Was ist Container-Sicherheit?

Der Schutz des Hosts beginnt mit der Auswahl des verwendeten Betriebssystems. Wann immer möglich, sollten Sie ein verteiltes Betriebssystem verwenden, das für die Ausführung von Containern optimiert ist. Wenn Sie Standard-Distributionen von Linux® oder Microsoft® Windows® verwenden, sollten Sie Services, die nicht notwendig sind, deaktivieren oder entfernen und das Betriebssystem allgemein härten. Ergänzen Sie anschließend eine Ebene mit Sicherheits- und Überwachungstools, um sicherzustellen, dass Ihr Host funktioniert wie erwartet. Tools wie eine Applikationskontrolle oder ein Intrusion Prevention System (IPS) sind in diesem Fall sehr hilfreich.

Wenn Ihr Container in der Produktion eingesetzt wird, muss er mit anderen Containern und Ressourcen interagieren. Dieser interne Datenverkehr muss überwacht und geschützt werden, indem Sie den gesamten Netzwerkdatenverkehr aus Ihren Containern über ein IPS leiten. Das verändert die Art und Weise, wie Sie Sicherheitskontrollen verwenden. Statt eine kleine Zahl sehr großer herkömmlicher IPS-Engines im Perimeter einzusetzen, implementieren Sie das IPS auf jedem einzelnen Host. Das ermöglicht Ihnen, den gesamten Verkehr wirksam zu überwachen, ohne die Leistung wesentlich zu beeinträchtigen.

Wenn Ihr Container in der Produktion eingesetzt wird, verarbeitet er fortwährend Daten für Ihre Anwendung, generiert Protokolldateien, speichert Dateien im Cache usw. Sicherheitskontrollen können mit gewährleisten, dass es sich dabei um gewöhnliche und nicht um bösartige Aktivitäten handelt. Die Anti-Malware-Kontrollen, die in Echtzeit auf den Inhalt des Containers ausgeführt werden, sind für den Erfolg entscheidend.

Auch hier spielt ein IPS eine wichtige Rolle, und zwar in Form eines Nutzungsmusters, das unter der Bezeichnung „virtuelles Patching“ bekannt ist. Wird remote eine Sicherheitslücke erkannt, kann die IPS-Engine Versuche erkennen, diese auszunutzen, und Pakete ausgeben, die Ihre Anwendung schützen. Dies verschafft Ihnen die Zeit, die Sie brauchen, um die Ursache in der nächsten Version dieses Containers zu beheben, statt eine Notlösung zu forcieren.

Wenn Sie Ihre Anwendung in einem Container bereitstellen, kann eine Sicherheitskontrolle nützlich sein, mit der sich Ihre Anwendung zur Laufzeit selbst schützt (Runtime Application Self-Protection, RASP). Diese Sicherheitskontrollen laufen innerhalb Ihres Anwendungscodes, fangen häufig Schlüsselaufrufe innerhalb des Codes ab oder halten sie fest. Neben Sicherheitsfunktionen wie SQL-Überwachung, Prüfung und Beseitigung von Abhängigkeiten, URL-Verifizierung und anderen Kontrollmaßnahmen kann RASP auch eine der größten Herausforderungen im Bereich Sicherheit bewältigen: die Ermittlung der Ursache.

Da sie innerhalb des Anwendungscodes positioniert sind, können diese Sicherheitskontrollen helfen, die Verbindung zwischen einem Sicherheitsproblem und der Codezeile herzustellen, die das Sicherheitsproblem verursacht. Dieser Grad an Intelligenz ist nur schwer zu übertreffen und verbessert Ihre Sicherheitslage deutlich.

Hinsichtlich der Sicherheit wird der Management-Stack, der die Koordination Ihrer Container unterstützt, häufig übersehen. Jede Organisation, die es mit dem Einsatz von Containern ernst meint, braucht letzten Endes zwei kritische Infrastrukturkomponenten, die bei der Verwaltung des Prozesses helfen: eine Container-Registry für Datenschutz, wie Amazon ECS, und Kubernetes, um den Einsatz von Containern zu orchestrieren.

Die Kombination aus Container-Registry und Kubernetes ermöglicht Ihnen, vor – und während – der erneuten Bereitstellung in Ihrer Umgebung automatisch festgelegte Qualitäts- und Sicherheitsstandards durchzusetzen.

Registrys vereinfachen die gemeinsame Nutzung von Containern und helfen den Teams, auf den Ergebnissen anderer aufzubauen. Um sicherzustellen, dass jeder einzelne Container Ihre Entwicklungs- und Sicherheitsstandards erfüllt, benötigen Sie jedoch einen automatisierten Scanner. Wenn Sie die einzelnen Container auf bekannte Sicherheitslücken, Malware und exponierte Geheimnisse scannen, bevor sie in der Registry verfügbar sind, können Sie nachgelagerte Probleme reduzieren.

Zusätzlich sollten Sie sicherstellen, dass die Registry gut geschützt ist. Sie sollte auf einem gehärteten System oder einem sehr seriösen Cloud-Service betrieben werden. Auch wenn Sie auf ein Service-Szenario setzen, müssen Sie das Modell der geteilten Verantwortung verstehen und einen starken rollenbasierten Ansatz für den Zugriff auf die Registry implementieren.

Wenn Kubernetes in Ihrer Umgebung eingesetzt wird, erzielen Sie eine Vielzahl an Vorteilen für die Orchestrierung. Ihre Teams können Ihre Umgebung dadurch optimal nutzen. Kubernetes ermöglicht Ihnen außerdem, eine Reihe von Kontrollen für den Betrieb und für die Sicherheit zu implementieren, z. B. Richtlinien für Pods (Ressourcen auf Cluster-Ebene) und für Netzwerksicherheit. Auf diese Weise können Sie verschiedene Optionen durchsetzen, um Ihre Grenzwerte für Risikotoleranz einzuhalten.

Sie sollten einen Workflow für das Scannen von Container-Images einrichten, um sicherzustellen, dass die Container, die Sie als Komponenten verwenden, zuverlässig und vor häufigen Bedrohungen geschützt sind. Im Rahmen dieses Workflows scannen Tools die Inhalte eines Containers und suchen nach Problemen, bevor der betreffende Container als Element für Ihre Anwendung verwendet wird. Vor der Bereitstellung des Containers in der Produktion werden außerdem abschließende Prüfungen durchgeführt.

Bei korrekter Implementierung wird das Scannen zu einem natürlichen Bestandteil des Kodierungsprozesses. Es ist ein vollautomatisierter Prozess, der schnell und einfach Probleme erkennt, während Sie Ihre Anwendung und deren Container entwickeln. 

Angreifer verlagern zurzeit ihre Angriffe auf frühere Phasen Ihrer Pipeline für kontinuierliche Integration und Bereitstellung (CI/CD). Wenn ein Angriff auf Ihren Build-Server, Ihr Code-Repository oder Ihre Entwickler-Workstations erfolgreich ist, kann sich der jeweilige Angreifer deutlich länger in Ihrer Umgebung aufhalten. Daher benötigen Sie eine Reihe starker Sicherheitskontrollen, die kontinuierlich aktualisiert werden.

Sie müssen für die gesamte Pipeline eine robuste Strategie für die Zugriffskontrolle implementieren, vom Code-Repository und der Verzweigungsstrategie bis hin zum Container-Repository. Bauen Sie dabei auf den Grundsatz der minimal benötigten Berechtigung – das heißt, Sie dürfen den Zugriff nur in dem Ausmaß erteilen, der für die Ausführung der jeweiligen Aufgaben erforderlich ist. Dieser Zugriff muss regelmäßig überprüft werden.