Qu’est-ce que la sécurité des conteneurs Azure ?

Voici quelques éléments à prendre en compte lorsque vous sécurisez vos conteneurs Azure :

Comme pour n’importe quel conteneur, la sécurisation d'images sur les conteneurs Azure est l’une des étapes de sécurité les plus importantes que vous pouvez mettre en place. Les conteneurs sont créés à partir d’images stockées dans des référentiels. Chaque image contient plusieurs couches logicielles qui peuvent, individuellement, contenir des vulnérabilités et peuvent être compromises. En n'autorisant que les images de conteneur approuvées dans votre environnement de développement, vous réduisez fortement la surface d'attaque pour les cybercriminels. Il est important d'avoir des processus et outils explicites en place, qui surveilleront et éviteront l’utilisation d'images de conteneur non approuvées.

Une autre option pour le contrôle du flux des conteneurs dans l’environnement est la signature d'image ou les empreintes digitales. Cela peut fournir une chaîne de protection qui vous permet de vérifier l’intégrité des conteneurs et les images de conteneur. Avant d’envoyer des images dans le registre, il est essentiel d’effectuer une analyse de la vulnérabilité sur les conteneurs, en évaluation finale une fois le développement de conteneur terminé.

Le moindre privilège est une bonne pratique de sécurité basique qui doit également être appliquée aux conteneurs Azure. Lorsqu’une vulnérabilité est exploitée, via des images ou des kernels, elle donne un accès aux attaquants et potentiellement même des privilèges à plusieurs clusters et régions. Le fait de vérifier que les conteneurs fonctionnent avec le moindre privilège et l'accès requis pour accomplir une tâche réduit votre exposition aux risques.

En supprimant tous les privilèges inutiles, si un collaborateur change de poste ou quitte l’entreprise, vous réduisez la surface d'attaque des conteneurs. Vous pouvez également réduire la surface d'attaque potentielle en éliminant tous les privilèges ou processus inutiles ou inutilisés de l’exécution de conteneur.

Les conteneurs Azure sont créés à partir d’images qui sont stockées dans un registre public ou privé. La récupération d'images à partir de registres publics peut sembler plus facile, mais la sécurité n’est pas garantie. Comme indiqué ci-dessus, les images de conteneur possèdent plusieurs couches de logiciels et chaque couche peut comporter des vulnérabilités.

Les images sur un registre public sont plus susceptibles de comporter des logiciels malveillants que celles figurant dans un registre privé. Les images sur des registres privés sont plus susceptibles d’être analysées correctement et présentent moins de risques. Les registres privés sont gérés et possèdent des contrôles d'accès basés sur les rôles, qui fournissent plus de gouvernance et de sécurité. Azure Container Registry, Docker Trusted Registry ou le projet open-source Harbor de la Cloud Native Computing Foundation sont quelques exemples de registres d'images de conteneurs privés.

Tous les ordinateurs sont construits à partir de pièces de matériel. Le noyau, une partie logicielle intégrée au système d’exploitation, sert de liaison afin de permettre l’interaction entre le matériel et le reste du système. Contrairement aux machines virtuelles, les conteneurs possèdent un trafic de réseau ouvert sur leurs services, ainsi qu’un noyau partagé. La capacité à partager le noyau du système d’exploitation hôte est l’un des plus grands avantages du conteneur ; cependant, elle constitue également une source importante de problèmes de sécurité.

L’isolation entre le noyau et les conteneurs est faible pendant l’exécution, ce qui signifie qu’une vulnérabilité située dans le noyau du système d’exploitation partagé peut ensuite être utilisée pour exploiter des conteneurs ou y accéder. Les attaquants peuvent manipuler les comportements d’exécution du système d’exploitation sans injecter de code malveillant, simplement en altérant les données du noyau dans la mémoire.