La Seguridad para Containers?es el proceso de la implementaci¨®n de herramientas y pol¨ªticas de seguridad para asegurar que todo dentro de su container est¨¢ corriendo de forma correcta, incluyendo la protecci¨®n de la infraestructura, la cadena de suministro de software, runtime y m¨¢s.
Seguridad para containers
El proceso de protecci¨®n para los containers debe de ser continuo. Debe de integrarse al proceso de desarrollo, automatizado para eliminar el n¨²mero de toques manuales y extendido hacia el mantenimiento y la operaci¨®n de la infraestructura subyacente. Esto significa proteger sus im¨¢genes de container en el pipeline de desarrollo y en las capas de aplicaci¨®n, plataforma y host. Implementar la seguridad como parte del ciclo de vida de entrega continua significa que su negocio mitigar¨¢ el riesgo y reducir¨¢ las vulnerabilidades a lo largo de una superficie de ataque en constante expansi¨®n.
Cuando proteja los containers, los temas principales son:
La meta de la ciberseguridad es asegurar que lo que sea que desarrollo funcione como lo ha determinado y s¨®lo como lo ha determinado
Nombres relacionados
Conozca algunos de los nombres que los negocios est¨¢n utilizando para las necesidades de los containers: Docker?, Kubernetes?, Amazon Web Services? (AWS), y Microsoft?.
Protegiendo Docker
Antes de que comience a proteger a sus containers, necesita conocer a los jugadores clave. Docker, l¨ªder en el mercado de containers, ofrece una plataforma para desarrollar, administrar y proteger aplicaciones. Docker permite que sus clientes desplieguen desde aplicaciones tradicionales hasta los ¨²ltimos microservicios donde sea. Como con cualquier otra plataforma de containers, necesita asegurar que tiene la protecci¨®n adecuada.?Conozca m¨¢s acerca de la?seguridad de containers de Docker.
Protegiendo Kubernetes
Kubernetes es el siguiente gran nombre que debe conocer. Kubernetes ofrece una plataforma de c¨®digo abierto port¨¢til y extendible para administrar workloads y servicios contenerizados. Aunque Kubernetes ofrece caracter¨ªsticas de seguridad, necesita una soluci¨®n de seguridad dedicada que pueda mantenerlo seguro, ya que ha habido un incremento de ataques en clusters de Kubernetes.?Conozca m¨¢s acerca de la?seguridad de Kubernetes.
Amazon Web Services y seguridad de containers
Ahora tenemos a Amazon Web Services (AWS). AWS entiende que la necesidad que existe por los containers para empoderar a los desarrolladores para entregar aplicaciones m¨¢s r¨¢pido y con mayor consistencia. Es por esto que ofrecen Amazon Elastic Container Service (Amazon ECS), un servicio escalable y de alto desempe?o de orquestaci¨®n de containers que soporta Docker. Elimina las dependencias de administrar sus propias m¨¢quinas virtuales y ambientes de containers y le permite correr y escalar f¨¢cilmente las aplicaciones contenerizadas de AWS. Sin embargo, como el resto de los jugadores clave antes mencionados, necesita seguridad para obtener los beneficios completos de este servicio. Conozca m¨¢s acerca de?la seguridad de containers en AWS.
Protegiendo Instancias de Microsoft Azure Container
Por ¨²ltimo, tenemos Microsoft? Azure? Container Instances (ACI). Esta soluci¨®n empodera a los desarrolladores para desplegar containers?en la nube p¨²blica de Microsoft? Azure? sin la necesidad de correr o administrar una infraestructura subyacente. Simplemente puede activar un nuevo container usando el portal de Microsoft? Azure?, donde Microsoft aprovisiona autom¨¢ticamente y escala los recursos subyacentes de c¨®mputo. Azure Container Instances permiten alcanzar una gran velocidad y agilidad, pero necesitan estar debidamente protegidos para aprovechar todos los beneficios.?
Ahora que ya conoce a los jugadores m¨¢s importantes, analicemos c¨®mo puede protegerlos, o haga click en los links arriba para las especificaciones para cada soluci¨®n. Conozca m¨¢s acerca de la?Protecci¨®n de Instancias de Microsoft Azure Container.
Protegiendo el host
La protecci¨®n del host inicia con la selecci¨®n del sistema operativo. Cuando sea posible, debe utilizar un sistema operativo distribuido que est¨¦ optimizado para correr containers. Si est¨¢ usando distribuciones de stock de Linux? o Microsoft? Windows?, querr¨¢ asegurarse que deshabilitar o eliminar servicios innecesarios y reforzar el sistema operativo en general. Entonces, agregue una capa de seguridad y herramientas de monitoreo para asegurar que su host est¨¢ corriendo de la manera en que lo espera. Herramientas como control de aplicaciones o IPS (intrusion prevention system) son muy ¨²tiles en esta situaci¨®n.
Una vez que su container est¨¢ corriendo en producci¨®n, necesitar¨¢ interactuar con otros containers y recursos. Este tr¨¢fico interno debe monitorearse y protegerse asegurando que todo el tr¨¢fico de red desde sus containers pase a trav¨¦s de un IPS. Esto cambia c¨®mo se despliega el control de seguridad. En lugar de implementar un peque?o n¨²mero de motores IPS grandes en el per¨ªmetro, podr¨ªa implementar el IPS en cada host, lo cual permite que todo el tr¨¢fico sea monitoreado efectivamente sin impactar al desempe?o.
Protegiendo la aplicaci¨®n en el container
Una vez que su container est¨¢ corriendo en producci¨®n, este est¨¢ procesando datos constantemente para sus aplicaciones, generando archivos de logs, haciendo cach¨¦s de archivos, etc. Los controles de seguridad pueden ayudar a asegurar que todas estas actividades ordinarias no sean maliciosas. Los controles anti-malware en tiempo real que corren en el contenido en el container son cr¨ªticos para el ¨¦xito.
Un IPS aqu¨ª tambi¨¦n juega un papel importante, en el uso de un patr¨®n llamado parcheo virtual. Si se expone una vulnerabilidad de forma remota, el motor IPS puede detectar intentos de explotarla y libera paquetes para proteger su aplicaci¨®n. Esto le compra el tiempo necesario para abordar la causa ra¨ªz en la siguiente versi¨®n de ese container en lugar de arreglarlo de emergencia.
Monitoreando su aplicaci¨®n
Cuando despliega su aplicaci¨®n en un container, un control de seguridad RASP (runtime application self-protection) puede ayudar. Estos controles de seguridad corren dentro del c¨®digo de su aplicaci¨®n y a menudo interceptan o atrapan llamadas clave dentro de su c¨®digo. Adem¨¢s de las caracter¨ªsticas de seguridad como el monitoreo de Structured Query Language (SQL), revisi¨®n y remediaci¨®n de dependencias, verificaci¨®n de URLs y otros controles, RASP tambi¨¦n puede resolver uno de los retos m¨¢s grandes en la seguridad: la identificaci¨®n de la causa ra¨ªz.
Al estar posicionado dentro del c¨®digo de la aplicaci¨®n, estos controles de seguridad pueden unir los puntos entre un problema de seguridad y la l¨ªnea de c¨®digo que lo cre¨®. Es dif¨ªcil competir con ese nivel de conocimiento y crea una mejora importante en su postura de seguridad.
Protegiendo su stack de administraci¨®n de containers
Desde una perspectiva de seguridad, el stack de administraci¨®n que ayuda a coordinar sus containers a menudo es ignorado. Cualquier organizaci¨®n que toma en serio su implementaci¨®n de containers inevitablemente terminar¨¢ con dos piezas cr¨ªticas de infraestructura para ayudar a administrar el proceso: un registro de privacidad de containers como Amazon ECS y Kubernetes para ayudar a orquestar el despliegue de los containers.
La combinaci¨®n de un registro de containers y Kubernetes le permite reforzar autom¨¢ticamente un conjunto de est¨¢ndares de calidad y de seguridad para sus containers antes, y durante, su implementaci¨®n en el ambiente.
Los registros simplifican compartir los containers y ayudan a que los equipos expandan sobre su trabajo y el de los dem¨¢s. Sin embargo, para asegurar que cada container cumple con sus l¨ªneas base de desarrollo y de seguridad, necesita un esc¨¢ner autom¨¢tico. Escanear cada container para detectar vulnerabilidades, malware y cualquier secreto expuesto antes de que est¨¦ disponible en el registro ayuda a reducir los problemas m¨¢s adelante.
Adem¨¢s, querr¨¢ asegurarse de que el registro tambi¨¦n est¨¢ bien protegido. Deber¨ªa correr en un sistema reforzado o un servicio en la nube de buena reputaci¨®n. Incluso en el escenario de servicio, necesita entender el modelo de responsabilidad compartida e implementar un fuerte enfoque basado en roles para poder acceder al registro.
Desde el lado de la orquestaci¨®n, una vez que Kubernetes est¨¢ corriendo e implementado dentro de su ambiente, ofrece un n¨²mero importante de ventajas que ayudan a asegurar que sus equipos obtienen el m¨¢ximo provecho del ambiente. Kubernetes tambi¨¦n ofrece la habilidad de implementar un n¨²mero de controles operativos y de seguridad, como Pod (recursos al nivel del cluster) y pol¨ªticas de seguridad de la red, permiti¨¦ndole reforzar varias opciones para cumplir con su tolerancia al riesgo.
Desarrollando su aplicaci¨®n en un cimiento seguro: escaneo de containers
Necesita tener un flujo de trabajo de escaneo de im¨¢genes de containers para asegurar que los containers que usa son confiables y est¨¢n seguros contra amenazas comunes. Esta clase de herramientas escanear¨¢n el contenido del container y buscar¨¢n problemas antes de que usen dentro de la aplicaci¨®n. Tambi¨¦n realizar¨¢ un conjunto final de revisiones antes de que un container sea desplegado a producci¨®n.
Cuando se implementa correctamente, escanear se convierte en una parte natural de su proceso de c¨®digo. Es un proceso completamente automatizado que puede f¨¢cil y r¨¢pidamente identificar cualquier problema mientras usted desarrolla su aplicaci¨®n y sus containers.?
Asegurando la integridad del pipeline de desarrollo
Los atacantes han comenzado a dirigir sus ataques hacia etapas m¨¢s tempranas del pipeline CI/CD. Si un atacante compromete exitosamente su servidor de desarrollo, repositorio de c¨®digo o estaciones de trabajo de desarrolladores, pueden quedarse m¨¢s tiempo en su ambiente. Necesita un conjunto de controles de seguridad fuertes que se mantengan actualizados.
Implemente una estrategia de control de accesos a lo largo del pipeline, comenzando en su repositorio de c¨®digo y estrategia de diversificaci¨®n, extendi¨¦ndose hasta el repositorio de containers. Necesita asegurarse de implementar el principio del menor privilegio ¨C solamente dando el acceso necesario para cumplir con las tareas necesarias ¨C y auditar esos accesos regularmente.
Uniendo los puntos
La protecci¨®n de sus containers requiere de un enfoque integral de seguridad. Debe asegurarse de que est¨¢ abordando las necesidades de todos los equipos dentro de su organizaci¨®n. Aseg¨²rese de que su enfoque puede automatizarse para adaptarse a sus procesos DevOps, y que puede cumplir con fechas l¨ªmite y entregar aplicaciones r¨¢pidamente mientras protege a cada grupo. La seguridad ya no puede dejarse de lado o agregarse al ¨²ltimo minuto, demandando cambios en su flujo entero de trabajo. Construir controles confiables de seguridad y procesos automatizados desde el inicio aborda estas preocupaciones de seguridad y hace que sea m¨¢s f¨¢cil cerrar la brecha entre equipos.?
Investigaciones Relacionadas
Art¨ªculos Relacionados