Was ist Containersicherheit?

Hintergrund

Containersicherheit spiegelt die sich verändernde Natur der IT-Architektur wider. Der Aufstieg des cloud-nativen Computing hat die Art und Weise, wie wir Anwendungen erstellen, grundlegend verändert. Um mit der Technologie Schritt halten zu können, müssen wir unseren Ansatz zur Sicherung der Daten anpassen.

In der Vergangenheit bedeutete Cybersicherheit den Schutz eines einzigen Perimeters. Container machen dieses Konzept obsolet, da sie mehrere Abstraktionsebenen hinzugefügt haben, die spezielle Tools zur Interpretation, Überwachung und zum Schutz unserer containerisierten Umgebungen erfordern.

Das Container-Ökosystem kann angesichts der Vielzahl von Tools und der einzigartigen Probleme, die sie im Vergleich zu traditionellen Plattformen lösen, schwer zu verstehen sein. Gleichzeitig gibt uns die weit verbreitete Einführung von Container-Technologien die Möglichkeit, den Fokus nach links zu verlagern und Container von den frühesten Phasen der CI/CD-Pipeline bis zur Bereitstellung und Laufzeit zu sichern.

Bevor Sie jedoch in die Details der Containersicherheit eintauchen, müssen Sie die für die Verwaltung von Containern verwendeten Plattformen verstehen. Wir werden uns auf eine der größten und bekanntesten Plattformen konzentrieren: Kubernetes.

Was ist Kubernetes?

Kubernetes ist eine der führenden Orchestrierungsplattformen, die bei der Optimierung und Implementierung einer Container-basierten Infrastruktur hilft. Genauer gesagt handelt es sich um eine Open-Source-Plattform für die Verwaltung von containerisierten Workloads durch die Automatisierung von Prozessen wie Anwendungsentwicklung, Bereitstellung und Verwaltung.

Als eine weit verbreitete Open-Source-Plattform ist die Absicherung von Kubernetes für Organisationen, die containerisierte Anwendungen bereitstellen, von entscheidender Bedeutung. Organisationen müssen eine sichere Umgebung schaffen, insbesondere wenn sie Open-Source-Code in Anwendungen von Drittanbietern einbinden. Kubernetes mit seinem umfangreichen Ökosystem und zahlreichen Integrationen für die Verwaltung von Containern ermöglicht die Schaffung automatisierter, systematischer Prozesse, die die Sicherheit in den Kern der Build- und Bereitstellungspipeline integrieren. Durch die Nutzung der nativen Funktionen von Kubernetes, wie RBAC, Pod-Sicherheitsrichtlinien und Netzwerkrichtlinien, können Organisationen eine solide Sicherheitsstruktur mit einer stabilen Container-Orchestrierungsinfrastruktur aufbauen und pflegen.

Vorteile von Containern

Einfach ausgedrückt: Container machen die Entwicklung, Bereitstellung und Skalierung von Cloud-nativen Anwendungen einfacher denn je. Für Entwickler von Cloud-nativen Anwendungen sind die Vorteile von Containern besonders wichtig:

1. Beseitigung von Reibung: Entwickler vermeiden einen Großteil der Reibungsverluste, die mit dem Verschieben von Anwendungscode vom Testen in die Produktion verbunden sind, da der als Container verpackte Anwendungscode überall ausgeführt werden kann.
2. Eine einzige Quelle der Wahrheit für die Anwendungsentwicklung: Alle mit der Anwendung verbundenen Abhängigkeiten sind im Container enthalten. Dadurch kann die Anwendung problemlos und identisch auf virtuellen Maschinen, Bare Metal Servern und in der öffentlichen Cloud ausgeführt werden.
3. Schnellere Bauzeiten: Die Flexibilität und Portabilität von Containern ermöglicht es Entwicklern, bisher unerreichte Produktivitätssteigerungen zu erzielen.
4. Vertrauen für Entwickler: Entwickler können ihre Anwendungen mit Zuversicht bereitstellen, da sie wissen, dass ihre Anwendung oder Plattform auf allen Betriebssystemen gleich läuft.
5. Verbesserte Zusammenarbeit: Mehrere Teams, die Container verwenden, können an einzelnen Teilen einer Anwendung oder eines Dienstes arbeiten, ohne den in anderen Containern verpackten Code zu beeinträchtigen.

Wie jede IT-Architektur erfordern auch Cloud-native Anwendungen Sicherheit. Container-Umgebungen bringen eine Reihe von Cybersecurity-Herausforderungen mit sich, die auf ihre Images, Container, Hosts, Laufzeiten, Registrierungen und Orchestrierungsplattformen abzielen - und die alle angegangen werden müssen.

Die Angriffsfläche verstehen

Denken Sie an das ausufernde, vielschichtige Framework von Kubernetes. Jede Schicht - vom Code und den Containern bis hin zu Clustern und Cloud-Diensten von Drittanbietern - stellt eine eigene Reihe von Sicherheitsherausforderungen dar.

Die Bereitstellung von Kubernetes erfordert die Sicherung der zugrundeliegenden Infrastruktur (Knoten, Load Balancer usw.), der konfigurierbaren Komponenten und der Anwendungen, die im Cluster laufen - einschließlich der Aufrechterhaltung des Zustands der zugrundeliegenden Knoten und der Kontrolle des Zugriffs auf die API und Kubelet. Außerdem müssen Sie verhindern, dass bösartige Workloads im Cluster ausgeführt werden, und die Workload-Kommunikation durch strenge Netzwerkkontrollenisolieren.

Container-Laufzeiten können Programmierfehler aufweisen, die eine Privilegienerweiterung innerhalb eines Containers ermöglichen. Der Kubernetes-API-Server könnte falsch konfiguriert sein und Angreifern die Möglichkeit geben, auf Ressourcen zuzugreifen, die eigentlich gesperrt sind. Schwachstellen, die Privilegienerweiterungsangriffe ermöglichen, könnten in einer containerisierten Anwendung oder in den Betriebssystemen, die auf Kubernetes-Knoten laufen, vorhanden sein.

In diesem System wird ein Problem auf einer Ebene verstärkt, wenn eine andere Ebene ein Sicherheitsproblem hat.

Und Container können natürlich auch Schwachstellen enthalten. Gleichzeitig können die Container die Sicht verdecken. Stellen Sie sich ein einziges unsicheres Image vor, das mehrfach als separate laufende Container instanziiert wird. Was früher ein einzelner Riss war, ist heute ein riesiges Netzwerk von Spalten in der Festung.

Die Notwendigkeit, bei der Bereitstellung von Containern den Überblick über den Systembetrieb und die Sicherheit zu behalten, wird immer schwieriger. Und das ist nur die Aufrechterhaltung der Sichtbarkeit, eines von unzähligen Zielen.

Abbildung 1, mit erweiterten Details in Tabelle 1, bietet einen Ausgangspunkt für das Verständnis der Angriffsfläche von containerisierten Anwendungen.

Es ist wichtig zu beachten, dass die Darstellung vereinfacht ist. In Wirklichkeit haben Angreifer zahlreiche Möglichkeiten, um Schwachstellen in containerisierten Anwendungen auszunutzen. Die Verteidigung dieses Technologie-Stacks ist nicht unbedingt schwieriger als die Sicherung anderer Umgebungen und Technologien. Containerisierung stellt lediglich einzigartige Sicherheitsüberlegungen an, die Organisationen für eine sichere und widerstandsfähige Infrastruktur berücksichtigen müssen.

Tabelle 1: Aufschlüsselung der Angriffsfläche für Container

Glücklicherweise kann jede Schicht der Angriffsfläche durch Design- und Prozessüberlegungen sowie durch eigene und fremde Sicherheitsoptionen gestärkt werden, um das Risiko kompromittierter Workloads zu verringern. Sie brauchen eine vielschichtige Strategie, aber unser Ziel in diesem Teil des Leitfadens ist es, Ihnen genau das zu bieten.

Wie man Containersicherheit gewährleistet

Container-Benutzer müssen sicherstellen, dass sie über eine zweckmäßige Full-Stack-Sicherheit verfügen, um die Anforderungen an Schwachstellenmanagement, Compliance, Laufzeitschutz und Netzwerksicherheit ihrer containerisierten Anwendungen zu erfüllen.

Containersicherheit im Netzwerk

Containerisierte Anwendungen sind den gleichen Risiken ausgesetzt wie Bare-Metal- und VM-basierte Anwendungen, z. B. Cryptojacking, Ransomware und BotNet C2. Containersicherheit im Netzwerk schränkt proaktiv unerwünschte Kommunikation ein und verhindert mit einer Vielzahl von Strategien, dass Bedrohungen Ihre Anwendungen angreifen. Zu den Schlüsselkomponenten der Netzwerksicherheit gehören Mikrosegmentierung, Zugriffskontrolle, Verschlüsselung und Richtlinien zur Aufrechterhaltung einer sicheren und widerstandsfähigen Umgebung. Kontinuierliche Überwachung, Protokollierung und regelmäßige Audits helfen dabei, potenzielle Sicherheitslücken zu erkennen und zu beheben, ebenso wie rechtzeitige Patches, um Ihre Plattformen und Infrastruktur auf dem neuesten Stand zu halten.

Während Sicherheits-Tools von Shift Left einen zeitnahen Schutz vor bekannten Schwachstellen bereitstellen, schützen Containerized Next-Gen Firewalls vor unbekannten und ungepatchten Schwachstellen. Sie führen eine Layer 7 Deep-Packet-Inspection durch und scannen den gesamten erlaubten Datenverkehr. So identifizieren und verhindern sie, dass Malware in den Cluster eindringt und sich dort ausbreitet, und blockieren bösartige ausgehende Verbindungen, die für Datenexfiltration und Command-and-Control-Angriffe (C2) genutzt werden. Die identitätsbasierte Mikrosegmentierung hilft, die Kommunikation zwischen Anwendungen auf Layer 3 und 4 einzuschränken.

Containersicherheit zur Laufzeit

Cloud-native Laufzeitsicherheit ist der Prozess der Identifizierung neuer Schwachstellen in laufenden Containern und die Absicherung der Anwendung gegen diese. Organisationen, die Container verwenden, sollten den erweiterten Laufzeitschutz nutzen, um die Verhaltensgrundlagen zu schaffen, auf denen die Erkennung von Anomalien beruht. Die Laufzeitsicherheit kann bösartige Prozesse, Dateien und Netzwerkverhalten, das von einer Basislinie abweicht, identifizieren und blockieren.

Mit einer Defense in Depth Strategie zur Verhinderung von Layer 7 Angriffen, wie z.B. den OWASP Top 10, sollten Organisationen Laufzeitschutz mit Webanwendungs- und API-Sicherheit zusätzlich zur Containersicherheit des Netzwerks über containerisierte Next-Gen Firewalls implementieren.

Containersystem Sicherheit

Die Containersicherheit in die Build-Phase einzubeziehen bedeutet, dass man nicht mehr erst zur Laufzeit reagiert, sondern nach links schaltet. Die Sicherheit in der Build-Phase sollte sich auf die Beseitigung von Schwachstellen, Malware und unsicherem Code konzentrieren. Da Container aus Bibliotheken, Binärdateien und Anwendungscode bestehen, ist es von entscheidender Bedeutung, Ihre Container-Registrierungen zu sichern.

Der erste Schritt zur Containersicherheit ist die Einrichtung einer offiziellen Container-Registrierung für Ihre Organisation. Zweifellos gibt es bereits ein oder mehrere Register. Es ist die Aufgabe des Sicherheitsteams, diese zu finden und dafür zu sorgen, dass sie ordnungsgemäß gesichert sind, wozu auch die Festlegung von Sicherheitsstandards und -protokollen gehört. Das übergeordnete Ziel der Sicherheitsstandards für die Container-Registry sollte die Erstellung vertrauenswürdiger Images sein. Zu diesem Zweck müssen sich DevOps und Sicherheitsteams auf Richtlinien einigen, die in erster Linie verhindern, dass Container von nicht vertrauenswürdigen Registern bereitgestellt werden.

Intrusionen oder Schwachstellen in der Registrierung bieten eine einfache Möglichkeit, laufende Anwendungen zu kompromittieren. Die kontinuierliche Überwachung von Registern auf Änderungen des Schwachstellenstatus bleibt eine zentrale Sicherheitsanforderung. Zu den weiteren Anforderungen gehören die Sperrung des Servers, der die Registrierung hostet, und die Verwendung sicherer Zugriffsrichtlinien.

Containersicherheit bei der Orchestrierung

Container-Orchestration-Sicherheit ist der Prozess der Umsetzung geeigneter Maßnahmen zur Zugriffskontrolle, um Risiken durch überprivilegierte Konten, Angriffe über das Netzwerk und unerwünschte Seitwärtsbewegungen zu verhindern. Durch den Einsatz von Identity Access Management (IAM) und Least-Privileged-Zugriff, bei dem Docker- und Kubernetes-Aktivitäten explizit auf eine Whitelist gesetzt werden, können Sicherheits- und Infrastrukturteams sicherstellen, dass Benutzer nur Befehle ausführen, die ihren Rollen entsprechen.

Darüber hinaus müssen Organisationen die Pod-zu-Pod-Kommunikation schützen, den Schaden begrenzen, indem sie Angreifer daran hindern, sich seitlich durch ihre Umgebung zu bewegen, und alle Frontend-Dienste vor Angriffen schützen.

Sicherheit des Host-Betriebssystems (OS)

Host OS Sicherheit ist die Praxis, Ihr Betriebssystem (OS) vor einem Cyberangriff zu schützen. Mit dem Wachstum der Cloud-nativen App-Entwicklungstechnologie wächst auch der Bedarf an Host-Sicherheit.

Das Betriebssystem, das Ihre Container-Umgebung hostet, ist vielleicht die wichtigste Schicht, wenn es um die Sicherheit geht. Ein Angriff, der die Host-Umgebung kompromittiert, könnte Eindringlingen Zugang zu allen anderen Bereichen in Ihrem Stack verschaffen. Deshalb müssen Hosts auf Schwachstellen gescannt, gemäß den CIS-Benchmarks gehärtet und vor schwachen Zugriffskontrollen (Docker-Befehle, SSH-Befehle, sudo-Befehle usw.) geschützt werden.

Containersicherheit Lösungen

Die Absicherung Ihrer Container-Umgebung erfordert einen vielschichtigen Ansatz, um potenzielle Schwachstellen und Bedrohungen zu beseitigen. In den letzten Jahren sind die Lösungen für Containersicherheit, auf die sich Organisationen verlassen können, um ihre containerisierten Anwendungen und Infrastrukturen während der Entwicklung, Bereitstellung und Laufzeit zu schützen, immer ausgefeilter und leistungsfähiger geworden. Moderne Sicherheitstools minimieren effektiv die Risiken von Sicherheitsverletzungen und Datenlecks, fördern die Compliance und die Aufrechterhaltung sicherer Umgebungen und beschleunigen gleichzeitig die Einführung von DevSecOps .

Container Überwachung

Die Fähigkeit zur Überwachung Ihrer Registrierung auf Schwachstellen ist für die Aufrechterhaltung der Containersicherheit unerlässlich. Da Entwickler kontinuierlich Container austauschen, sind Überwachungswerkzeuge, mit denen Sicherheitsteams Zeitreihenstempel auf Container anwenden können, von entscheidender Bedeutung, wenn es darum geht, festzustellen, was in einer containerisierten Umgebung passiert ist.

Beliebte Tools für die Containerüberwachung sind Prometheus, Grafana, Sumo Logic und Prisma Cloud. Prisma Cloud bietet Bedrohungserkennung zur Laufzeit und Anomalienanalyse sowohl für Cloud-native als auch für traditionelle Anwendungen. Es nutzt maschinelles Lernen und Verhaltensanalysen, um verdächtige Aktivitäten während des gesamten Lebenszyklus von Containern zu identifizieren, von der Erstellung bis zur Laufzeit.

Tools zum Scannen von Containern

Container müssen kontinuierlich auf Schwachstellen gescannt werden, sowohl bevor sie in einer Produktionsumgebung bereitgestellt werden als auch nachdem sie ersetzt worden sind. Es ist zu einfach für Entwickler, versehentlich eine Bibliothek in einen Container einzubinden, die bekannte Schwachstellen aufweist. Sie sollten auch nicht vergessen, dass fast täglich neue Sicherheitslücken entdeckt werden. Das heißt, was heute noch wie ein absolut sicheres Container-Image aussieht, könnte sich morgen als Vehikel für die Verbreitung aller Arten von Malware erweisen. Deshalb ist die Aufrechterhaltung des Vertrauens in Container-Images ein zentraler Bestandteil von Container-Scan-Tools.

Zu den Tools zum Scannen von Containern gehören Aqua Security, Anchore, Clair und Prisma Cloud. Prisma Cloud bietet Deep-Layer-Schwachstellen-Scans für Container-Images in Registern und während CI/CD-Pipelines. Es erkennt bekannte Schwachstellen, Fehlkonfigurationen und Malware und hilft Ihnen, von Anfang an sichere Container zu erstellen.

Tools für die Containersicherheit im Netzwerk

Sobald sie bereitgestellt sind, müssen Container vor den ständigen Versuchen geschützt werden, proprietäre Daten oder Rechenressourcen zu stehlen. Containerisierte Next-Generation Firewalls, Webanwendungs- und API-Sicherheit (WAAS)und Mikrosegmentierungstools prüfen und schützen den gesamten Datenverkehr, der in Container ein- und ausgeht (Nord-Süd und Ost-West), und gewähren vollständige Layer 7 Sichtbarkeit und Kontrolle über die Kubernetes-Umgebung. Darüber hinaus skalieren die containerisierten Firewalls dynamisch mit der sich schnell ändernden Größe und den Anforderungen an die Container-Infrastruktur und garantieren Sicherheit und Bandbreite für den Geschäftsbetrieb.

Zu den Tools für die Netzwerksicherheit gehören Calico, Flannel, CNI-Plugins (z.B. Istio, Cilium), Kubernetes NetworkPolicy und Prisma Cloud. Prisma Cloud lässt sich mit Container-Orchestrierungsplattformen wie Kubernetes integrieren, um eine Bedrohungserkennung im Netzwerk zu ermöglichen. Es sichert den Ost-West-Verkehr zwischen Containern und verhindert unbefugte seitliche Bewegungen innerhalb Ihrer Umgebung.

Politik-Engines

Moderne Tools ermöglichen es den Cloud-Sicherheitsteams , Richtlinien zu definieren, die im Wesentlichen bestimmen, wer und was auf einen bestimmten Microservice zugreifen darf. Organisationen brauchen einen Rahmen, um diese Richtlinien zu definieren und sicherzustellen, dass sie in einer hochgradig verteilten Container-Anwendungsumgebung konsistent gepflegt werden.

Beliebte Richtlinien-Engines sind Cilium, OPA Gatekeeper, Neutrino, Kubernetes Network Policy API und Prisma Cloud. Prisma Cloud setzt Sicherheitsrichtlinien für die gesamte Bereitstellung von Containern durch, einschließlich der Kontrolle des Netzwerkzugriffs, der Ressourcenbegrenzung und der Signierung von Images. Dies gewährleistet eine konsistente Sicherheitslage und Compliance mit den Standards Ihrer Organisation.

Die Auswahl der richtigen Lösungen

Bei der Auswahl einer Lösung zur Sicherung Ihrer Container-Umgebung sollten Sie die Bedürfnisse und Risikobereiche Ihrer Organisation berücksichtigen. Benötigen Sie eine fortschrittliche Bedrohungserkennung, Schwachstellenmanagement oder eine strikte Durchsetzung von Richtlinien? Bewerten Sie die Integration mit Ihren bestehenden Tools und Ihrer Infrastruktur. Die nahtlose Integration mit Entwicklungspipelines, Orchestrierungsplattformen und SIEM-Systemen ist ein entscheidender Fortschritt.

Denken Sie daran, dass eine effektive Containersicherheit über einzelne Tools hinausgeht. Die Implementierung eines mehrschichtigen Ansatzes mit kontinuierlicher Überwachung, proaktivem Scannen, strengen Richtlinien und zuverlässiger Netzwerksicherheit wird die Widerstandsfähigkeit Ihrer containerisierten Umgebung gegenüber Bedrohungen erheblich verbessern.

Containersicherheit FAQs