gli spazi dei nomi
che arriva anche a quello in un minuto
e vedere i gruppi si applica pure e se
avevi tutte quelle capacità che potevi
facilmente ripristinare quelle misure, ma lì
sono ancora un paio di problemi con
capacità ci sono un gran numero di
usa i casi che tu
che in realtà devono coprire così
accesso ai dispositivi per accedere a
interfacce di rete accesso a specifici
funzionalità specifiche del dispositivo e così via
e così via e sono solo circa 40
capacità disponibili e loro
la semantica purtroppo non è molto buona
definito così per esempio c’è un
capacità chiamata capsis p acct e quello
ha più di 30 diversi casi d’uso quindi
se non hai questa capacità tu
non è possibile sincronizzare con il dispositivo casuale
per esempio e riavviare il lato laterale
sarà un generatore di numeri ad esempio così
hai bisogno di questa capacità per farlo ma
allo stesso tempo hai bisogno dello stesso
possibilità di accendere dma in XD
guidare non ho idea di cosa l’unità HD
in realtà è ma non suona davvero
molto legato al dispositivo casuale
gestione ad esempio, quindi penso che noi
davvero bisogno che gli sviluppatori di Linux
migliorare un po ‘su una capacità
schema e fornire un po ‘di più
semantica chiara e più a grana fine
implementazione di tutta la faccenda
la maggior parte della superficie di attacco principale è il SIS
si chiama il numero di questo è
chiamato nel kernel di Linux è rapidamente
crescendo quando ero di nuovo nelle università
abbiamo imparato che ci sono in un tipico
Sistemi UNIX abbiamo qualcosa come 100
watt 156 quad come il fuoco aperto leggere e
scrivi vicino da quel sistema operativo
primitivi e
giorni o l’ultima volta che ho controllato che avevamo
quasi per centinaia di loro così circa
quindi tre volte il numero delle sue chiamate
abbiamo avuto bene 10-15 anni fa e ciascuno
il nucleo è in realtà un potenziale attacco
vector nell’angolo perché la sis
i codici sono l’API per l’angolo di Linux
e se c’è un solo piccolo bug
da qualche parte dietro uno di quei quattro
cento porte puoi esplorare il tutto
isolamento quindi effettivamente Wow oggi lo è
più di un anno fa penso che fosse in
Sì, nel giugno 2014, sebastian karma da
il progetto generale ha rilasciato un exploit
codice chiamato shocker che lo ha abilitato
per sfuggire alla versione precedente di Dhaka 0 punti
11 versione era il pre-predecessore di
versione 1 punto 0 quindi oggi siamo a uno
punto 9 e in questo caso mentre dhaka
crea un nuovo interruttore di contesto del file system
virtualizza o isola una parte del
file system e attaccando quei tumuli
montando è la misura che è
impiegato nell’angolo per mappare parte
del file system all’interno di questo contenitore
può essere armeggiato con l’apertura dalla maniglia
un punteggio di trama che non ho mai sentito di questo
specifico per segnare prima e anche
implementa un tipo piuttosto specifico di
usa il caso e hai bisogno anche di uno specifico
possibilità il cap deck sopra a destra
per quello che ha preso una testa in quel momento
e tutti quegli ingredienti messi insieme
sei stato in grado di avviare un programma
all’interno del contenitore devi compilare
o scaricarlo da qualche esterno
posizione e quel programma ha dovuto chiamare
quelli la aprono a mano a mano libera sulla Terra
core e poi si è impadronito di uno specifico
struttura del file system e allegato a
questa è la struttura del file system
l’ albero degli inode e poi potresti
ferito rovescio questo albero e si potrebbe
anche invertire questo albero di inode sul
host perché in questa parte non era così
isolato dai namespace e quindi da te
potrebbe per esempio accedere a et Cie
file shadow dei buchi o di qualsiasi altro
file su un 5 di contenere chiavi segrete o
credenziali per accedere al tubo per
manutenzione o cose del genere ma questo
è molto specifico e piuttosto complesso
attacco ma mostra lo schema generale
non è un singolo retro che è esploso
qui ma il
ben composta di diversi piccoli
debolezze di tutti insieme ma come
funziona davvero la separazione il
isolamento significa se stesso quelli sono
implementato dal namespace cosiddetto
spazi dei nomi sono utilizzati all’interno del
Il kernel Linux per virtualizzare è importante
risorse di sistema in particolare cose come
ID utente di interfacce di rete ID di processo
e il nome host il momento, ad esempio
beh, in realtà è piuttosto semplice
meccanismo nell’angolo di solito come
bene nel vecchio modo che avevamo un globale
variabile all’interno del kernel di Linux
indicato per un elenco collegato per esempio di
i dispositivi di rete e gli spazi dei nomi
abbiamo una sorta di proxy di fronte a questo
struttura globale praticamente taglia
virtualizzare per tali elenchi collegati
spazi dei nomi diversi che puoi creare nuovi
namespace e in realtà questo è ciò che il
contenitore docker fa per te in realtà
se vuoi davvero farlo come un
esercizio per cui proviamo a farlo
scopi di test è effettivamente possibile
per implementare bene dire qualcosa del genere
l’ottanta percento della finestra mobile
funzionalità con dire 100 line shell
scrivi te stesso perché ci sono
utilità della riga di comando che creano nuove
spazi dei nomi, ad esempio per associare il montaggio
file system specifico in un luogo specifico
all’interno di un tale spazio dei nomi o qualcosa del genere
come quello
sì, questo è il motivo per cui tutti i pass di accesso
all’interno della corona deve essere esaminato
e bene questo è un sacco di lavoro e io se
senti un esempio molto semplice per
esempio il comando hostname che
in realtà imposta o recupera il nome host
causare un Cisco che si chiama il tuo nome
e poi entra nello spazio del kernel
e attraversa un paio di funzioni
e nel vecchio loro ho delle indicazioni
e dove fammi controllare, sì, sì, sì
okay, dobbiamo riempire questa struttura
qui e questa è la vecchia funzione e
questa è l’implementazione e bene e
ciò che è in realtà nuovo è questo spazio dei nomi
proxy che viene posto prima del
precedentemente nome UTS variabile globale
qualcosa del genere e bene questo non lo è
molto codice e questo non è così complicato
per capire ma devi effettivamente
cambia l’intero kernel di tutti in tutti
eccesso a quelle istanze globali di entrambi
variabili globali per isolare effettivamente tutto
i servizi e che è anche il motivo per cui lui
ha impiegato piuttosto tempo per implementarlo
implementare quello che abbiamo visto in qualche altro
presentazioni una timeline quindi l’openvz
che è tecnica tecnologicamente a
tipo di un predecessore del
un medico e la virtualizzazione e il
la roba dei namespace che vediamo qui è iniziata
2001 e il progetto low 20 è iniziato
nel 2001 penso che openvz sia iniziato
2005 o qualcosa del genere, quindi ci sono voluti
Da 10 a 15 anni per implementare effettivamente
questo e questo è ancora un lavoro dentro
progresso okay sì questa è l’app questo
è il secondo percorso in eccesso che anche
accede al nome non attraverso il
interfaccia a riga di comando e il cisco ma
anche accedendo alle stesse informazioni
attraverso il file system proc solo per
mostrarti che è importante
utilizzare la stessa interfaccia in questo caso noi
avere anche un legame e altri supporti
importo ci sono un paio di servizi
montato tramite file system virtuale e tutto
di loro implementano anche la via all’interno del
angolo e fornire alcune informazioni
può o non può essere vulnerabile quindi tutto
quei tumuli devono essere protetti come
bene, allora abbiamo i gruppi C e il
i gruppi marini sono un mezzo per limitare
risorse in modo che un contenitore non possa
mangiare tutta la parola CPU o rete
larghezza di banda o risorse di risorse di memoria
da un contenitore
puoi limitare il consumo di
quelle risorse un po ‘in sicurezza
termini che si applicano principalmente a fare s
scenari se sono fattibili nel tuo
nel tuo contesto, puoi limitarli
risorse in modo da poterlo assicurare
il servizio può effettivamente funzionare, ho saltato
ok bene c’è l’ architettura
problemi anche così uno dei problemi che
farsi spesso sollevare è il demone daka
di per sé il demone daka è un permanente
processo in esecuzione quindi riposare API sul
dhaka host e gli strumenti della riga di comando
che di solito usi le operazioni di docker
qualunque cosa emetta effettivamente una chiamata API
contro questo demone docker e il Dhaka
demon spins inizia un nuovo processo e
applica le capacità di cgroup di namespace
e tutte le altre cose a questo demone
aggiungere a questo nuovo processo risultante in a
nuovo contenitore e quelli di questo demone
di solito stai correndo su un socket su a
unix il socket principale di default oggi
hanno iniziato a esporre il socket a
la rete ma ha il comportamento predefinito
cambiato nel frattempo ma tu hai
ancora per riattivarlo se ne fai funzionare qualcuno
tipo di framework di orchestrazione come KU
Benitez o qualunque cosa tu stia correndo
orchestrare o il tuo ospite e e
Rayna è perché devi iniziare e
accedere ai demoni e in qualche modo
è molto importante per proteggerli
connettori con SSL e TLS e
in particolare il nuovo progetto di razzo
ha affrontato diversi di questi problemi
include tutte le comunicazioni e
implementato anche alcuni modi di
assegnando immagini e cose e ne ha fatto un po ‘
dei problemi che ho affrontato alcuni di
i problemi che Daka la prima volta
posticipata ma sono ancora una specie di a
gara testa a testa tra questi due
progetti pure e razzo al mio
l’opinione è ancora in una fase iniziale e
il mondo può progredire un progetto ma
controllare frequentemente ciò che è il
situazione attuale bene ho saltato molto
rapidamente su questo scivolo perché noi
sentito parlare di questo più in dettaglio già
l’architettura dell’applicazione la maggior parte del
il tempo non è un singolo contenitore che siamo
parlando di un’applicazione complessa
paesaggio di diversi contenitori che
dobbiamo essere orchestrati e bene abbiamo bisogno
un paio di proprietà in là essere
in grado di scalare per implementare in alto
disponibilità a fare il bilanciamento del carico a
attuare l’apolidia e e
separa tutti quei pochi G ti penso
sentito parlare di questo già
ma sono ancora la nostra sicurezza
la difesa dell’architettura in profondità è molto
modello importante da attuare in questo
contesto che in realtà significa non mettere
tutto ciò che è ciò che è l’inglese
medio per non mettere tutte le uova
in un singolo paniere non si affida a a
misura unica per proteggere il tuo
applicazione e soprattutto in una protezione
i tuoi dati utilizzano il contenitore implementato
isolamento ma anche fare affidamento su diversi
misure come i firewall che segmentano
le tue zone di sicurezza, ad esempio
o per cifrare molto la tua Vela
dati variabili quando li si archivia nel
oggetti memorizza quando i database o
qualunque sia la buona pratica da mettere
applicazioni senior in un singolo
contenitore I che disegni non perdere
tutto il tuo ambiente da una breccia in
un singolo componente e un ultimo consiglio è
in generale non è necessario
Effettivamente accedere alle singole istanze
dei tuoi contenitori a causa di
il pad contro il bollitore è un modello
molto meglio fare per smaltire il tuo
contenitori specifici e farne una nuova
uno poi cercando di accedere a questo sistema
e prova a riparare qualcosa così tienilo
anche in mente quando costruisci il tuo
architettura di sicurezza quindi c’è questo
è l’ultima luce dell’architettura a
filo allora
sicurezza di rete devi saperlo
nella configurazione predefinita tutti i contenitori
condividere un ponte comune quindi un ponte è un
virtuale bene tipo di un interruttore virtuale
apparecchio che è installato all’interno del
Kernel Linux quindi ho un punto qui dentro così
questo è questi sono i confini del
l’angolo di Linux quello blu chiaro
c’è l’host che corre dentro questa scatola
e questo è il VirtualBox virtuale
ponte e tutti i nuovi contenitori sono
collegato / predefinito a questo specifico
ponte e se vuoi fare qualcosa
più complesso alcuni di separazione della rete voi
devi farlo a mano o dal tuo come
la fine del fallimento è la fine
la configurazione può essere fatta ma questa
non è il default, tenetelo a mente così
questo significa specificamente che per esempio
il container numero 2 può facilmente accedere
contenitore numero 4 sulla rete e
ricorda anche che se ne usi un po ‘
tipo di strutture di orchestrazione come
quando è o l’HDD o qualsiasi altra cosa
criptalo per applicarlo come ltl come
crittografia e anche un qualche tipo di
autorizzazione e autenticazione
specialmente così c’è anche la minaccia di
fonti non attendibili abbiamo immagini da eseguire
e come è il caso con tutti i tipi di
il software è importante sapere come
fidati o se fidarti delle tue fonti
le immagini sono molto convenienti per l’utente
interfaccia a
le immagini in eccesso sono molto comode sul
sul dock il nostro set di strumenti è molto semplice
scarica un nuovo esempio che dico readies
e usalo ma il problema sta parlando
di database come Redis ne hai diversi
opzioni per scaricare quelle immagini e te
mai sapere esattamente chi ha costruito questo
immagine e chi suona effettivamente alcuni
anche il malware, quindi assicurati
che sai davvero che tipo di
il software che stai utilizzando è ovviamente
si applica a tutti i tipi di software
repository alle librerie e al pacchetto
anche i repository, ma penso che lo sia
Doppio importante in questo contesto
così come una delle soluzioni a questo
dilemma e come aumentare effettivamente il
quantità di fiducia perché non costruirti la tua
immagini Dhaka viene con un molto facile
descrizione delle immagini del cosiddetto dr.
Phibes funziona come una specie di shell
script e specificano come è l’immagine
costruito e questo non è così difficile
così e pure non è così difficile da
configurare un server di repository sul tuo
possedere per il proprio ambiente e così tu
potrebbe combinare questo con il controllo della versione
e integrare tutto questo nel tuo CI
pipeline in modo da creare le tue immagini
basato sulle tue immagini di base e sul tuo negozio
nel tuo repository di immagini e accesso
solo questo tipo di registro è importante
il passaggio è solo per ricordare di non mettere
le credenziali stesse all’interno dei contenitori
perché non sai mai dove sono quelli
i contenitori in realtà finiscono e in realtà
un contenitore non è molto più di allora a
grande fuoco di catrame e decomposizione che e
ispezionare ciò non è veramente difficile
l’ultimo modello di minaccia è in particolare il
disattivando le funzionalità di sicurezza di
implementato dagli utenti, per esempio
c’è un interruttore della riga di comando molto semplice
sul dock una riga di comando, quindi se si utilizza
il medico esegue il comando con il segno meno
il meno privilegio è uguale alla maggior parte del
le caratteristiche di sicurezza che ho appena presentato sono
spento e tu
facilmente possibile accedere all’ambiente host
anche in questo caso i contenitori non sono piccoli
i desktop non lo fanno davvero
senso per provare a implementare tutto
che fai sul tuo sistema desktop
avere tutte queste caratteristiche dentro a
contenitore così le persone mi chiedono per esempio
come posso davvero iniziare graficamente a te
occhi o qualcosa dentro da dentro a
contenitore bene per fare questo hai bisogno di alcuni
accesso all’hardware grafico per
esempio e bene puoi inoltrare l’accesso
a un processo all’interno di un contenitore che è
possibile ma con questo mezzo si apre
un altro canale molto ampio all’interno del
corona e così via e così via questo non è un
buon modello per fare sì bene e anche
tenere presente che i contenitori sono pensati
rimanere piccoli e non provare a
implementare tutte le funzionalità che conosci
una distro linux classica dentro a
contenitore e perché di più
componenti che hai eseguito all’interno del
contenitore rende ancora più complesso
mantenere tutti quei componenti sicuri e
sicuro sì per concludere tutto in quattro facile
memorizzare le frasi per fatti essenziali
e consigli dhaka è una buona e conveniente
pezzo di software ha un sacco di
misure di sicurezza già integrate e
stanno davvero migliorando costantemente
quindi è davvero divertente vedere il
progetto per progredire e al momento io
consiglio persino di usarlo anche in a
ambiente di produzione che è possibile
se ti prendi cura di molti
nomina che ho menzionato in questo
presentazioni contro i contenitori
errore non abuso che lo riassume
molto bene a mio parere questo è il
un consiglio che dà il dhaka stesso
tutti noi non mettiamo tutte le uova in una
carrello se si implementano i microservizi
questa è un’implementazione di questo
modello e non fare mai affidamento su quelle fonti
non ti fidi o non hai costi
controllati così in fondo che è così
se hai altre domande
sulla sicurezza dei container chiedi loro ora o
solo in me una e-mail o vota il
presentazione sul fresco andare a terra come
qualcuno in realtà lo ha scaricato sì ok a
alcuni di loro ok penso che dovresti usare
la faccina verde qui almeno per
questo blog ok grazie mille per
la tua attenzione ci sono delle domande
Dookie eccone uno che devo correre
un cliente non fidato ha chiamato i nostri dati
centro attualmente utilizziamo server virtuali
e canzoni demonizzate per proteggere i nostri
servizi considereresti in sostituzione
questo con contenitori e forse non male
idea perché la tecnologia è saggia cosa era
che tipo di tecnologia doveva aprire?
visitare era un server virtuale o virtuale
server in generale, ben dhaka è una specie di
una reimplementazione dei concetti di
server virtuali alla fine dovresti
devi riconsiderare se questo è un bene
idea in tutto il contesto perché la maggior parte
dei concetti di rottura di a
contenitore docker si applica anche alla rottura
fuori da altri tipi di contenitori
virtualizzazione quindi se c’è effettivamente
i dati coinvolti sono molto preziosi o
molto sensibile potrebbe essere un’idea migliore
per ospitare questo in almeno in un virtuale
fai più domande alla macchina quindi non sono loro
grazie ancora per la partecipazione e il divertimento
la conferenza
decisione per aver scelto questa traccia no
solo perché questo argomento interessante
ma anche perché abbiamo il comodo
le sedie qui penso che mi piacciono molto
questa stanza qui in sessione va bene
tutti parlano di contenitori
e ieri abbiamo avuto un breve oratore
incontro e ho già promesso che io
piace rompere tutto un po ‘
quindi c’è così tanta eccitazione
contenitori che vale davvero la pena di guardare a
un po ‘nei dettagli come in realtà
i nostri contenitori funzionano e questo è quello che è mio
la presentazione è tutto sul mio nome è
ha bisogno di Magnus. Sto lavorando per il tag linux
o linux talk è un po ‘ un hobby e
uno dei fondatori del tag linux
associazioni e ne gestiamo un paio
conferenza Linux e open source
come noi stessi più prevalentemente il
autocarro di linux stesso ma più recentemente noi
deciso di spostare un po ‘il nostro focus
su hosting più piccolo più focalizzato
conferenze e così abbiamo fatto per
esempio l’host del sistema dr cohn a
un paio di settimane fa anche qui a Berlino
abbiamo fatto i cons commit e altri
cose così e come parte di questo
lavoro volontario per il tag linux i
indagare un po ‘nei soggetti
che mi piace davvero e containerizzazione
e
l’ingegneria del sistema è così
anche il mio lavoro e quindi lo preparo
presentazione quindi perché stiamo parlando
sicurezza perché abbiamo bisogno di parlare
sicurezza nel contesto del contenitore
in realtà penso che fosse il cappello rosso sì
la rossa ha commissionato la ricerca a Forrester
condurre un sondaggio sulle misure che
impedire alle aziende di implementare effettivamente
il contenitore continua i modelli di izzazione
nelle loro applicazioni e ottenere il
uso produttivo di hd2 e oltre la metà di
i decisori sono sempre importanti
gruppo di persone aveva preoccupazioni per il
sicurezza del contenitore in realtà e diversi
altri oratori già menzionati qui
è una domanda famosa che quindi la parola è
anche da Red Hat e lui è stato per tanto tempo
tempo il mantenimento del selinux a
quadro chiesto di contenitori in realtà
contengono e che è una delle domande
Mi piacerebbe investigare qui su un singolo
contesto contenitore in questa situazione noi
ha avuto diversi colloqui interessanti come
bene per l’ambiente quelli
i container vivono ma mi sono concentrato principalmente
qui sul solo contenitore ma
come una breve deviazione ho una storia
lezione un quiz sulla storia per te um là
è un proverbio russo non parlo
Molto male russo ma lo traduce o
legge dovrei no tutto bene
qualcuno ha sentito parlare di questo già o
sono felice di chi sia stato in realtà
affermare che così uno di quelli era questo ragazzo
questo è pendente e intra come un
fatto interessante anche questo ragazzo ha usato questo
un paio di volte anche il signor Ronald
Reagan Presidente degli Stati Uniti presso
quella volta e in realtà il proverbio
Mi sono tradotto in trust ma verifica e
questo è un motto per questo
parlare così tante persone hanno dei sospetti
su una sicurezza del contenitore che
ha davvero senso controllare cosa possiamo
fiducia e cosa non così tante persone
mi ha avvicinato e mi ha chiesto di suonare bene
con docker e sei indagato a
un po ‘è davvero sicuro vedere
questa è una domanda molto complessa perché
l’infermiera sicura di qualcosa il
la sicurezza di qualcosa dipende dal
obiettivi di sicurezza attuali cosa sei
cercare e tenerlo sempre presente
se distribuisci un qualche tipo di contenitore di
virtualizzazione nei tuoi ambienti
molto probabilmente l’uso di qualcosa di simile
un contenitore rende la tua applicazione a
almeno leggermente più sicuro rispetto a
non usare un’applicazione contenitore a
almeno se si confronta lo stesso
ambiente quindi è importante trovarlo
fuori ciò che effettivamente sono pianificati
proteggere il software da che tipo di
Profilo TECA
hai in mente e come stai
in realtà cerchiamo di impedire che ci attacchino
da quello che cerchi di impedire così tanto
il momento in cui la funzione di sicurezza è quella
Gli strumenti docker sono l’isolamento
da un servizio all’altro e come
bene al cavallo ma se l’isolamento
è da un contenitore all’host
rotto ovviamente l’isolamento di tutti
vicino ad un container c’è una breccia
così la maggior parte dei ricercatori di sicurezza che
concentrarsi sul tentativo di uscire dal
docker ambiente la prigione docker a
mostra se questo isolamento può essere violato
in un modo o nell’altro o per dimostrare
che questo non è possibile a Dhaka stesso
fatto una dichiarazione importante hanno detto
Dhaka protegge dall’errore ma non
abuso che in realtà significa che è un
caratteristica molto bella per strutturare il tuo
implementazioni e struttura del tuo
le applicazioni stesse quindi abbiamo avuto un sacco
di parlare di microservices essere il
implementazioni più predominanti di
quelli separati separati e tritati
giù i servizi sono davvero utili ma
non sono la prima sicurezza
caratteristica per isolarli l’uno dall’altro
bene ho già menzionato i contenitori
non contenere una dichiarazione di den wat
in realtà abbastanza divertente ha detto che
prima di trasferirsi da una rossa ad alcuni
altra società che promuove in particolare
l’intera containerizzazione della testarossa
i prodotti che penso sia stato chiamato
home shift e tutti questi ecosistemi e
ora lavora davvero per creare contenitori
più sicuro anche implementando un po ‘
un po ‘del vecchio ufficio o del vecchio progetto
selinux e cose del genere così solo per
darti un’idea approssimativa in quale contesto
quelle citazioni vanno bene se proviamo a farlo
caratterizzano le caratteristiche di isolamento di
ambienti ha senso guardare a
un paio di proprietà che tipo di
risorse fanno sistemi e i nostri
gli ambienti effettivamente condividono cosa a cosa
questo tipo di scenari di attacco è questo
che tipo di controlli di sicurezza sono
di solito in atto per impedire quelli
attacchi in aree e quanto sia complesso questo
tipo di mitigazione o prevenzione
fammi iniziare o questo è interessante così
questo è in tedesco, spero di pensare a
altro lascia che ti mostri tutto questo a
una volta così hai l’inglese corretto
traduzione anche se hai un
host fisico che di solito condividi almeno
la rete o forse anche lo spazio di archiviazione o
qualcosa del genere e attaccare quello
devi attaccare l’host stesso
porte e servizi in esecuzione su questo host
quindi se sei in Attica di solito usi
una rete esegue la scansione di una scansione di vulnerabilità o
qualcosa del genere o alcuni script tu
portato te stesso e per impedirlo
di solito usa un filtro porta che usi
firewall!
segmenta le tue reti e questo è
tipo di facile è almeno un migliore
le pratiche si avvicinano a quelle classiche
operazioni persone o operazioni di rete
la gente ha imparato ed esercita per una coppia
di anni se gestisci i tuoi servizi all’interno
macchine virtuali che condividi lo stesso host
hardware abbiamo diversi supporto da
dall’hardware stesso incorporato in
un paio di CPU pure e se tu
in realtà vuole attaccare questo scenario
devi attaccare l’hypervisor e come
abbiamo imparato dalla presentazione precedente
l’attacco l’hypervisor stesso
si compone di un paio di dieci
migliaia di righe di codice, quindi questo è
ancora molto ma questo è una specie di a
quantità gestibile di codice almeno per
per squadra qualificata quindi la sicurezza
controlli per mantenere l’isolamento su un VM
il livello sta effettivamente avendo un buon risultato
hypervisor su hypervisor come
ambiente che è ancora un po ‘
scienza missilistica, ma ha un più o meno
superficie d’attacco definita e puoi
gestiscilo da un punto centralizzato così
se si tratta di container, non condividiamo
solo la stessa rete non solo la stessa
hardware che vale anche ma anche noi
condividi il kernel di Linux stesso così tutto
i contenitori hanno lo stesso colore e se tu
effettivamente ottenere e ottenere l’accesso al
colonnello più interiore ha il voto
limitazioni quindi possiedi l’intero host
e da quello che possiedi tutti i contenitori
corri su quell’host
e forse anche di più ci sono abbastanza
credenziali o cose del genere coinvolte
quindi lo scenario del testo è dentro il
angolo e ci sono diversi modi per
in realtà lo faccio e impariamo a a
un paio di loro in un minuto e il
i controlli di sicurezza devono essere implementati
all’interno del contenitore gestisci o in
funzionalità di sicurezza aggiuntive come a
salina delle capacità e altro
caratteristiche di sicurezza che tipico contenitore
soluzioni di sicurezza come docker o razzo
o qualsiasi cosa in realtà abbiamo un sacco di
quelle caratteristiche di mitigazione implementate in
esistenza di nella virtualizzazione del contenitore
software ma ancora sono molto difficili
a causa di tutta la grande tecnologia
superficie così così data questa panoramica I
preparato quattro tipi di attacchi o minacce
tipi che si applicano al container
ambiente e la prima nostra tecnologia
attacca così avvicinandosi davvero
tecnologia che i contenitori sono costruiti
quando c’è l’architettura lo tengo
Insomma perché ne avevamo diversi altri
presentazioni incentrate su questo argomento
così come sono le fonti che puoi
in realtà fiducia e uno dei più importanti
le minacce a quegli ambienti sono le
gli utenti stessi perché abbiamo un
un paio di caratteristiche di sicurezza che possono essere
spento e di solito sono gli utenti
chi spegne quella funzione di sicurezza I
torna più tardi
quindi Fred numero uno è l’attacco complesso
superficie pensa bene penso in a
un paio di giorni quello che fa parte
l’episodio 7 o qualcosa di Star Wars
al cinema e probabilmente ti ricordi
un episodio di Star Wars per la grande def
star e Luke Skywalker lo sono davvero
facendo esplodere questo complesso pezzo di
questo in questo caso il nostro hardware ma penso
sulla superficie di attacco molto complessa
con tutti quei dettagli e questo vale
un po ‘ anche per contenere a
virtualizzazione perché la superficie di
le stelle sordi in questo caso la superficie
del kernel di Linux e ci sono a
un paio di misure preventive che
implementa Linux ne conta uno
sono le cosiddette capacità I
non so con chi abbia familiarità
funzionalità si può alzare una mano va bene
quindi non probabilmente non tutti, ma penso
la maggior parte di voi ha sentito parlare dei diritti di root
quindi il superutente in Linux o UNIX
il sistema è in grado di accedere a tutti i file
accesso o dispositivi accedono a tutto
Wallace e per un paio d’anni giusto
ora gli sviluppatori del kernel di Linux
ha introdotto qualcosa chiamato Linux
capacità di acquistare quelle radici
i diritti in una serie di circa bene penso
ci sono 30 35 o 36 capacità a
il momento che puoi assegnare a un utente
e puoi ritirarti da un utente e
per esempio e nella prima parte del mio
del mio slide ti ho mostrato l’output di
le capacità di un utente root tipico
vedere questo a causa del segno di hash sul
primo comando ho recuperato il
capacità del processo attuale questo
è il simbolo del dollaro e ci sono
molte capacità diverse e dopo
si lancia un container docker come ho fatto io
qui avanti al secondo comando dr. corro
tu12 Ho appena iniziato una festa in un panino
per immagine contenitore e dopo questo noi
abbiamo molto meno capacità
di quello che avevano prima e questo ha fatto il
doc un demone che ha ritirato quelli
funzionalità dal contenitore
stesso perché non è davvero necessario
in generale per avere quelli dentro il
contenitore e se li avessi li potresti
tipo di ripristinare la situazione sul
ospitare anche perché effettivamente girare
il contenitore che devi configurare a
un paio di altre funzionalità come gli spazi dei nomi
che arriva anche a quello in un minuto
e vedere i gruppi si applica pure e se
avevi tutte quelle capacità che potevi
facilmente ripristinare quelle misure, ma lì
sono ancora un paio di problemi con
capacità ci sono un gran numero di
usa i casi che tu
che in realtà devono coprire così
accesso ai dispositivi per accedere a
interfacce di rete accesso a specifici
funzionalità specifiche del dispositivo e così via
e così via e sono solo circa 40
capacità disponibili e loro
la semantica purtroppo non è molto buona
definito così per esempio c’è un
capacità chiamata capsis p acct e quello
ha più di 30 diversi casi d’uso quindi
se non hai questa capacità tu
non è possibile sincronizzare con il dispositivo casuale
per esempio e riavviare il lato laterale
sarà un generatore di numeri ad esempio così
hai bisogno di questa capacità per farlo ma
allo stesso tempo hai bisogno dello stesso
possibilità di accendere dma in XD
guidare non ho idea di cosa l’unità HD
in realtà è ma non suona davvero
molto legato al dispositivo casuale
gestione ad esempio, quindi penso che noi
davvero bisogno che gli sviluppatori di Linux
migliorare un po ‘su una capacità
schema e fornire un po ‘di più
semantica chiara e più a grana fine
implementazione di tutta la faccenda
la maggior parte della superficie di attacco principale è il SIS
si chiama il numero di questo è
chiamato nel kernel di Linux è rapidamente
crescendo quando ero di nuovo nelle università
abbiamo imparato che ci sono in un tipico
Sistemi UNIX abbiamo qualcosa come 100
watt 156 quad come il fuoco aperto leggere e
scrivi vicino da quel sistema operativo
primitivi e
giorni o l’ultima volta che ho controllato che avevamo
quasi per centinaia di loro così circa
quindi tre volte il numero delle sue chiamate
abbiamo avuto bene 10-15 anni fa e ciascuno
il nucleo è in realtà un potenziale attacco
vector nell’angolo perché la sis
i codici sono l’API per l’angolo di Linux
e se c’è un solo piccolo bug
da qualche parte dietro uno di quei quattro
cento porte puoi esplorare il tutto
isolamento quindi effettivamente Wow oggi lo è
più di un anno fa penso che fosse in
Sì, nel giugno 2014, sebastian karma da
il progetto generale ha rilasciato un exploit
codice chiamato shocker che lo ha abilitato
per sfuggire alla versione precedente di Dhaka 0 punti
11 versione era il pre-predecessore di
versione 1 punto 0 quindi oggi siamo a uno
punto 9 e in questo caso mentre dhaka
crea un nuovo interruttore di contesto del file system
virtualizza o isola una parte del
file system e attaccando quei tumuli
montando è la misura che è
impiegato nell’angolo per mappare parte
del file system all’interno di questo contenitore
può essere armeggiato con l’apertura dalla maniglia
un punteggio di trama che non ho mai sentito di questo
specifico per segnare prima e anche
implementa un tipo piuttosto specifico di
usa il caso e hai bisogno anche di uno specifico
possibilità il cap deck sopra a destra
per quello che ha preso una testa in quel momento
e tutti quegli ingredienti messi insieme
sei stato in grado di avviare un programma
all’interno del contenitore devi compilare
o scaricarlo da qualche esterno
posizione e quel programma ha dovuto chiamare
quelli la aprono a mano a mano libera sulla Terra
core e poi si è impadronito di uno specifico
struttura del file system e allegato a
questa è la struttura del file system
l’ albero degli inode e poi potresti
ferito rovescio questo albero e si potrebbe
anche invertire questo albero di inode sul
host perché in questa parte non era così
isolato dai namespace e quindi da te
potrebbe per esempio accedere a et Cie
file shadow dei buchi o di qualsiasi altro
file su un 5 di contenere chiavi segrete o
credenziali per accedere al tubo per
manutenzione o cose del genere ma questo
è molto specifico e piuttosto complesso
attacco ma mostra lo schema generale
non è un singolo retro che è esploso
qui ma il
ben composta di diversi piccoli
debolezze di tutti insieme ma come
funziona davvero la separazione il
isolamento significa se stesso quelli sono
implementato dal namespace cosiddetto
spazi dei nomi sono utilizzati all’interno del
Il kernel Linux per virtualizzare è importante
risorse di sistema in particolare cose come
ID utente di interfacce di rete ID di processo
e il nome host il momento, ad esempio
beh, in realtà è piuttosto semplice
meccanismo nell’angolo di solito come
bene nel vecchio modo che avevamo un globale
variabile all’interno del kernel di Linux
indicato per un elenco collegato per esempio di
i dispositivi di rete e gli spazi dei nomi
abbiamo una sorta di proxy di fronte a questo
struttura globale praticamente taglia
virtualizzare per tali elenchi collegati
spazi dei nomi diversi che puoi creare nuovi
namespace e in realtà questo è ciò che il
contenitore docker fa per te in realtà
se vuoi davvero farlo come un
esercizio per cui proviamo a farlo
scopi di test è effettivamente possibile
per implementare bene dire qualcosa del genere
l’ottanta percento della finestra mobile
funzionalità con dire 100 line shell
scrivi te stesso perché ci sono
utilità della riga di comando che creano nuove
spazi dei nomi, ad esempio per associare il montaggio
file system specifico in un luogo specifico
all’interno di un tale spazio dei nomi o qualcosa del genere
come quello
sì, questo è il motivo per cui tutti i pass di accesso
all’interno della corona deve essere esaminato
e bene questo è un sacco di lavoro e io se
senti un esempio molto semplice per
esempio il comando hostname che
in realtà imposta o recupera il nome host
causare un Cisco che si chiama il tuo nome
e poi entra nello spazio del kernel
e attraversa un paio di funzioni
e nel vecchio loro ho delle indicazioni
e dove fammi controllare, sì, sì, sì
okay, dobbiamo riempire questa struttura
qui e questa è la vecchia funzione e
questa è l’implementazione e bene e
ciò che è in realtà nuovo è questo spazio dei nomi
proxy che viene posto prima del
precedentemente nome UTS variabile globale
qualcosa del genere e bene questo non lo è
molto codice e questo non è così complicato
per capire ma devi effettivamente
cambia l’intero kernel di tutti in tutti
eccesso a quelle istanze globali di entrambi
variabili globali per isolare effettivamente tutto
i servizi e che è anche il motivo per cui lui
ha impiegato piuttosto tempo per implementarlo
implementare quello che abbiamo visto in qualche altro
presentazioni una timeline quindi l’openvz
che è tecnica tecnologicamente a
tipo di un predecessore del
un medico e la virtualizzazione e il
la roba dei namespace che vediamo qui è iniziata
2001 e il progetto low 20 è iniziato
nel 2001 penso che openvz sia iniziato
2005 o qualcosa del genere, quindi ci sono voluti
Da 10 a 15 anni per implementare effettivamente
questo e questo è ancora un lavoro dentro
progresso okay sì questa è l’app questo
è il secondo percorso in eccesso che anche
accede al nome non attraverso il
interfaccia a riga di comando e il cisco ma
anche accedendo alle stesse informazioni
attraverso il file system proc solo per
mostrarti che è importante
utilizzare la stessa interfaccia in questo caso noi
avere anche un legame e altri supporti
importo ci sono un paio di servizi
montato tramite file system virtuale e tutto
di loro implementano anche la via all’interno del
angolo e fornire alcune informazioni
può o non può essere vulnerabile quindi tutto
quei tumuli devono essere protetti come
bene, allora abbiamo i gruppi C e il
i gruppi marini sono un mezzo per limitare
risorse in modo che un contenitore non possa
mangiare tutta la parola CPU o rete
larghezza di banda o risorse di risorse di memoria
da un contenitore
puoi limitare il consumo di
quelle risorse un po ‘in sicurezza
termini che si applicano principalmente a fare s
scenari se sono fattibili nel tuo
nel tuo contesto, puoi limitarli
risorse in modo da poterlo assicurare
il servizio può effettivamente funzionare, ho saltato
ok bene c’è l’ architettura
problemi anche così uno dei problemi che
farsi spesso sollevare è il demone daka
di per sé il demone daka è un permanente
processo in esecuzione quindi riposare API sul
dhaka host e gli strumenti della riga di comando
che di solito usi le operazioni di docker
qualunque cosa emetta effettivamente una chiamata API
contro questo demone docker e il Dhaka
demon spins inizia un nuovo processo e
applica le capacità di cgroup di namespace
e tutte le altre cose a questo demone
aggiungere a questo nuovo processo risultante in a
nuovo contenitore e quelli di questo demone
di solito stai correndo su un socket su a
unix il socket principale di default oggi
hanno iniziato a esporre il socket a
la rete ma ha il comportamento predefinito
cambiato nel frattempo ma tu hai
ancora per riattivarlo se ne fai funzionare qualcuno
tipo di framework di orchestrazione come KU
Benitez o qualunque cosa tu stia correndo
orchestrare o il tuo ospite e e
Rayna è perché devi iniziare e
accedere ai demoni e in qualche modo
è molto importante per proteggerli
connettori con SSL e TLS e
in particolare il nuovo progetto di razzo
ha affrontato diversi di questi problemi
include tutte le comunicazioni e
implementato anche alcuni modi di
assegnando immagini e cose e ne ha fatto un po ‘
dei problemi che ho affrontato alcuni di
i problemi che Daka la prima volta
posticipata ma sono ancora una specie di a
gara testa a testa tra questi due
progetti pure e razzo al mio
l’opinione è ancora in una fase iniziale e
il mondo può progredire un progetto ma
controllare frequentemente ciò che è il
situazione attuale bene ho saltato molto
rapidamente su questo scivolo perché noi
sentito parlare di questo più in dettaglio già
l’architettura dell’applicazione la maggior parte del
il tempo non è un singolo contenitore che siamo
parlando di un’applicazione complessa
paesaggio di diversi contenitori che
dobbiamo essere orchestrati e bene abbiamo bisogno
un paio di proprietà in là essere
in grado di scalare per implementare in alto
disponibilità a fare il bilanciamento del carico a
attuare l’apolidia e e
separa tutti quei pochi G ti penso
sentito parlare di questo già
ma sono ancora la nostra sicurezza
la difesa dell’architettura in profondità è molto
modello importante da attuare in questo
contesto che in realtà significa non mettere
tutto ciò che è ciò che è l’inglese
medio per non mettere tutte le uova
in un singolo paniere non si affida a a
misura unica per proteggere il tuo
applicazione e soprattutto in una protezione
i tuoi dati utilizzano il contenitore implementato
isolamento ma anche fare affidamento su diversi
misure come i firewall che segmentano
le tue zone di sicurezza, ad esempio
o per cifrare molto la tua Vela
dati variabili quando li si archivia nel
oggetti memorizza quando i database o
qualunque sia la buona pratica da mettere
applicazioni senior in un singolo
contenitore I che disegni non perdere
tutto il tuo ambiente da una breccia in
un singolo componente e un ultimo consiglio è
in generale non è necessario
Effettivamente accedere alle singole istanze
dei tuoi contenitori a causa di
il pad contro il bollitore è un modello
molto meglio fare per smaltire il tuo
contenitori specifici e farne una nuova
uno poi cercando di accedere a questo sistema
e prova a riparare qualcosa così tienilo
anche in mente quando costruisci il tuo
architettura di sicurezza quindi c’è questo
è l’ultima luce dell’architettura a
filo allora
sicurezza di rete devi saperlo
nella configurazione predefinita tutti i contenitori
condividere un ponte comune quindi un ponte è un
virtuale bene tipo di un interruttore virtuale
apparecchio che è installato all’interno del
Kernel Linux quindi ho un punto qui dentro così
questo è questi sono i confini del
l’angolo di Linux quello blu chiaro
c’è l’host che corre dentro questa scatola
e questo è il VirtualBox virtuale
ponte e tutti i nuovi contenitori sono
collegato / predefinito a questo specifico
ponte e se vuoi fare qualcosa
più complesso alcuni di separazione della rete voi
devi farlo a mano o dal tuo come
la fine del fallimento è la fine
la configurazione può essere fatta ma questa
non è il default, tenetelo a mente così
questo significa specificamente che per esempio
il container numero 2 può facilmente accedere
contenitore numero 4 sulla rete e
ricorda anche che se ne usi un po ‘
tipo di strutture di orchestrazione come
quando è o l’HDD o qualsiasi altra cosa
criptalo per applicarlo come ltl come
crittografia e anche un qualche tipo di
autorizzazione e autenticazione
specialmente così c’è anche la minaccia di
fonti non attendibili abbiamo immagini da eseguire
e come è il caso con tutti i tipi di
il software è importante sapere come
fidati o se fidarti delle tue fonti
le immagini sono molto convenienti per l’utente
interfaccia a
le immagini in eccesso sono molto comode sul
sul dock il nostro set di strumenti è molto semplice
scarica un nuovo esempio che dico readies
e usalo ma il problema sta parlando
di database come Redis ne hai diversi
opzioni per scaricare quelle immagini e te
mai sapere esattamente chi ha costruito questo
immagine e chi suona effettivamente alcuni
anche il malware, quindi assicurati
che sai davvero che tipo di
il software che stai utilizzando è ovviamente
si applica a tutti i tipi di software
repository alle librerie e al pacchetto
anche i repository, ma penso che lo sia
Doppio importante in questo contesto
così come una delle soluzioni a questo
dilemma e come aumentare effettivamente il
quantità di fiducia perché non costruirti la tua
immagini Dhaka viene con un molto facile
descrizione delle immagini del cosiddetto dr.
Phibes funziona come una specie di shell
script e specificano come è l’immagine
costruito e questo non è così difficile
così e pure non è così difficile da
configurare un server di repository sul tuo
possedere per il proprio ambiente e così tu
potrebbe combinare questo con il controllo della versione
e integrare tutto questo nel tuo CI
pipeline in modo da creare le tue immagini
basato sulle tue immagini di base e sul tuo negozio
nel tuo repository di immagini e accesso
solo questo tipo di registro è importante
il passaggio è solo per ricordare di non mettere
le credenziali stesse all’interno dei contenitori
perché non sai mai dove sono quelli
i contenitori in realtà finiscono e in realtà
un contenitore non è molto più di allora a
grande fuoco di catrame e decomposizione che e
ispezionare ciò non è veramente difficile
l’ultimo modello di minaccia è in particolare il
disattivando le funzionalità di sicurezza di
implementato dagli utenti, per esempio
c’è un interruttore della riga di comando molto semplice
sul dock una riga di comando, quindi se si utilizza
il medico esegue il comando con il segno meno
il meno privilegio è uguale alla maggior parte del
le caratteristiche di sicurezza che ho appena presentato sono
spento e tu
facilmente possibile accedere all’ambiente host
anche in questo caso i contenitori non sono piccoli
i desktop non lo fanno davvero
senso per provare a implementare tutto
che fai sul tuo sistema desktop
avere tutte queste caratteristiche dentro a
contenitore così le persone mi chiedono per esempio
come posso davvero iniziare graficamente a te
occhi o qualcosa dentro da dentro a
contenitore bene per fare questo hai bisogno di alcuni
accesso all’hardware grafico per
esempio e bene puoi inoltrare l’accesso
a un processo all’interno di un contenitore che è
possibile ma con questo mezzo si apre
un altro canale molto ampio all’interno del
corona e così via e così via questo non è un
buon modello per fare sì bene e anche
tenere presente che i contenitori sono pensati
rimanere piccoli e non provare a
implementare tutte le funzionalità che conosci
una distro linux classica dentro a
contenitore e perché di più
componenti che hai eseguito all’interno del
contenitore rende ancora più complesso
mantenere tutti quei componenti sicuri e
sicuro sì per concludere tutto in quattro facile
memorizzare le frasi per fatti essenziali
e consigli dhaka è una buona e conveniente
pezzo di software ha un sacco di
misure di sicurezza già integrate e
stanno davvero migliorando costantemente
quindi è davvero divertente vedere il
progetto per progredire e al momento io
consiglio persino di usarlo anche in a
ambiente di produzione che è possibile
se ti prendi cura di molti
nomina che ho menzionato in questo
presentazioni contro i contenitori
errore non abuso che lo riassume
molto bene a mio parere questo è il
un consiglio che dà il dhaka stesso
tutti noi non mettiamo tutte le uova in una
carrello se si implementano i microservizi
questa è un’implementazione di questo
modello e non fare mai affidamento su quelle fonti
non ti fidi o non hai costi
controllati così in fondo che è così
se hai altre domande
sulla sicurezza dei container chiedi loro ora o
solo in me una e-mail o vota il
presentazione sul fresco andare a terra come
qualcuno in realtà lo ha scaricato sì ok a
alcuni di loro ok penso che dovresti usare
la faccina verde qui almeno per
questo blog ok grazie mille per
la tua attenzione ci sono delle domande
Dookie eccone uno che devo correre
un cliente non fidato ha chiamato i nostri dati
centro attualmente utilizziamo server virtuali
e canzoni demonizzate per proteggere i nostri
servizi considereresti in sostituzione
questo con contenitori e forse non male
idea perché la tecnologia è saggia cosa era
che tipo di tecnologia doveva aprire?
visitare era un server virtuale o virtuale
server in generale, ben dhaka è una specie di
una reimplementazione dei concetti di
server virtuali alla fine dovresti
devi riconsiderare se questo è un bene
idea in tutto il contesto perché la maggior parte
dei concetti di rottura di a
contenitore docker si applica anche alla rottura
fuori da altri tipi di contenitori
virtualizzazione quindi se c’è effettivamente
i dati coinvolti sono molto preziosi o
molto sensibile potrebbe essere un’idea migliore
per ospitare questo in almeno in un virtuale
fai più domande alla macchina quindi non sono loro
grazie ancora per la partecipazione e il divertimento
la conferenza
Please follow and like us: