Docker??tiene muchas partes en movimiento, y protegerlo es m¨¢s complejo que proteger tecnolog¨ªas m¨¢s antiguas de implementaci¨®n. Requiere de un enfoque hol¨ªstico - desde los firewalls para las aplicaciones y las redes, hasta la defensa del container en runtime, hasta la protecci¨®n del host.
Seguridad de Containers Docker
Proteger un container de Docker no es muy diferente de la protecci¨®n de otros containers. Requiere un enfoque todo-incluido, que proteja todo desde el host hasta la red y cualquier cosa en medio. Debido a las partes en movimiento, asegurar la protecci¨®n de los containers es dif¨ªcil para muchas organizaciones, y requiere de m¨¢s que de un nivel rudimentario de vigilancia.
Cosas para considerar
Estas son algunas cosas para considerar al momento de proteger sus containers Docker:
Use cuotas de recursos
El uso de cuotas de recursos le da la capacidad de limitar el uso de la memoria y del CPU para un container. Configurar cuotas de recursos en cada containers no solamente ayuda a incrementar la eficiencia del ambiente, pero tambi¨¦n puede prevenir un desbalance de recursos a lo largo de todos los containers en su entorno.
Esto permitir¨¢ que sus containers se desempe?en a la velocidad que usted espera y, m¨¢s importante, mejoren su seguridad. Si un container se llegara a infectar con contenido malicioso, no podr¨ªa dejar entrar una gran cantidad de recursos, ya que la cuota lo ¡°cortar¨ªa¡±¡ªminimizando el impacto del ataque. Esta es una t¨¢ctica sencilla de seguridad que usted puede aprovechar usando alertas de l¨ªnea de comando.
Los containers de Docker no se deben correr como ra¨ªz
Al momento de desarrollar una aplicaci¨®n, es la mejor pr¨¢ctica adherirse al principio del menor privilegio. Esto significa limitar el acceso de la aplicaci¨®n a solamente los recursos que necesita para funcionar. Esta es una de las mejores formas de proteger sus containers contra accesos no autorizados.
Cuando se trata de la seguridad de sus containers de Docker, esto se vuelve crucial y la raz¨®n por la que las configuraciones por defecto no est¨¢n hechas para correr containers como ra¨ªz. Por ejemplo, si su aplicaci¨®n contenerizada es vulnerable frente a un exploit, y est¨¢ corriendo con el usuario ra¨ªz, esto expande la superficie de ataque y crea un camino sencillo para que los atacantes obtengan accesos privilegiados y puedan escalar f¨¢cilmente.
Asegure la protecci¨®n de sus registros de container de Docker
Los registros de container, en particular aquellos en containers de Docker, son lo que hacen que los containers sean una plataforma tan fuerte. Con los registros, puede crear un repositorio central de im¨¢genes que se pueden descargar f¨¢cil y r¨¢pidamente. Sin embargo, a¨²n con toda su gloria, s¨ª existen riesgos de seguridad en caso de que no se utilice un registro sobre el que ha investigado en Docker Trusted Registry. Con el registro de Docker, este se instala detr¨¢s del firewall ya implementado en su infraestructura de TI para aliviar los riesgos que presenta el internet, pero a¨²n entonces, debe evitar que usuarios suban o descarguen desde el registro.
Aunque puede parecer tentador evitar todo este trabajo y abrir los accesos, esta peque?a inconveniencia puede prevenir una brecha de gran tama?o en el registro. Una t¨¢ctica que puede ayudar a evitar esta tentaci¨®n es implementar control de accesos basado en roles, d¨¢ndole as¨ª la capacidad de controlar exactamente qui¨¦n puede acceder a qu¨¦, en t¨¦rminos de registros.
Use una fuente confiable
Ahora que ha protegido el registro de containers, no quiere que se infecte con im¨¢genes de container obtenidas de una fuente no confiable. Puede parecer conveniente simplemente descargar im¨¢genes de containers disponibles para el p¨²blico; sin embargo, es extremadamente importante asegurarse de que la fuente de la descarga es confiable o que est¨¢ verificada.
Para evitar incidentes, es mejor evitar los registros p¨²blicos de containers y apegarse a lo que ofrece Docker, como Docker Hub. Para tomar ese paso extra para la protecci¨®n de sus containers, debe de usar herramientas de escaneo de im¨¢genes para sacar a la luz las vulnerabilidades en Docker y protegerlas.?
Vaya a la fuente del c¨®digo
Como se discuti¨® arriba, es importante obtener im¨¢genes confiables para sus containers. Sin embargo, tambi¨¦n es buena pr¨¢ctica investigar el c¨®digo dentro de la imagen para asegurarse de que no contiene c¨®digo infectado¡ªa¨²n si esa imagen vino de un registro confiable. Las im¨¢genes de Docker tienen una combinaci¨®n de c¨®digo original y paquetes de fuentes externas, los cuales pueden no provenir de fuentes confiables.
En este escenario, es mejor hacer uso de las herramientas de an¨¢lisis de c¨®digo fuente. Una vez que tiene sus im¨¢genes, puede escanear los paquetes para determinar de d¨®nde viene el c¨®digo al descargar la fuentes de todos los paquetes dentro de sus im¨¢genes en Docker. Esto le permitir¨¢ revelar si cualquiera de las im¨¢genes tienen vulnerabilidades de seguridad conocidas, manteni¨¦ndolo seguro desde el primer desarrollo.
Dise?e APIs y redes con la seguridad en mente
Para que los containers en Docker puedan comunicarse entre ellos, estos usan APIs (application programming interfaces) y redes. Esa comunicaci¨®n es esencial para que los containers puedan correr adecuadamente, pero requiere de seguridad y monitoreo adecuados. Aunque las APIs y la red no son parte del container de Docker, son recursos que se usan junto con Docker, y estos a¨²n representan un riesgo para la seguridad del container. Con esto en mente, para poder tener la capacidad de detener r¨¢pidamente una intrusi¨®n, necesita dise?ar sus APIs y redes para que puedan monitorearse f¨¢cilmente, y con la seguridad en mente.?
Uniendo los puntos
La protecci¨®n de los containers de Docker no es tan sencilla como parece, pero los beneficios son mayores que las inconveniencias. Es necesario tener un enfoque hol¨ªstico que refuerce el ambiente del container en todos los niveles. Y aunque puede que parezca que las mejores pr¨¢cticas descritas arriba piden demasiado, le ahorrar¨¢n una enorme cantidad de tiempo en el futuro y le proteger¨¢n contra riesgos importantes de seguridad.?
Investigaciones Relacionadas
Art¨ªculos Relacionados