Was ist Container-Sicherheit?

Container-Sicherheit wird zwar am besten ganzheitlich betrachtet, dreht sich aber in erster Linie um den eigentlichen Container. Das National Institute of Standards and Technology hat einen Application Container Security Guide veröffentlicht, in dem mehrere grundlegende Ansätze hierfür zusammengefasst sind. Hier sind drei wesentliche Empfehlungen aus dem NIST-Report:

1. Nutzen Sie containerspezifische Hostbetriebssysteme. Das NIST empfiehlt die Verwendung containerspezifischer Hostbetriebssysteme mit eingeschränkten Funktionen, um Angriffsflächen zu reduzieren.
2. Segmentieren Sie Container nach Zweck und Risikoprofil. Obwohl Container-Plattformen im Allgemeinen Container gut isolieren (untereinander und vom zugrunde liegenden Betriebssystem), können Sie laut NIST eine größere „Verteidigungstiefe“ erreichen, indem Sie Container nach ihrem Zweck, ihrer Sensibilität und ihrem Bedrohungsstatus gruppieren und unter separaten Hostbetriebssystemen ausführen. Dies folgt einem allgemeinen IT-Sicherheitsprinzip, den Angriffsradius eines Vorfalls oder Angriffs zu begrenzen, d.h., die Folgen einer Sicherheitsverletzung werden auf einen möglichst kleinen Bereich beschränkt.
3. Nutzen Sie containerspezifische Tools für Schwachstellenmanagement und Laufzeitsicherheit. Herkömmliche Tools für Schwachstellenprüfungen und -management weisen in Bezug auf Container häufig Schwachpunkte auf. Die Folge können ungenaue Berichte sein, laut denen in Container-Images, Konfigurationseinstellungen usw. keine Probleme festgestellt wurden. In ähnlicher Weise ist die Gewährleistung von Sicherheit zur Laufzeit ein wichtiger Aspekt von Container-Bereitstellung und -Betrieb. Herkömmliche, perimeterorientierte Tools wie Intrusion Prevention-Systeme wurden oft nicht für Container entwickelt und können diese nicht angemessen schützen.
   

Das NIST empfiehlt, über einen hardwarebasierten Vertrauensanker wie Trusted Platform Module (TPM) eine weitere Sicherheitsebene hinzuzufügen und Kultur und Prozesse wie DevOps oder DevSecOps aufzubauen, die für Container und cloudnative Entwicklung geeignet sind.

Container-Sicherheit basiert auf mehreren wichtigen Säulen:

• Konfiguration: Viele Container-, Orchestrierungs- und Cloud-Plattformen bieten robuste Sicherheitsfunktionen und -kontrollen. Diese müssen jedoch korrekt eingerichtet und im Laufe der Zeit immer wieder neu abgestimmt werden – sie werden selten fertig optimiert bereitgestellt. Diese Konfiguration umfasst kritische Einstellungen und Härtung in Bereichen wie Zugriff/Berechtigungen, Isolation und Networking.
• Automatisierung: Aufgrund der hochgradig dynamischen und verteilten Natur der meisten Container-Anwendungen und der zugrunde liegenden Infrastruktur können Sicherheitsanforderungen wie Schwachstellenprüfungen und Anomalieerkennung zu einer nahezu unlösbaren Aufgabe werden, wenn sie manuell durchgeführt werden. Aus diesem Grund ist Automatisierung ein zentrales Merkmal vieler Container-Sicherheitsfunktionen und -tools, ähnlich wie die Container-Orchestrierung dazu beiträgt, einen Großteil des betrieblichen Overheads zu automatisieren, der mit dem Ausführen von Containern im erforderlichen Umfang verbunden ist.
• Container-Sicherheitslösungen: Einige Teams fügen ihrem Mix neue Sicherheitstools und den entsprechenden Support hinzu, die speziell auf Container-Umgebungen zugeschnitten sind. Diese Tools konzentrieren sich manchmal auf unterschiedliche Aspekte des cloudnativen Ökosystems, z.B. CI-Tools, Container-Laufzeitsicherheit und Kubernetes.

Beim Schutz von Containern und Umgebungen gibt es einige häufige Fehler:

• Grundlegende Sicherheitshygiene wird außer Acht gelassen. Container sind eine relativ neue Technologie, die einige neuere Sicherheitsansätze erfordert. Das bedeutet jedoch nicht, dass bestimmte Sicherheitsaspekte aufgegeben werden müssen. Es ist nach wie vor wichtig, Ihre Systeme, egal ob es sich um Betriebssysteme, Container-Laufzeiten oder andere Tools handelt, stets auf dem neuesten Stand zu halten.
• Tools und Umgebungen werden nicht konfiguriert und gehärtet. Gute Container- und Orchestrierungstools verfügen wie viele Cloud-Plattformen über umfassende Sicherheitsfunktionen. Um deren Vorteile nutzen zu können, müssen Sie sie jedoch für Ihre speziellen Umgebungen konfigurieren, anstatt sie mit Standardeinstellungen auszuführen. Erteilen Sie einem Container beispielsweise nur die Berechtigungen oder den Zugriff auf die Funktionen, die für seine Ausführung erforderlich sind, um Risiken wie einen Angriff mit Berechtigungsausweitung zu minimieren.
• Das Überwachen, Protokollieren und Testen wird ignoriert. Wenn Teams beginnen, Container in der Produktion auszuführen, und dabei nicht vorsichtig sind, verlieren sie möglicherweise den Überblick über den Zustand ihrer Anwendungen und Umgebungen. Dies ist ein großes Risiko, das einige Teams nicht erkennen. Es ist besonders relevant für hochgradig verteilte Systeme, die in mehreren Cloud-Umgebungen zusammen mit einer On-Premises-Infrastruktur ausgeführt werden. Das ordnungsgemäße Überwachen, Protokollieren und Testen ist der Schlüssel zur Minimierung unbekannter Schwachstellen und anderer Schwachpunkte.
• Nicht alle Phasen der CI/CD-Pipeline werden geschützt. Eine weitere potenzielle Schwachstelle Ihrer Container-Sicherheitsstrategie besteht darin, dass andere Elemente Ihrer Softwarebereitstellungspipeline ignoriert werden. Gute Teams vermeiden dies mit einem „Shift Left“-Prinzip. Dabei priorisieren Sie Sicherheit so früh wie möglich in Ihrer Softwarelieferkette und wenden dann Tools und Richtlinien konsistent an.