Grazie Thomas
sì, prima di iniziare quanti di
stai usando la finestra mobile nel momento in cui inserisci
la tua mano
Va bene così tanti quanti di voi sono
usando la finestra mobile in produzione per la tua mano
tutto sommato, okay, non è così
male che è abbastanza alto rapporto breve
stai solo scherzando, quindi sì, lo sarò
parlando della sicurezza del docker il noioso
un po ‘di me il mio titolo ufficiale è la scelta
generale lei è scienziati al contenitore
soluzioni ma ho scritto il libro usando
docker per la pubblicazione di O’Reilly se tu
vuoi sconto puoi usare il cavo spento
rivenditore del sito c’è anche il libero
il mini libro di sicurezza di fucker che puoi avere
da O’Reilly e che coprirà molto
di quello che ho intenzione di parlare di oggi
e sono anche un sogno più su Twitter
okay biglietto per te sì, sto andando a
parliamo della sicurezza della finestra mobile. Inizierò da
parlando dei benefici della sicurezza
perché la sicurezza è importante
Parlerò poi di alcuni specifici
vettori di attacco container specifici e
filosofia di sicurezza cosa dovresti essere
pensando a quando si progetta una sicurezza
sistema
bene quindi ogni breve demo così c’è
potenziale per le cose andare orribilmente
sbagliato come ora e la parte finale
del discorso ne parlerò un po ‘
suggerimenti e tecniche specifiche per
la messa in sicurezza di una finestra mobile basata su un micro servizio
sistema va bene così una delle cose divertenti
sulla sicurezza non si ottiene davvero
qualsiasi cosa giusta nessuno viene e
ti dà una stella d’oro se ne hai uno
sistema sicuro a volte è no
diverso da un sistema non sicuro
c’è solo un mucchio di cose che
non succede proprio così cosa no
succede se il sito non va giù
perché c’è qualche banale da fare
s sfruttare la tua prima pagina non sembra
come questo perché alcuni script kiddies
riuscito a spezzarlo
non inizi a vendere il viagra su questo
almeno l’idea lo credevano
re di squadra dal Regno Unito non voleva dire
per iniziare a vendere il viagra sul sito
non perdere la carta di credito dei tuoi clienti
i dettagli sono chiaramente negativi
potenzialmente mettere la nostra azienda al lavoro
che sicuramente non si perdono i record
per come da quando l’intelligence militare
personale e questo include il loro
anche le famiglie, quindi queste erano
persone che potrebbero essere direttamente prese di mira
da parte di governi stranieri o criminali
elementi um ok, ecco perché la sicurezza
è importante la prossima cosa che voglio
parlare di ciò che è importante
i vettori di attacco all’attacco del container sono così
cose che sono forse particolarmente
importante e contenitore o micro-servizio
diciamo che è il primo in flusso di più
è ovvio che si preoccupa di ciò che attacca così
Probabilmente dovrei saperlo in una finestra mobile
sistema basato i contenitori hanno condiviso il
kernel con gli host e l’altro
contenitori che gestiscono ciò che
significa è se per esempio un panico del kernel
doveva succedere , pensiamo che non siano solo
come contenitore ma l’ host e tutto
contenitori su di esso in modo che sia certamente
qualcosa a cui pensare in relazione a
che se un contenitore inizia a usare molto
più risorse per esempio memoria che può
potenzialmente affamati di altri contenitori
sull’host e sull’unghia indipendente
il servizio continua sblocchi
ne parleremo molto e questo è
solo la preoccupazione che forse un aggressore
può uscire da un contenitore e sopra
la macchina host stessa o in un’altra
contenitori e immagini avvelenate così
è solo come fai a sapere di cosa c’è dentro
le tue immagini che stai utilizzando in particolare
le immagini che scarica dall’hub docker sono
sei sicuro di essere quello che pensi loro
siamo
sei sicuro che nessuno ne abbia manomesso qualcuno
in transito o a riposo e sei sicuro
non sono molto vecchi o durevoli
versioni dei segreti del software così abbiamo
ti ho parlato delle password API
password di database e token API per a
molto tempo ma diventa che ho intenzione di farlo
mantieni il problema con i micro servizi che hai
ho ottenuto tutti questi contenitori e
andando giù vivendo solo per pochi secondi
quindi dobbiamo essere in grado di automatizzare come noi
porta i nostri segreti nei nostri contenitori ecc
paradigmi di sicurezza quindi cosa voglio che tu faccia
pensare a qui è come dovresti pensare
sulla sicurezza quando progetti il
sistema e ci sono due principali paradigmi
voglio che tu tenga presente il primo
è difesa e profondità quindi non limitarti a fare affidamento
su nessuno sono per la sicurezza no
affidati a Freud come un firewall
sistema sicuro e un firewall
hai bisogno di altri livelli come la crittografia
e monitoraggio e così via e l’analogia
è con un castello dove non sei tu
avere il fossato che hai batte battement spesso
muri hai i parafanghi e il
dentro sparando hai i colori della parte
ecc e anche per essere più conserva dentro
quindi c’è un sacco di livelli per arrivare
prima che tu possa arrivare ai gioielli della corona
per così dire e anche il concetto di minimo
privilegio questo è un paradigma molto antico
risale a credo anni ’70 di Jerome
Seltzer qualcuno e sostanzialmente dice
che un processo o un contenitore, se solo tu
avere accesso ai dati e alle risorse
che sono essenziali per la sua funzione sì
quindi per esempio se il tuo contenitore lo fa
bisogno di accedere a un database
Non dovrei essere nemmeno sulla stessa rete
necessariamente se un database e certamente
Shemail per connettersi ad esso è un grande
parla con questo McCauley e il rivenditore Monica
che sono ingegneri della sicurezza in docker e
hanno fatto meno chiacchiere
micro servizi privilegiati alla moneta mobile
l’anno scorso quindi ti incoraggio a guardare
che se vuoi saperne di più su questo
tutta la demo ho un sì così ho
fatto questa cosa solo una o due volte
potrebbe andare terribilmente male quello che ho fatto
se hanno eseguito questo contenitore chiamato
Noatak
quello che dovrebbe darvi un indizio che ho
forse le cose andranno male, lo so
è un servizio semplice che mi consente
per caricare un file Yama quindi ti mostrerò
un esempio oh vedo il file giallo
per prima cosa abbiamo semplicemente un file come Yama
che stiamo andando a caricarlo
So che questo è evidenziato è molto
servizio semplice ma si scopre il
la biblioteca dei giovani sta usando è vulnerabile
e così se carichiamo questo file dll e
dovrebbe già vedere qualcosa di non proprio
proprio lì così qualche codice JavaScript in
ci carichiamo questo ciò che otteniamo è questo
così puoi vedere che qualcosa non è abbastanza
giusto tornerò alla pagina principale
la nostra pagina principale è stata sovrascritta così
chiaramente non è una buona situazione per
essere dentro e se questo non ti capita
idealmente avrai o sospetti il tuo
sistemi in qualche modo compromessi
idealmente avrai delle linee guida in
posto che è possibile fare riferimento a e
affrontare situazioni come questa ma tu
prima quello che vuoi fare è isolare
il contenitore sono probabilmente il cavallo
quello va in giro e poi tu
vuoi che tu non voglia cancellare il
contenitore perché si vuole come lo sguardo
a esso e analizzare e capire come
è stato violato in modo da poter evitare che in
il futuro e preferibilmente non lo fai nemmeno
voglio fermarlo perché potrebbero anche
voglio guardare un processore quando sono
dentro ma devi isolarlo
immediatamente sono solo alcuni strumenti che possiamo
usare così il modo più semplice per isolare a
container è anche ottenere questo comando
correggi sì sì che dovrebbe connettersi
disconnetti il contenitore funzionante da
la rete docker quindi presumo che io
ricarica sì, quindi non è accessibile a nessuno
e poi è ancora in esecuzione e anche
anche se non era quando era solo
fermato posso ancora analizzare il
filesystem in modo che io possa vincere la morte e
questo mi dice quali file sono cambiati
perché l’ immagine è stata creata su così posso
vedi che qualcuno ha modificato il loro indice
punto HTML da appena in esecuzione diff
quindi ci sono già alcuni strumenti di docker
ti dà per aiutare ad analizzare le tasse ecc
okay sì, ma occasionalmente c’è anche
un sacco di modi in cui possiamo mitigare gli attacchi
in questo modo usando una sorta di finestra mobile semplice
strumenti e voglio mostrartelo subito
di questi li ho chiamati di sola lettura quindi se
hai solo detto che dovremmo solo segnalare cosa
succede è il file system del contenitore è
imposta sola lettura in modo che possiamo vedere cosa succede
se eseguiamo nuovamente, smettiamo di rimuoverlo
contenitore e lo farò nuovamente ma è stato un
video sul file system
si spera che sia di nuovo
sì, così provo a caricare lo stesso Yama
file ottengo un’eccezione e questo semi
la prima pagina va bene chiederei perché
docker a hi fermato nel
JavaScript da lui per scrivere nel file così
Non posso offrire la pagina principale così
è molto importante sottolineare che
non è una soluzione
è una mitigazione, è una cosa tagliata
ciò che l’aggressore è in grado di fare ma
sono ancora di più un loro exploit
sai che l’attaccante è ancora in esecuzione
JavaScript sul nostro computer quindi
la vera soluzione è in realtà per rimuovere il
giovani vulnerabili vivi ci siamo ingrossati
dentro quel contenitore e idealmente lo faremmo
essere in grado di farlo automaticamente giusto
potremmo nel nostro processo di costruzione potremmo
scansiona automaticamente le nostre immagini
vulnerabilità come questo e quello
così è quando stavo davvero iniziando a
decollare nella comunità docker così
ci sono un sacco di utility ora che io
fare l’ immagine Karen non c’è lista che sia
la soluzione di Doctor Inc di cui hanno parlato
è già un po ‘ ma in realtà non lo è
andato a mentire per il pubblico ancora ancora io
credo che sia letteralmente la metà della notte
di questa settimana e della prossima settimana però come
altre soluzioni sono chiare dal sistema operativo principale
che è una soluzione gratuita e open source
l’oratore di Skylock che ho suonato
con un po ‘di tempo fa l’immagine in un attimo
blocco ed è anche scala atomica
convertitore dld approssimativamente la stessa cosa così
tutto quello che fanno è che stai dando la tua immagine
sì, Floyd
Lo manderò comunque al server e
ti dice quali bollette Vernon ha multe
basato su CVE quindi questo è quello che ho ottenuto quando
Ho caricato quell’immagine in modo interessante
praticamente tutte le vulnerabilità
che le multe sono dal sottostante
Immagine di Debian e questo è come un ultimo
Immagine di Debian e hub docker così
apparentemente 113 abilità di Havener in
questo caso posso chiaramente non è buono
e troverete al minuto se si
hanno anche un’immagine Debian che hanno
ci sono state ferme abilità in generale
in cose come lib ping come uno dei
quelli grandi e cose che possibilmente
non mi interessa, ma non è ancora un
ottima situazione ma questo non è un
contenitori guasto anche per Debian
VM er e quando fare VM hai ancora
quelle stesse vulnerabilità sono solo loro
non patchato di default del minuto tu
non può molto piacere una cosa più minimale e
ci arriveremo in un minuto ma a
almeno è evidenziato quel problema e noi
posso andare avanti per sistemare le cose da lì e
sì, questa è la parte successiva, lasciami parlare così
solo guardando alcuni suggerimenti specifici e
tecniche per assicurare sistemi così tanto
di persone chiedono ai nostri contenitori più sicuri
rispetto alle macchine virtuali e poi alcune
interesse per l’esca di avere ma è
anche un po ‘ di falsa dicotomia perché
generalmente stai usando macchine virtuali
e contenitori insieme
più comunemente gestirai il tuo
contenitori e macchine virtuali del sito e
quello che puoi fare è usare le macchine virtuali
per segregare gruppi di contenitori a
livello di riservatezza in modo da poter fare a
livello di utenti ma puoi anche fare a
livello di sistemi in modo da poterne avere uno
gruppo di contenitori che sta facendo il tuo
elaborazione per i dettagli della carta di credito su
l’altro set di contenitori che è
maneggiando e OGS front end e puoi
mantenere quelli e impostare con VM in questo modo
se un attaccante irrompe nell’OGS
front-end hanno ancora molto lavoro
fare prima che possiamo ottenere il merito
contenitori di elaborazione delle carte questo è più
qualcosa solo per essere consapevoli se qualcuno di
qualcuno ha accesso per iniziare il tuo
i contenitori hanno fondamentalmente radice
l’accesso a destra dell’host che potevano per
esempio
monta la directory radice e gioca con
cose così
mi dà l’accesso al dottore che hai dato
ha accesso come root a quella macchina e
per questo devi essere molto
attento a dare accesso a se lo sei
usando l’API remota assicurati
controllo che dispone di tasti e consentire solo
accesso tramite le reti interne o VPN
quando gli interessi sono come contenitori
che non tutto
è il namespace giusto quindi una cosa è
non lo spazio dei nomi è il tempo, quindi i tanghi il
lo stesso in un contenitore sull’host il
il portachiavi del kernel non ha un nome distanziato e
anche gli utenti non sono abbastanza spazio dei nomi al
minuto ciò significa che è un UID in a
contenitore è solitamente lo stesso CID in
l’ host quindi se sono in esecuzione come root in a
contenitore
Mi limiterò a contenere un attacco
promemoria per rompere il contenitore loro
sarà quindi root sull’host che è
chiaramente una brutta situazione ce ne sono alcuni
lavorare per affrontare questo livello di docker
quindi c’è come nomi utente Bacino
è apparso nel dottore 110 ma ci sono
alcuni e quello che fa è questo
ha automaticamente mappato la radice ad un livello elevato
utente numerato nell’host ma ci sono
alcuni problemi, ad esempio, non puoi usarlo
con video nei file system al momento
non puoi usare un – solo Nicol l’host o
– – PID uguale a host e c’è anche
alcuni problemi intorno ai volumi, quindi puoi
avere problemi ad usare quel nome utente
spaziatura e per questo motivo è molto
importante per impostare gli utenti per il tuo
contenitore così sarai nel tuo
contenitori che imposteremo l’utente per il
processo per eseguire noi e questo è molto
semplice da fare puoi semplicemente aggiungere io in realtà
ha preso questo esempio dalla finestra mobile Redis
file in modo da poter vedere tutto quello che stiamo facendo è
eseguendo il comando del gruppo di pod comandante
o file docker che crea questo utente
e quindi possiamo usare la dichiarazione dell’utente
per passare quell’utente e questo richiederà
effetto per tutte le seguenti righe in
file di docker e quando si avvia il
contenitore in alcuni casi si consiglia di
fare qualcosa come rotta quando il tuo
il contenitore si avvia per esempio cambio
la nave puntatore per missioni e file
e in tal caso si vorrà creare
uno script di entry point che fa ciò che tu
do è route e quindi passa a
l’ utente con privilegi minori lo abbiamo visto
già ma è molto molto efficace
modo di controllo dell’accesso limitante
attaccanti
dopo che un sistema ha appena messo una perlina
il file system è anche molto semplice
fare e un sacco di casi le applicazioni non lo faranno
sii felice quando leggo solo perché
ne avranno uno o due temporanei
i file che vogliono scrivere per quello che puoi
fai è possibile montare esplicitamente quelli di
il volume in modo da sorta di chiamate messo in
la vista sul file system è anche possibile
usare temp è per cose del genere
abbastanza bello e questo è un sai quando
il contenitore scende che abbiamo cancellato
così che può essere abbastanza
tecnica interessante molto simile a noi
può rendere i volumi come di sola lettura in modo che il
l’attaccante non può sovrascrivere le cose
capacità in modo che il kernel Linux definisca a
tutta una serie di funzionalità come 30 o 40
diverse serie di capacità che noi
mappa su due gruppi di chiamate di sistema
sistema del kernel causato per impostazione predefinita un dock
contenitore ottiene un sottoinsieme ragionevolmente grande
di questi, ma in nessun modo tutto ciò che puoi ottenere
la maggior parte delle funzionalità aggiungendo il –
– bandiera privilegio o è possibile
rimuovere i privilegi specifici usando cap
drop e kappahd quindi in questo primo
esempio è un puntatore che cosa fa
non funziona così possiamo farlo nel primo
l’esempio stava abbandonando la possibilità di impostare
il bit UID impostato sui file binari e sul set
G idea e binari e nel secondo
esempio stiamo lasciando cadere il tutto
capacità e solo aggiungendo di nuovo solo
come una volta che ce n’è bisogno, ce ne sono un paio
problemi questa tecnica il primo
essendo come fai a sapere quali funzionalità
il tuo contenitore ha bisogno non è davvero
banalmente è una specie di prova
e sperimentare caso al minuto e il
il secondo è che ci sono alcune capacità
Penso che sia sysadmin e admin netta
mappare un intero gruppo di cause del kernel
c’è solo troppo in loro non lo sono
abbastanza granulare che è stato affrontato
il minuto da sit comp così ci sta bene
comp supporta un kernel Linux più recente e
nuove versioni di docker ma è necessario
essere in esecuzione come un kernel Linux
scritto per e che ti permette di
definire in modo specifico quali chiamate del kernel
sono autorizzati a essere fatti
La condivisione della CPU, quindi in realtà raccomando il mio
di default non giochi con la CPU
condivide perché per default i contenitori
otterrà uguale accesso alla CPU in
evento di contesa ma in alcuni casi
si potrebbe voler dire dare una serie di
contenitori tasse più alte di altri così
come sai che potresti avere di più
importante elaborazione in batch e / o meno
elaborazione batch importante e altro ancora
importanti note interattive o qualcosa del genere
e quello che puoi fare è passare un mare
bandiera ma devi ricordarlo
è la finestra mobile utilizza ponderazioni qui e
questo è un peso relativo non 1 o 2 4
quindi in questo esempio la prima finestra mobile
contenitore ottiene il peso predefinito nel
uno o due per poi dopo ti viene dato un
peso in 5 1 2 quindi ciò che significa è
il primo contenitore può accedere al
la metà della CPU e un successivo 2 possono accedere fino
a un quarto ciascuno quindi devi
capire che questa ponderazione predefinita
uno o due quattro e come è stato risolto
che forse non è necessariamente ovvio
sai ad esempio che ti piace – c1
pensando che dirà una CPU condivide ma
Veramente un evento di contesa
se c’è un contenitore predefinito simile
e avranno tutto il C per te e
in realtà è quando non ne riceviamo nessuno così tu
bisogna essere un po ‘attenti a questo
la loro memoria limita questo è molto di più
importante perché di default un documento
il più magro può usare tutta la memoria che ha
Mi piace, ma puoi limitare la memoria
da pastner – m 512 megabytes in questo
caso questo scambia anche memoria con il mio
default con default che sarà anche
dargli 5 minuti e 12 megabyte di swap
memoria o un totale di un gigabyte e te
può controllare che impostare separatamente C ID e
si siedono i binari UID in modo predefinito
Le immagini Debian e Ubuntu vengono con alcune
binari che funzionano con elevato
privilegia un problema di questi è quello
Mitaka
entra nel tuo sistema che potresti essere in grado di
sfruttale questi binari per elevarli
i privilegi che la cosa è probabilmente tu
non ne hanno bisogno nei tuoi contenitori così
in realtà puoi solo tirarli fuori se
tu vuoi
e se si esegue questo comando fine in a
contenitore nel Debian predefinito
contenitore troverai un sacco di
programmi come questo e così per esempio
chissà cosa hanno offeso uno o due delinquenti
la gente quindi la maggior parte di voi non lo sa
ciò che CH offende che significa che non puoi
lo sto davvero usando ed è discutibilmente un
rischio di sicurezza voglio dire che è vecchio e
programmi ben mantenuti, quindi presumo
hanno capito che sai che non è stato ottenuto
il tuo rischio per la sicurezza potenzialmente acuto
ah e non ne hai bisogno quindi potrebbe
beh , tiralo fuori, a proposito
sta per cambiare le riprese, credo di si
è la cosa da cui viene usata la password
dito e Simpson ma è semplice
spegnere , possiamo solo portarci via
imposta il bit UID con un comando come questo
quindi stiamo facendo chmod a – sì e tutto il
file entrambe le missioni sono più 6.000 e
lo fa e poi di nuovo il comando
non ci sono immagini così minime
quindi questo in gran parte torna a quello
immagine precedente abbiamo visto un peeker e il
centotredici era un alto
vulnerabilità che puoi usare minimamente
immagini come quelle di Alpine che hanno molto meno
in essi c’è meno software che c’è
solo meno cose che possono essere sfruttate
e io in realtà sulla stessa cosa
Giocherò e trova zero per
di nobiltà Sono raccoglitrice si sa è quello di
analizzare e basato sul livello binario così
dovrebbe trovare le stesse vulnerabilità se
loro sono così in fondo se lo sei
molto meno software hai elencato TAC
superficie sì, guarda la nostra vernice
contenitore ma puoi andare ancora oltre
e basta creare un binario statico che
anche nel contenitore e avere no
sistema operativo a tutti così hai appena ottenuto
il kernel e il tuo file binario lì puoi
fallo con l’ oro, immagino che tu possa anche farlo
se lo compili come un binario C statico
Ovviamente non sto davvero riducendo il tuo
superficie di attacco vuol dire che puoi
avere più problemi come il debug e
roba perché non sarai nemmeno in grado di farlo
ottenere shell bash per esempio nel tuo
contenitore Linux moduli di sicurezza così
il kernel del delay consente di collegare la sicurezza
I moduli ci sono due più famosi SELinux
e un SELinux palmer era originariamente
sviluppato dalla NSA è
principalmente iride irato al prodotto ci dà
controllo di accesso basato sulla politica questa idea di
man controllo 3x che non può essere modificato come
contrario al controllo discrezionale degli accessi
e fondamentalmente applicato etichette e tipi
e confronta quelli con le etichette e
tubi che processano come accedere e
copre le interfacce socket di accesso ai file
è davvero abbastanza potente ma è abbastanza
dettagliato e può essere un po ‘ di un pinata
definire il carattere sulla politica è cosa
ti piace molto essere in grado di fare è dire
ok ho la mia politica del server web simile
per i miei contenitori di nginx andare a correre quelli
contenitori con quella politica e tu
non posso farlo ma lo trovo molto difficile
capire esattamente come scrivere il
politica e se lo si usa e io dico
devo usare i Vice Mapper qui io
penso che non sia più vero io
pensi di poter usare meglio le FS ma le
cosa sta usando i collegamenti su sono fondamentalmente
correre nell’ecosistema Reta molto probabilmente così
probabilmente stai utilizzando Device Mapper e
correndo su una delle rotaie delle arti r8
o inviato a noi per esempio o atomico e
la prima cosa che noti è che è
lavoro extra per lavorare per i volumi così per
esempio ha trasformato selinux , basta scrivere
un file sull’ammontare della lotta che è un volume
hai intenzione di ottenere il permesso negato
il ragionamento è un permesso negato
semplicemente perché il file non lo è
etichettato per essere accessibile da un
contenitore possiamo cambiarlo in modo equo
semplicemente con un comando CH conch ma tu
tipo di devo sapere che devi fare
una cosa del genere non sto facendo
completamente giusto qui non devi correre
il comando CH conch che puoi aggiungere
una chiamata e 0 no per inserire il – V
argomento e che tutti i tipi di corsa a
vedere il suo comando corrente nel
sfondo ma devi ancora essere come
per fare che fino armatura in modo che è molto
simile a vedere Linux ma un po ‘simile
forse non è così potente per cui è usato
dare un panino – sono interessante che lo farai
trova questo su impostazione predefinita così sei tu
container in esecuzione al debutto a
nel momento in cui stai usando un contadino e
di nuovo ai limiti dell’accesso del contenitore a
file e funzionalità del kernel e tu
puoi definire le tue politiche come processo
basato
Generalmente non sono così fine come
SELinux è anche qualcosa da appuntare il
iris ma
jessie Frizzell era un ingegnere a
docker sapere al mesosphere ha scritto uno strumento
chiamato beam e questo è abbastanza carino
piccolo modo di creare le tue politiche
e semplicemente semplice per semplificare
cose così ho controllato se lo sei
interessato puoi anche eseguire una sicurezza
Kernel hardin quindi questa è solo una particella
molto sicurezza fuori miglioramenti che il
i principali sono la sicurezza e la cosa principale
hanno è da Dio confezioni ed è
fondamentalmente un insieme di memoria poco
protezione quindi farò le cose così
randomizzare le cose nella memoria e anche io
non ottenere certe aree di memoria come a
read-only e quindi può essere eseguito
cetera ci sono un paio di problemi
tendono a rimanere indietro rispetto al kernel più recente
versioni potremmo avere caratteristiche che tu
voglio usare l’ultima versione del kernel
che non sono disponibili nel tuo
sicurezza ed è anche minorenne
degrado delle prestazioni um verificare le immagini
quindi questo torna ai danni da veleno
idea vuoi essere sicuro che le immagini
che stai correndo sono ciò che pensi
lo sono e tu sai dove vengono
da così se ottieni immagini da una finestra mobile
hub al minuto direi provando ad usare
l’immagine ufficiale se puoi e tu
non è possibile utilizzare un’immagine ufficiale assicurarsi
tu usi solo un conto automatico non andare
e usare come un’immagine casuale perché
non sai cosa c’è lì dentro
almeno quando il bail-in automatico va e
controlla il file docker Posso andare a trovare il file
fonti github da cui è stato costruito
e verifica cosa sta succedendo anche lì
andando oltre e basta scaricare il
fonte e costruisci te stesso e quello
ti dà un ulteriore livello di sicurezza per
assicurati che quello che stai tirando è quello che tu
pensare è come in non c’è stato
manomesso di riposo o di transito
e tu vuoi davvero o tirare da a
digest che è lungo come sha hashes o
attiva il contenuto del docker e questo è sicuro
in pratica consente una scena di immagini ecc
Sto auditing quindi una delle cose belle
docker giusto è questa idea di immutabile
infrastruttura in genere con docker
quando stai facendo funzionare i contenitori non lo fai
cambia i contenitori in esecuzione a destra
non è come i vecchi giorni VM quando noi
aveva un burattino o uno chef o qualcosa in esecuzione
ho aggiornato i pacchetti al volo
generalmente quello che fai è contenitori o
dovresti provare a farlo
contenitori che è in noi bisogno di aggiornare
qualcosa che si modifica il file docker voi
aggiorna l’immagine che crei una nuova
contenitore e poi rimuovi il vecchio
contenitore così è il modo in cui aggiorni
cose che non cambiano le cose nel tempo
nel contenitore solo le cose belle
questo significa che puoi controllare
le immagini offline e così una volta che hai
verificato l’immagini non in linea Ayumi tutto in
un’immagine e che coprirà come a
cento contenitori e tu puoi allora
verificare che i contenitori non siano andati alla deriva
dall’immagine che hai costruito usando
strumenti come dr. morte e anche a
mucchio di strumenti che parlo a spaventare
l’area come il pker e lo scheletro
twister che puoi usare per controllare il tuo
immagini per vulnerabilità ovviamente se
una vulnerabilità e anche l’abilità è
trovato che devi scansionare non solo il
immagini in produzione prima della cintura e
spinto ma anche le immagini in pergamena
segreti quindi questo è piuttosto un
argomento interessante Ho questo tagliata
qui così questo gatto è stato tagliato a Londra e
il suo padrone con il gatto che torna a casa
tutte queste cose le chiavi e bloccato tramite
il suo collare magnetico e in un primo momento il
il proprietario si è sentito dispiaciuto per quello che abbiamo
sempre stato contrassegnato so che lui è le chiavi e
roba ma è risultato che il gatto era
effettivamente andando a caccia del
le chiavi dei vicini e il giardino sul retro e
roba intenzionalmente e trascinandoli
a casa ma indovina Kostyra lucido lo so si
i vicini si arrabbiano un po ‘
quando le loro chiavi di riserva sono mancate così
le vie civili puoi condividere i segreti
con contenitori e come ho detto prima
questo è abbastanza devi essere che hai
a pensare davvero su questo uno come
perché il setup del server deve essere automatico
e il primo è il modo più ovvio
solo per scrivere i tuoi segreti nel
immagine giusta in modo da aver appena messo nel tuo
file docker come variabile il tuo token API
o comunque spero che tutti pensiate
è una pessima idea
perché nessuno è stato actus il
immagine sta per accedere ai vostri segreti
quindi non farlo
il prossimo modo e questo è abbastanza popolare
non è terribile, ma non è il mio
modo preferito e si può sedere in un ambiente
variabili per segreto quindi in questo caso noi
puoi vederti dire un epi a parlare con
ambiente variabile andrey persone intelligenti
usare questo è perché è suggerito da 12
utente di ops factor siamo un fattore di brivido
applicazioni
cosa stai bene si, quindi non sto bussando
riempire il fattore su così pedaggio mi piace molto
quel manifesto ma variabili d’ambiente
sono probabilmente migliori nelle macchine virtuali e le loro
contenitori e la ragione è che possono
essere visto in troppi posti proprio così
se hai usato – – link alla rete
contenitori che il contenitore di link ottiene
accesso a tutte le variabili in utente
contenitore se si esegue finestra mobile si ispezionare
vedi le variabili qui su PS puoi vedere
le variabili non puoi cambiarle una volta
o impostare in modo che non è come si può solo
li sovrascrivi oh e quindi ottieni problemi
come per esempio se qualcuno supporta
tipo di dottore in pelliccia
ispezionare o il tipo di articolo env e voi
dire in loro senza pensare e
improvvisamente ti è piaciuto condividere tutto il tuo
segreti attraverso token API con il
sostenere le persone per sbaglio, quindi questo è il
motivo per cui non mi piace l’ambiente
variabili sì sì, se non stai usando
etichette ambientali cosa puoi fare bene
l’unica altra opzione facile è quella di usare
volumi in modo da mettere i tuoi segreti nel
volume e rendi ciò che non puoi semplicemente fare
l’ intero file di configurazione con a
segreto al suo interno quindi niente solo il
il segreto stesso e questo è abbastanza semplice
e funziona è un po ‘icky I
indovina il problema principale è un file così a
tendenza a essere condivisi e controllati
controllo di versione Barkston e il futuro
Credo appartenga al valore chiave sicuro
negozi ci sono due principali per questi
amministra ed è questo è solo lo stesso
idea è come un negozio di valore chiave Redis
ma è impostato appositamente per lo store
informazioni sensibili come token API
e certificati TLS e ce ne sono due
soluzioni principali vault e modi chiave e
tendono ad avere un sacco di belle
caratteristiche come leasing in modo da poter vedere come
lunghi segreti buoni da prendersi cura
dintorni crittografati correttamente
e questo credo che siano quattro le cose
andando ma si sente un po ‘di lavoro da ottenere
lì e probabilmente stai chiedendo bene
come hai avuto accesso al valore chiave
negozio non richiede un segreto e
il tipo di fare giusto così hai ancora bisogno
piace usare una variabile di ambiente o
qualcosa per ottenere l’accesso al valore chiave
negozio ma sono alcune cose che puoi fare
potresti usare come una password unica
così dopo che il tuo contenitore accede alla chiave
valore memorizza la conversazione a cui era abituato
accedere a quello che è il key value store
invalidato e non può essere utilizzato di nuovo così
anche se è dato via o trapelato o Ana
bersagli è inutile per loro uh penso
vault ha la sua idea di un PI d 4 da esso
genera un token basato su alcuni
informazioni che ha già come un MAC
indirizzo c’è anche una bella idea del
volume plugin così usando un volume
plugin che si è possibile utilizzare un plugin di volume
è possibile impostare l’autenticazione per
archivio di valori chiave al di fuori del contenitore
e all’interno del contenitore trovi un file
questo è pensato per i segreti di Vollis che hai
accesso a dentro così definitivamente
questa è una caratteristica ma forse no
abbastanza lì ancora
sì, in conclusione, un punto principale che voglio
per renderlo come contenitori e
sicurezza sono identici
isolamento al sistema esistente così qui
Vernon con le VM in un minuto intendo
o in contenitori che non hai intenzione di
diventa meno sicuro a meno che tu non faccia qualcosa
molto stupido, basta aggiungere di più
strumenti o più isolamento e tu hai
strumenti extra con cui lavorare per limitare
e attaccanti se ne siete preoccupati
la sicurezza del contenitore viene utilizzata da VM e
tenere a mente i principi di difesa e
profondità e almeno privilegio e questo è
vi ringrazia
Va bene così abbiamo un paio di domande in modo
la prima domanda immagino che tu già
ho appena risposto davvero che ne pensi
quei contenitori sono intrinsecamente più
insicuro o pensi che il
i problemi di sicurezza sono semplicemente diversi e
non familiare alle persone ed è per questo che
le persone hanno problemi con esso così sì
sono diversi, voglio dire che le persone lo fanno
a volte confrontare come protezione del DM
sicurezza del contenitore e fanno il
punto che potrebbe essere assunto hypervisor
più sicuro di come il kernel ma
Non sono sempre convinto con il
argomento che forse lo è ma sì sì
se sei preoccupato, usa VM alcune
contenitori insieme e basta danno
tutti questi strumenti extra di sicurezza così
a lungo termine penso sia fantastico
per sicurezza va bene c’è ne
situazioni in cui non useresti
contenitori a causa di un rischio per la sicurezza
beh no, questo è quello che vorrei dire come lui
avere una specifica preoccupazione che si finisce per correre
i tuoi contenitori in VM per indirizzare il
rischio quando quando voi ragazzi create
contenitori corri, hai un?
continuo un sistema di build che convalida
loro contro uno di questi strumenti di controllo
per le cose che giocano ma io sono
fare le cose, ma questo è molto
nuova tecnologia hmm e intendo che lo farò
workshop di ieri e ho avuto problemi
farlo funzionare per quell’officina e
solo che ci sono cose sanguinose , quindi io
pensate vedrai che venendo sopra la
il prossimo anno o giù di lì sono al minuto
letteralmente la finestra mobile della prossima settimana penso che dopo
settimana o settimana prossima o due rotoli docker
come un lancio Nautilus e che volontà
scansiona automaticamente le tue immagini non lo sono
certo che devi pagare per qualsiasi cosa, forse
sarà per le immagini pubbliche non private
immagini non sono sicuro, sì, perché potrei
immagina che anche essere parte del
la stessa CLI più scura va bene, basta controllare se
Io di default sì, intendo quello che davvero
voglio che sia come Jenkins qualsiasi cosa controllare
non sono come apprezzare non c’è
proiettile
ok, c’è un modo per mostrarti
alcune bandiere di sicurezza che vuoi
da usare in generale quando lo fai
diversi tipi di operazioni è lì a
modo per abilitare questi flag di default così
non devi davvero prenderli in considerazione
le cose in fase di sviluppo sono buone
domanda e la risposta non è davvero
al minuto ma penso che ci sia
qualcosa sta guardando se questo è
idea dei profili di sicurezza così avrai
un profilo che mi dice un contenitore o
la tua immagine piuttosto so che dice quale
i permessi di cui ha bisogno in modo che tu sappia anche
quel file system di sola lettura probabilmente
ha bisogno di un file system di sola lettura, ecc
pensa che il futuro sia luminoso, ma sappi cosa
nel momento in cui ne hai bisogno, devi solo
conoscere altre opzioni ok, grazie
È Adrian vi ringrazio
sì, prima di iniziare quanti di
stai usando la finestra mobile nel momento in cui inserisci
la tua mano
Va bene così tanti quanti di voi sono
usando la finestra mobile in produzione per la tua mano
tutto sommato, okay, non è così
male che è abbastanza alto rapporto breve
stai solo scherzando, quindi sì, lo sarò
parlando della sicurezza del docker il noioso
un po ‘di me il mio titolo ufficiale è la scelta
generale lei è scienziati al contenitore
soluzioni ma ho scritto il libro usando
docker per la pubblicazione di O’Reilly se tu
vuoi sconto puoi usare il cavo spento
rivenditore del sito c’è anche il libero
il mini libro di sicurezza di fucker che puoi avere
da O’Reilly e che coprirà molto
di quello che ho intenzione di parlare di oggi
e sono anche un sogno più su Twitter
okay biglietto per te sì, sto andando a
parliamo della sicurezza della finestra mobile. Inizierò da
parlando dei benefici della sicurezza
perché la sicurezza è importante
Parlerò poi di alcuni specifici
vettori di attacco container specifici e
filosofia di sicurezza cosa dovresti essere
pensando a quando si progetta una sicurezza
sistema
bene quindi ogni breve demo così c’è
potenziale per le cose andare orribilmente
sbagliato come ora e la parte finale
del discorso ne parlerò un po ‘
suggerimenti e tecniche specifiche per
la messa in sicurezza di una finestra mobile basata su un micro servizio
sistema va bene così una delle cose divertenti
sulla sicurezza non si ottiene davvero
qualsiasi cosa giusta nessuno viene e
ti dà una stella d’oro se ne hai uno
sistema sicuro a volte è no
diverso da un sistema non sicuro
c’è solo un mucchio di cose che
non succede proprio così cosa no
succede se il sito non va giù
perché c’è qualche banale da fare
s sfruttare la tua prima pagina non sembra
come questo perché alcuni script kiddies
riuscito a spezzarlo
non inizi a vendere il viagra su questo
almeno l’idea lo credevano
re di squadra dal Regno Unito non voleva dire
per iniziare a vendere il viagra sul sito
non perdere la carta di credito dei tuoi clienti
i dettagli sono chiaramente negativi
potenzialmente mettere la nostra azienda al lavoro
che sicuramente non si perdono i record
per come da quando l’intelligence militare
personale e questo include il loro
anche le famiglie, quindi queste erano
persone che potrebbero essere direttamente prese di mira
da parte di governi stranieri o criminali
elementi um ok, ecco perché la sicurezza
è importante la prossima cosa che voglio
parlare di ciò che è importante
i vettori di attacco all’attacco del container sono così
cose che sono forse particolarmente
importante e contenitore o micro-servizio
diciamo che è il primo in flusso di più
è ovvio che si preoccupa di ciò che attacca così
Probabilmente dovrei saperlo in una finestra mobile
sistema basato i contenitori hanno condiviso il
kernel con gli host e l’altro
contenitori che gestiscono ciò che
significa è se per esempio un panico del kernel
doveva succedere , pensiamo che non siano solo
come contenitore ma l’ host e tutto
contenitori su di esso in modo che sia certamente
qualcosa a cui pensare in relazione a
che se un contenitore inizia a usare molto
più risorse per esempio memoria che può
potenzialmente affamati di altri contenitori
sull’host e sull’unghia indipendente
il servizio continua sblocchi
ne parleremo molto e questo è
solo la preoccupazione che forse un aggressore
può uscire da un contenitore e sopra
la macchina host stessa o in un’altra
contenitori e immagini avvelenate così
è solo come fai a sapere di cosa c’è dentro
le tue immagini che stai utilizzando in particolare
le immagini che scarica dall’hub docker sono
sei sicuro di essere quello che pensi loro
siamo
sei sicuro che nessuno ne abbia manomesso qualcuno
in transito o a riposo e sei sicuro
non sono molto vecchi o durevoli
versioni dei segreti del software così abbiamo
ti ho parlato delle password API
password di database e token API per a
molto tempo ma diventa che ho intenzione di farlo
mantieni il problema con i micro servizi che hai
ho ottenuto tutti questi contenitori e
andando giù vivendo solo per pochi secondi
quindi dobbiamo essere in grado di automatizzare come noi
porta i nostri segreti nei nostri contenitori ecc
paradigmi di sicurezza quindi cosa voglio che tu faccia
pensare a qui è come dovresti pensare
sulla sicurezza quando progetti il
sistema e ci sono due principali paradigmi
voglio che tu tenga presente il primo
è difesa e profondità quindi non limitarti a fare affidamento
su nessuno sono per la sicurezza no
affidati a Freud come un firewall
sistema sicuro e un firewall
hai bisogno di altri livelli come la crittografia
e monitoraggio e così via e l’analogia
è con un castello dove non sei tu
avere il fossato che hai batte battement spesso
muri hai i parafanghi e il
dentro sparando hai i colori della parte
ecc e anche per essere più conserva dentro
quindi c’è un sacco di livelli per arrivare
prima che tu possa arrivare ai gioielli della corona
per così dire e anche il concetto di minimo
privilegio questo è un paradigma molto antico
risale a credo anni ’70 di Jerome
Seltzer qualcuno e sostanzialmente dice
che un processo o un contenitore, se solo tu
avere accesso ai dati e alle risorse
che sono essenziali per la sua funzione sì
quindi per esempio se il tuo contenitore lo fa
bisogno di accedere a un database
Non dovrei essere nemmeno sulla stessa rete
necessariamente se un database e certamente
Shemail per connettersi ad esso è un grande
parla con questo McCauley e il rivenditore Monica
che sono ingegneri della sicurezza in docker e
hanno fatto meno chiacchiere
micro servizi privilegiati alla moneta mobile
l’anno scorso quindi ti incoraggio a guardare
che se vuoi saperne di più su questo
tutta la demo ho un sì così ho
fatto questa cosa solo una o due volte
potrebbe andare terribilmente male quello che ho fatto
se hanno eseguito questo contenitore chiamato
Noatak
quello che dovrebbe darvi un indizio che ho
forse le cose andranno male, lo so
è un servizio semplice che mi consente
per caricare un file Yama quindi ti mostrerò
un esempio oh vedo il file giallo
per prima cosa abbiamo semplicemente un file come Yama
che stiamo andando a caricarlo
So che questo è evidenziato è molto
servizio semplice ma si scopre il
la biblioteca dei giovani sta usando è vulnerabile
e così se carichiamo questo file dll e
dovrebbe già vedere qualcosa di non proprio
proprio lì così qualche codice JavaScript in
ci carichiamo questo ciò che otteniamo è questo
così puoi vedere che qualcosa non è abbastanza
giusto tornerò alla pagina principale
la nostra pagina principale è stata sovrascritta così
chiaramente non è una buona situazione per
essere dentro e se questo non ti capita
idealmente avrai o sospetti il tuo
sistemi in qualche modo compromessi
idealmente avrai delle linee guida in
posto che è possibile fare riferimento a e
affrontare situazioni come questa ma tu
prima quello che vuoi fare è isolare
il contenitore sono probabilmente il cavallo
quello va in giro e poi tu
vuoi che tu non voglia cancellare il
contenitore perché si vuole come lo sguardo
a esso e analizzare e capire come
è stato violato in modo da poter evitare che in
il futuro e preferibilmente non lo fai nemmeno
voglio fermarlo perché potrebbero anche
voglio guardare un processore quando sono
dentro ma devi isolarlo
immediatamente sono solo alcuni strumenti che possiamo
usare così il modo più semplice per isolare a
container è anche ottenere questo comando
correggi sì sì che dovrebbe connettersi
disconnetti il contenitore funzionante da
la rete docker quindi presumo che io
ricarica sì, quindi non è accessibile a nessuno
e poi è ancora in esecuzione e anche
anche se non era quando era solo
fermato posso ancora analizzare il
filesystem in modo che io possa vincere la morte e
questo mi dice quali file sono cambiati
perché l’ immagine è stata creata su così posso
vedi che qualcuno ha modificato il loro indice
punto HTML da appena in esecuzione diff
quindi ci sono già alcuni strumenti di docker
ti dà per aiutare ad analizzare le tasse ecc
okay sì, ma occasionalmente c’è anche
un sacco di modi in cui possiamo mitigare gli attacchi
in questo modo usando una sorta di finestra mobile semplice
strumenti e voglio mostrartelo subito
di questi li ho chiamati di sola lettura quindi se
hai solo detto che dovremmo solo segnalare cosa
succede è il file system del contenitore è
imposta sola lettura in modo che possiamo vedere cosa succede
se eseguiamo nuovamente, smettiamo di rimuoverlo
contenitore e lo farò nuovamente ma è stato un
video sul file system
si spera che sia di nuovo
sì, così provo a caricare lo stesso Yama
file ottengo un’eccezione e questo semi
la prima pagina va bene chiederei perché
docker a hi fermato nel
JavaScript da lui per scrivere nel file così
Non posso offrire la pagina principale così
è molto importante sottolineare che
non è una soluzione
è una mitigazione, è una cosa tagliata
ciò che l’aggressore è in grado di fare ma
sono ancora di più un loro exploit
sai che l’attaccante è ancora in esecuzione
JavaScript sul nostro computer quindi
la vera soluzione è in realtà per rimuovere il
giovani vulnerabili vivi ci siamo ingrossati
dentro quel contenitore e idealmente lo faremmo
essere in grado di farlo automaticamente giusto
potremmo nel nostro processo di costruzione potremmo
scansiona automaticamente le nostre immagini
vulnerabilità come questo e quello
così è quando stavo davvero iniziando a
decollare nella comunità docker così
ci sono un sacco di utility ora che io
fare l’ immagine Karen non c’è lista che sia
la soluzione di Doctor Inc di cui hanno parlato
è già un po ‘ ma in realtà non lo è
andato a mentire per il pubblico ancora ancora io
credo che sia letteralmente la metà della notte
di questa settimana e della prossima settimana però come
altre soluzioni sono chiare dal sistema operativo principale
che è una soluzione gratuita e open source
l’oratore di Skylock che ho suonato
con un po ‘di tempo fa l’immagine in un attimo
blocco ed è anche scala atomica
convertitore dld approssimativamente la stessa cosa così
tutto quello che fanno è che stai dando la tua immagine
sì, Floyd
Lo manderò comunque al server e
ti dice quali bollette Vernon ha multe
basato su CVE quindi questo è quello che ho ottenuto quando
Ho caricato quell’immagine in modo interessante
praticamente tutte le vulnerabilità
che le multe sono dal sottostante
Immagine di Debian e questo è come un ultimo
Immagine di Debian e hub docker così
apparentemente 113 abilità di Havener in
questo caso posso chiaramente non è buono
e troverete al minuto se si
hanno anche un’immagine Debian che hanno
ci sono state ferme abilità in generale
in cose come lib ping come uno dei
quelli grandi e cose che possibilmente
non mi interessa, ma non è ancora un
ottima situazione ma questo non è un
contenitori guasto anche per Debian
VM er e quando fare VM hai ancora
quelle stesse vulnerabilità sono solo loro
non patchato di default del minuto tu
non può molto piacere una cosa più minimale e
ci arriveremo in un minuto ma a
almeno è evidenziato quel problema e noi
posso andare avanti per sistemare le cose da lì e
sì, questa è la parte successiva, lasciami parlare così
solo guardando alcuni suggerimenti specifici e
tecniche per assicurare sistemi così tanto
di persone chiedono ai nostri contenitori più sicuri
rispetto alle macchine virtuali e poi alcune
interesse per l’esca di avere ma è
anche un po ‘ di falsa dicotomia perché
generalmente stai usando macchine virtuali
e contenitori insieme
più comunemente gestirai il tuo
contenitori e macchine virtuali del sito e
quello che puoi fare è usare le macchine virtuali
per segregare gruppi di contenitori a
livello di riservatezza in modo da poter fare a
livello di utenti ma puoi anche fare a
livello di sistemi in modo da poterne avere uno
gruppo di contenitori che sta facendo il tuo
elaborazione per i dettagli della carta di credito su
l’altro set di contenitori che è
maneggiando e OGS front end e puoi
mantenere quelli e impostare con VM in questo modo
se un attaccante irrompe nell’OGS
front-end hanno ancora molto lavoro
fare prima che possiamo ottenere il merito
contenitori di elaborazione delle carte questo è più
qualcosa solo per essere consapevoli se qualcuno di
qualcuno ha accesso per iniziare il tuo
i contenitori hanno fondamentalmente radice
l’accesso a destra dell’host che potevano per
esempio
monta la directory radice e gioca con
cose così
mi dà l’accesso al dottore che hai dato
ha accesso come root a quella macchina e
per questo devi essere molto
attento a dare accesso a se lo sei
usando l’API remota assicurati
controllo che dispone di tasti e consentire solo
accesso tramite le reti interne o VPN
quando gli interessi sono come contenitori
che non tutto
è il namespace giusto quindi una cosa è
non lo spazio dei nomi è il tempo, quindi i tanghi il
lo stesso in un contenitore sull’host il
il portachiavi del kernel non ha un nome distanziato e
anche gli utenti non sono abbastanza spazio dei nomi al
minuto ciò significa che è un UID in a
contenitore è solitamente lo stesso CID in
l’ host quindi se sono in esecuzione come root in a
contenitore
Mi limiterò a contenere un attacco
promemoria per rompere il contenitore loro
sarà quindi root sull’host che è
chiaramente una brutta situazione ce ne sono alcuni
lavorare per affrontare questo livello di docker
quindi c’è come nomi utente Bacino
è apparso nel dottore 110 ma ci sono
alcuni e quello che fa è questo
ha automaticamente mappato la radice ad un livello elevato
utente numerato nell’host ma ci sono
alcuni problemi, ad esempio, non puoi usarlo
con video nei file system al momento
non puoi usare un – solo Nicol l’host o
– – PID uguale a host e c’è anche
alcuni problemi intorno ai volumi, quindi puoi
avere problemi ad usare quel nome utente
spaziatura e per questo motivo è molto
importante per impostare gli utenti per il tuo
contenitore così sarai nel tuo
contenitori che imposteremo l’utente per il
processo per eseguire noi e questo è molto
semplice da fare puoi semplicemente aggiungere io in realtà
ha preso questo esempio dalla finestra mobile Redis
file in modo da poter vedere tutto quello che stiamo facendo è
eseguendo il comando del gruppo di pod comandante
o file docker che crea questo utente
e quindi possiamo usare la dichiarazione dell’utente
per passare quell’utente e questo richiederà
effetto per tutte le seguenti righe in
file di docker e quando si avvia il
contenitore in alcuni casi si consiglia di
fare qualcosa come rotta quando il tuo
il contenitore si avvia per esempio cambio
la nave puntatore per missioni e file
e in tal caso si vorrà creare
uno script di entry point che fa ciò che tu
do è route e quindi passa a
l’ utente con privilegi minori lo abbiamo visto
già ma è molto molto efficace
modo di controllo dell’accesso limitante
attaccanti
dopo che un sistema ha appena messo una perlina
il file system è anche molto semplice
fare e un sacco di casi le applicazioni non lo faranno
sii felice quando leggo solo perché
ne avranno uno o due temporanei
i file che vogliono scrivere per quello che puoi
fai è possibile montare esplicitamente quelli di
il volume in modo da sorta di chiamate messo in
la vista sul file system è anche possibile
usare temp è per cose del genere
abbastanza bello e questo è un sai quando
il contenitore scende che abbiamo cancellato
così che può essere abbastanza
tecnica interessante molto simile a noi
può rendere i volumi come di sola lettura in modo che il
l’attaccante non può sovrascrivere le cose
capacità in modo che il kernel Linux definisca a
tutta una serie di funzionalità come 30 o 40
diverse serie di capacità che noi
mappa su due gruppi di chiamate di sistema
sistema del kernel causato per impostazione predefinita un dock
contenitore ottiene un sottoinsieme ragionevolmente grande
di questi, ma in nessun modo tutto ciò che puoi ottenere
la maggior parte delle funzionalità aggiungendo il –
– bandiera privilegio o è possibile
rimuovere i privilegi specifici usando cap
drop e kappahd quindi in questo primo
esempio è un puntatore che cosa fa
non funziona così possiamo farlo nel primo
l’esempio stava abbandonando la possibilità di impostare
il bit UID impostato sui file binari e sul set
G idea e binari e nel secondo
esempio stiamo lasciando cadere il tutto
capacità e solo aggiungendo di nuovo solo
come una volta che ce n’è bisogno, ce ne sono un paio
problemi questa tecnica il primo
essendo come fai a sapere quali funzionalità
il tuo contenitore ha bisogno non è davvero
banalmente è una specie di prova
e sperimentare caso al minuto e il
il secondo è che ci sono alcune capacità
Penso che sia sysadmin e admin netta
mappare un intero gruppo di cause del kernel
c’è solo troppo in loro non lo sono
abbastanza granulare che è stato affrontato
il minuto da sit comp così ci sta bene
comp supporta un kernel Linux più recente e
nuove versioni di docker ma è necessario
essere in esecuzione come un kernel Linux
scritto per e che ti permette di
definire in modo specifico quali chiamate del kernel
sono autorizzati a essere fatti
La condivisione della CPU, quindi in realtà raccomando il mio
di default non giochi con la CPU
condivide perché per default i contenitori
otterrà uguale accesso alla CPU in
evento di contesa ma in alcuni casi
si potrebbe voler dire dare una serie di
contenitori tasse più alte di altri così
come sai che potresti avere di più
importante elaborazione in batch e / o meno
elaborazione batch importante e altro ancora
importanti note interattive o qualcosa del genere
e quello che puoi fare è passare un mare
bandiera ma devi ricordarlo
è la finestra mobile utilizza ponderazioni qui e
questo è un peso relativo non 1 o 2 4
quindi in questo esempio la prima finestra mobile
contenitore ottiene il peso predefinito nel
uno o due per poi dopo ti viene dato un
peso in 5 1 2 quindi ciò che significa è
il primo contenitore può accedere al
la metà della CPU e un successivo 2 possono accedere fino
a un quarto ciascuno quindi devi
capire che questa ponderazione predefinita
uno o due quattro e come è stato risolto
che forse non è necessariamente ovvio
sai ad esempio che ti piace – c1
pensando che dirà una CPU condivide ma
Veramente un evento di contesa
se c’è un contenitore predefinito simile
e avranno tutto il C per te e
in realtà è quando non ne riceviamo nessuno così tu
bisogna essere un po ‘attenti a questo
la loro memoria limita questo è molto di più
importante perché di default un documento
il più magro può usare tutta la memoria che ha
Mi piace, ma puoi limitare la memoria
da pastner – m 512 megabytes in questo
caso questo scambia anche memoria con il mio
default con default che sarà anche
dargli 5 minuti e 12 megabyte di swap
memoria o un totale di un gigabyte e te
può controllare che impostare separatamente C ID e
si siedono i binari UID in modo predefinito
Le immagini Debian e Ubuntu vengono con alcune
binari che funzionano con elevato
privilegia un problema di questi è quello
Mitaka
entra nel tuo sistema che potresti essere in grado di
sfruttale questi binari per elevarli
i privilegi che la cosa è probabilmente tu
non ne hanno bisogno nei tuoi contenitori così
in realtà puoi solo tirarli fuori se
tu vuoi
e se si esegue questo comando fine in a
contenitore nel Debian predefinito
contenitore troverai un sacco di
programmi come questo e così per esempio
chissà cosa hanno offeso uno o due delinquenti
la gente quindi la maggior parte di voi non lo sa
ciò che CH offende che significa che non puoi
lo sto davvero usando ed è discutibilmente un
rischio di sicurezza voglio dire che è vecchio e
programmi ben mantenuti, quindi presumo
hanno capito che sai che non è stato ottenuto
il tuo rischio per la sicurezza potenzialmente acuto
ah e non ne hai bisogno quindi potrebbe
beh , tiralo fuori, a proposito
sta per cambiare le riprese, credo di si
è la cosa da cui viene usata la password
dito e Simpson ma è semplice
spegnere , possiamo solo portarci via
imposta il bit UID con un comando come questo
quindi stiamo facendo chmod a – sì e tutto il
file entrambe le missioni sono più 6.000 e
lo fa e poi di nuovo il comando
non ci sono immagini così minime
quindi questo in gran parte torna a quello
immagine precedente abbiamo visto un peeker e il
centotredici era un alto
vulnerabilità che puoi usare minimamente
immagini come quelle di Alpine che hanno molto meno
in essi c’è meno software che c’è
solo meno cose che possono essere sfruttate
e io in realtà sulla stessa cosa
Giocherò e trova zero per
di nobiltà Sono raccoglitrice si sa è quello di
analizzare e basato sul livello binario così
dovrebbe trovare le stesse vulnerabilità se
loro sono così in fondo se lo sei
molto meno software hai elencato TAC
superficie sì, guarda la nostra vernice
contenitore ma puoi andare ancora oltre
e basta creare un binario statico che
anche nel contenitore e avere no
sistema operativo a tutti così hai appena ottenuto
il kernel e il tuo file binario lì puoi
fallo con l’ oro, immagino che tu possa anche farlo
se lo compili come un binario C statico
Ovviamente non sto davvero riducendo il tuo
superficie di attacco vuol dire che puoi
avere più problemi come il debug e
roba perché non sarai nemmeno in grado di farlo
ottenere shell bash per esempio nel tuo
contenitore Linux moduli di sicurezza così
il kernel del delay consente di collegare la sicurezza
I moduli ci sono due più famosi SELinux
e un SELinux palmer era originariamente
sviluppato dalla NSA è
principalmente iride irato al prodotto ci dà
controllo di accesso basato sulla politica questa idea di
man controllo 3x che non può essere modificato come
contrario al controllo discrezionale degli accessi
e fondamentalmente applicato etichette e tipi
e confronta quelli con le etichette e
tubi che processano come accedere e
copre le interfacce socket di accesso ai file
è davvero abbastanza potente ma è abbastanza
dettagliato e può essere un po ‘ di un pinata
definire il carattere sulla politica è cosa
ti piace molto essere in grado di fare è dire
ok ho la mia politica del server web simile
per i miei contenitori di nginx andare a correre quelli
contenitori con quella politica e tu
non posso farlo ma lo trovo molto difficile
capire esattamente come scrivere il
politica e se lo si usa e io dico
devo usare i Vice Mapper qui io
penso che non sia più vero io
pensi di poter usare meglio le FS ma le
cosa sta usando i collegamenti su sono fondamentalmente
correre nell’ecosistema Reta molto probabilmente così
probabilmente stai utilizzando Device Mapper e
correndo su una delle rotaie delle arti r8
o inviato a noi per esempio o atomico e
la prima cosa che noti è che è
lavoro extra per lavorare per i volumi così per
esempio ha trasformato selinux , basta scrivere
un file sull’ammontare della lotta che è un volume
hai intenzione di ottenere il permesso negato
il ragionamento è un permesso negato
semplicemente perché il file non lo è
etichettato per essere accessibile da un
contenitore possiamo cambiarlo in modo equo
semplicemente con un comando CH conch ma tu
tipo di devo sapere che devi fare
una cosa del genere non sto facendo
completamente giusto qui non devi correre
il comando CH conch che puoi aggiungere
una chiamata e 0 no per inserire il – V
argomento e che tutti i tipi di corsa a
vedere il suo comando corrente nel
sfondo ma devi ancora essere come
per fare che fino armatura in modo che è molto
simile a vedere Linux ma un po ‘simile
forse non è così potente per cui è usato
dare un panino – sono interessante che lo farai
trova questo su impostazione predefinita così sei tu
container in esecuzione al debutto a
nel momento in cui stai usando un contadino e
di nuovo ai limiti dell’accesso del contenitore a
file e funzionalità del kernel e tu
puoi definire le tue politiche come processo
basato
Generalmente non sono così fine come
SELinux è anche qualcosa da appuntare il
iris ma
jessie Frizzell era un ingegnere a
docker sapere al mesosphere ha scritto uno strumento
chiamato beam e questo è abbastanza carino
piccolo modo di creare le tue politiche
e semplicemente semplice per semplificare
cose così ho controllato se lo sei
interessato puoi anche eseguire una sicurezza
Kernel hardin quindi questa è solo una particella
molto sicurezza fuori miglioramenti che il
i principali sono la sicurezza e la cosa principale
hanno è da Dio confezioni ed è
fondamentalmente un insieme di memoria poco
protezione quindi farò le cose così
randomizzare le cose nella memoria e anche io
non ottenere certe aree di memoria come a
read-only e quindi può essere eseguito
cetera ci sono un paio di problemi
tendono a rimanere indietro rispetto al kernel più recente
versioni potremmo avere caratteristiche che tu
voglio usare l’ultima versione del kernel
che non sono disponibili nel tuo
sicurezza ed è anche minorenne
degrado delle prestazioni um verificare le immagini
quindi questo torna ai danni da veleno
idea vuoi essere sicuro che le immagini
che stai correndo sono ciò che pensi
lo sono e tu sai dove vengono
da così se ottieni immagini da una finestra mobile
hub al minuto direi provando ad usare
l’immagine ufficiale se puoi e tu
non è possibile utilizzare un’immagine ufficiale assicurarsi
tu usi solo un conto automatico non andare
e usare come un’immagine casuale perché
non sai cosa c’è lì dentro
almeno quando il bail-in automatico va e
controlla il file docker Posso andare a trovare il file
fonti github da cui è stato costruito
e verifica cosa sta succedendo anche lì
andando oltre e basta scaricare il
fonte e costruisci te stesso e quello
ti dà un ulteriore livello di sicurezza per
assicurati che quello che stai tirando è quello che tu
pensare è come in non c’è stato
manomesso di riposo o di transito
e tu vuoi davvero o tirare da a
digest che è lungo come sha hashes o
attiva il contenuto del docker e questo è sicuro
in pratica consente una scena di immagini ecc
Sto auditing quindi una delle cose belle
docker giusto è questa idea di immutabile
infrastruttura in genere con docker
quando stai facendo funzionare i contenitori non lo fai
cambia i contenitori in esecuzione a destra
non è come i vecchi giorni VM quando noi
aveva un burattino o uno chef o qualcosa in esecuzione
ho aggiornato i pacchetti al volo
generalmente quello che fai è contenitori o
dovresti provare a farlo
contenitori che è in noi bisogno di aggiornare
qualcosa che si modifica il file docker voi
aggiorna l’immagine che crei una nuova
contenitore e poi rimuovi il vecchio
contenitore così è il modo in cui aggiorni
cose che non cambiano le cose nel tempo
nel contenitore solo le cose belle
questo significa che puoi controllare
le immagini offline e così una volta che hai
verificato l’immagini non in linea Ayumi tutto in
un’immagine e che coprirà come a
cento contenitori e tu puoi allora
verificare che i contenitori non siano andati alla deriva
dall’immagine che hai costruito usando
strumenti come dr. morte e anche a
mucchio di strumenti che parlo a spaventare
l’area come il pker e lo scheletro
twister che puoi usare per controllare il tuo
immagini per vulnerabilità ovviamente se
una vulnerabilità e anche l’abilità è
trovato che devi scansionare non solo il
immagini in produzione prima della cintura e
spinto ma anche le immagini in pergamena
segreti quindi questo è piuttosto un
argomento interessante Ho questo tagliata
qui così questo gatto è stato tagliato a Londra e
il suo padrone con il gatto che torna a casa
tutte queste cose le chiavi e bloccato tramite
il suo collare magnetico e in un primo momento il
il proprietario si è sentito dispiaciuto per quello che abbiamo
sempre stato contrassegnato so che lui è le chiavi e
roba ma è risultato che il gatto era
effettivamente andando a caccia del
le chiavi dei vicini e il giardino sul retro e
roba intenzionalmente e trascinandoli
a casa ma indovina Kostyra lucido lo so si
i vicini si arrabbiano un po ‘
quando le loro chiavi di riserva sono mancate così
le vie civili puoi condividere i segreti
con contenitori e come ho detto prima
questo è abbastanza devi essere che hai
a pensare davvero su questo uno come
perché il setup del server deve essere automatico
e il primo è il modo più ovvio
solo per scrivere i tuoi segreti nel
immagine giusta in modo da aver appena messo nel tuo
file docker come variabile il tuo token API
o comunque spero che tutti pensiate
è una pessima idea
perché nessuno è stato actus il
immagine sta per accedere ai vostri segreti
quindi non farlo
il prossimo modo e questo è abbastanza popolare
non è terribile, ma non è il mio
modo preferito e si può sedere in un ambiente
variabili per segreto quindi in questo caso noi
puoi vederti dire un epi a parlare con
ambiente variabile andrey persone intelligenti
usare questo è perché è suggerito da 12
utente di ops factor siamo un fattore di brivido
applicazioni
cosa stai bene si, quindi non sto bussando
riempire il fattore su così pedaggio mi piace molto
quel manifesto ma variabili d’ambiente
sono probabilmente migliori nelle macchine virtuali e le loro
contenitori e la ragione è che possono
essere visto in troppi posti proprio così
se hai usato – – link alla rete
contenitori che il contenitore di link ottiene
accesso a tutte le variabili in utente
contenitore se si esegue finestra mobile si ispezionare
vedi le variabili qui su PS puoi vedere
le variabili non puoi cambiarle una volta
o impostare in modo che non è come si può solo
li sovrascrivi oh e quindi ottieni problemi
come per esempio se qualcuno supporta
tipo di dottore in pelliccia
ispezionare o il tipo di articolo env e voi
dire in loro senza pensare e
improvvisamente ti è piaciuto condividere tutto il tuo
segreti attraverso token API con il
sostenere le persone per sbaglio, quindi questo è il
motivo per cui non mi piace l’ambiente
variabili sì sì, se non stai usando
etichette ambientali cosa puoi fare bene
l’unica altra opzione facile è quella di usare
volumi in modo da mettere i tuoi segreti nel
volume e rendi ciò che non puoi semplicemente fare
l’ intero file di configurazione con a
segreto al suo interno quindi niente solo il
il segreto stesso e questo è abbastanza semplice
e funziona è un po ‘icky I
indovina il problema principale è un file così a
tendenza a essere condivisi e controllati
controllo di versione Barkston e il futuro
Credo appartenga al valore chiave sicuro
negozi ci sono due principali per questi
amministra ed è questo è solo lo stesso
idea è come un negozio di valore chiave Redis
ma è impostato appositamente per lo store
informazioni sensibili come token API
e certificati TLS e ce ne sono due
soluzioni principali vault e modi chiave e
tendono ad avere un sacco di belle
caratteristiche come leasing in modo da poter vedere come
lunghi segreti buoni da prendersi cura
dintorni crittografati correttamente
e questo credo che siano quattro le cose
andando ma si sente un po ‘di lavoro da ottenere
lì e probabilmente stai chiedendo bene
come hai avuto accesso al valore chiave
negozio non richiede un segreto e
il tipo di fare giusto così hai ancora bisogno
piace usare una variabile di ambiente o
qualcosa per ottenere l’accesso al valore chiave
negozio ma sono alcune cose che puoi fare
potresti usare come una password unica
così dopo che il tuo contenitore accede alla chiave
valore memorizza la conversazione a cui era abituato
accedere a quello che è il key value store
invalidato e non può essere utilizzato di nuovo così
anche se è dato via o trapelato o Ana
bersagli è inutile per loro uh penso
vault ha la sua idea di un PI d 4 da esso
genera un token basato su alcuni
informazioni che ha già come un MAC
indirizzo c’è anche una bella idea del
volume plugin così usando un volume
plugin che si è possibile utilizzare un plugin di volume
è possibile impostare l’autenticazione per
archivio di valori chiave al di fuori del contenitore
e all’interno del contenitore trovi un file
questo è pensato per i segreti di Vollis che hai
accesso a dentro così definitivamente
questa è una caratteristica ma forse no
abbastanza lì ancora
sì, in conclusione, un punto principale che voglio
per renderlo come contenitori e
sicurezza sono identici
isolamento al sistema esistente così qui
Vernon con le VM in un minuto intendo
o in contenitori che non hai intenzione di
diventa meno sicuro a meno che tu non faccia qualcosa
molto stupido, basta aggiungere di più
strumenti o più isolamento e tu hai
strumenti extra con cui lavorare per limitare
e attaccanti se ne siete preoccupati
la sicurezza del contenitore viene utilizzata da VM e
tenere a mente i principi di difesa e
profondità e almeno privilegio e questo è
vi ringrazia
Va bene così abbiamo un paio di domande in modo
la prima domanda immagino che tu già
ho appena risposto davvero che ne pensi
quei contenitori sono intrinsecamente più
insicuro o pensi che il
i problemi di sicurezza sono semplicemente diversi e
non familiare alle persone ed è per questo che
le persone hanno problemi con esso così sì
sono diversi, voglio dire che le persone lo fanno
a volte confrontare come protezione del DM
sicurezza del contenitore e fanno il
punto che potrebbe essere assunto hypervisor
più sicuro di come il kernel ma
Non sono sempre convinto con il
argomento che forse lo è ma sì sì
se sei preoccupato, usa VM alcune
contenitori insieme e basta danno
tutti questi strumenti extra di sicurezza così
a lungo termine penso sia fantastico
per sicurezza va bene c’è ne
situazioni in cui non useresti
contenitori a causa di un rischio per la sicurezza
beh no, questo è quello che vorrei dire come lui
avere una specifica preoccupazione che si finisce per correre
i tuoi contenitori in VM per indirizzare il
rischio quando quando voi ragazzi create
contenitori corri, hai un?
continuo un sistema di build che convalida
loro contro uno di questi strumenti di controllo
per le cose che giocano ma io sono
fare le cose, ma questo è molto
nuova tecnologia hmm e intendo che lo farò
workshop di ieri e ho avuto problemi
farlo funzionare per quell’officina e
solo che ci sono cose sanguinose , quindi io
pensate vedrai che venendo sopra la
il prossimo anno o giù di lì sono al minuto
letteralmente la finestra mobile della prossima settimana penso che dopo
settimana o settimana prossima o due rotoli docker
come un lancio Nautilus e che volontà
scansiona automaticamente le tue immagini non lo sono
certo che devi pagare per qualsiasi cosa, forse
sarà per le immagini pubbliche non private
immagini non sono sicuro, sì, perché potrei
immagina che anche essere parte del
la stessa CLI più scura va bene, basta controllare se
Io di default sì, intendo quello che davvero
voglio che sia come Jenkins qualsiasi cosa controllare
non sono come apprezzare non c’è
proiettile
ok, c’è un modo per mostrarti
alcune bandiere di sicurezza che vuoi
da usare in generale quando lo fai
diversi tipi di operazioni è lì a
modo per abilitare questi flag di default così
non devi davvero prenderli in considerazione
le cose in fase di sviluppo sono buone
domanda e la risposta non è davvero
al minuto ma penso che ci sia
qualcosa sta guardando se questo è
idea dei profili di sicurezza così avrai
un profilo che mi dice un contenitore o
la tua immagine piuttosto so che dice quale
i permessi di cui ha bisogno in modo che tu sappia anche
quel file system di sola lettura probabilmente
ha bisogno di un file system di sola lettura, ecc
pensa che il futuro sia luminoso, ma sappi cosa
nel momento in cui ne hai bisogno, devi solo
conoscere altre opzioni ok, grazie
È Adrian vi ringrazio
Please follow and like us: