Qu’est-ce que la sécurité des conteneurs ?

Bien qu’il soit préférable de considérer la sécurité des conteneurs comme un domaine holistique, elle se concentre évidemment sur le conteneur lui-même. Le National Institute of Standards and Technology (NIST) a publié son guide sur la sécurité des conteneurs d’applications, qui résume plusieurs approches fondamentales pour y parvenir. Voici trois éléments clés du rapport du NIST :

1. Utiliser des systèmes d’exploitation hôtes spécifiques aux conteneurs. Le NIST recommande d’utiliser des systèmes d’exploitation hôtes spécifiques aux conteneurs, conçus avec des fonctionnalités réduites, afin de réduire la surface d’attaque.
2. Segmenter les conteneurs en fonction de leur objectif et de leur profil de risque. Bien que les plates-formes de conteneurs réussissent généralement à isoler les conteneurs (entre eux et du système d’exploitation sous-jacent), le NIST note que vous pouvez obtenir une plus grande « surface de défense » en regroupant les conteneurs par « objectif, sensibilité et posture de menace » et en les exécutant sur des systèmes d’exploitation hôtes distincts. Cela fait suite à un principe de sécurité informatique général qui consiste à limiter la portée d’un incident ou d’une attaque, ce qui signifie que les conséquences d’une violation sont limitées à une zone aussi étroite que possible.
3. Utiliser des outils de gestion des vulnérabilités et de sécurité d’exécution spécifiques aux conteneurs. Les outils traditionnels d’analyse et de gestion des vulnérabilités présentent souvent des angles morts pour les conteneurs, ce qui peut entraîner des rapports inexacts indiquant que tout va bien dans les images de conteneur, les paramètres de configuration, etc. De même, garantir la sécurité lors de l’exécution est un aspect clé des déploiements et des opérations de conteneurs. Les outils traditionnels axés sur le périmètre, tels que les systèmes de prévention des intrusions, n’ont souvent pas été conçus pour les conteneurs et ne peuvent pas les protéger correctement.
   

Le NIST recommande également l’utilisation d’une racine de confiance matérielle, telle que le module TPM (Trusted Platform Module), pour renforcer la sécurité, ainsi que le développement d’une culture et de processus (tels que le DevOps ou DevSecOps) pour les conteneurs et le développement Cloud.

La sécurité des conteneurs repose sur plusieurs piliers :

• Configuration : De nombreuses plates-formes de conteneurs, d’orchestration et de Cloud offrent des fonctionnalités et des contrôles de sécurité robustes. Cependant, elles doivent être correctement configurées, puis réajustées au fil du temps, car elles sont rarement optimisées « prêtes à l’emploi ». Cette configuration inclut des paramètres critiques et un renforcement dans des domaines tels que l’accès/les privilèges, l’isolation et le réseau.
• Automatisation : En raison de la nature hautement dynamique et distribuée de la plupart des applications conteneurisées et de leur infrastructure sous-jacente, les besoins de sécurité tels que l’analyse des vulnérabilités et la détection des anomalies peuvent devenir pratiquement insurmontables lorsqu’ils sont effectués manuellement. C’est pourquoi l’automatisation est une fonctionnalité clé de nombreux outils et fonctionnalités de sécurité des conteneurs. De la même manière, l’orchestration des conteneurs permet d’automatiser une grande partie de la surcharge opérationnelle liée à l’exécution de conteneurs à grande échelle.
• Solutions de sécurité des conteneurs : Certaines équipes ajoutent de nouveaux outils de sécurité et une prise en charge spécialement conçus pour les environnements conteneurisés. Ces outils sont parfois axés sur différents aspects de l’écosystème Cloud, comme les outils CI, la sécurité de l’exécution des conteneurs et Kubernetes.

Il existe plusieurs erreurs courantes en matière de sécurisation des conteneurs et des environnements, notamment :

• Oubli de l’hygiène de sécurité de base. Les conteneurs sont une technologie relativement récente qui nécessite de nouvelles approches de sécurité. Il ne faut cependant pas abandonner certains principes fondamentaux de la sécurité. Par exemple, maintenir vos systèmes corrigés et mis à jour, qu’il s’agisse de systèmes d’exploitation, d’environnements d’exécution de conteneurs ou d’autres outils, reste une tactique importante.
• Impossible de configurer et de renforcer vos outils et environnements. À l’instar de nombreuses plates-formes Cloud, de bons outils de conteneurs et d’orchestration s’accompagnent de fonctionnalités de sécurité importantes. Cependant, pour profiter de leurs avantages, vous devez les configurer pour vos environnements spécifiques, plutôt que de les exécuter avec les paramètres par défaut. Il peut s’agir par exemple d’accorder à un conteneur uniquement les fonctionnalités ou les privilèges dont il a réellement besoin pour fonctionner, afin de minimiser les risques tels qu’une attaque par élévation des privilèges.
• Ignorer pour surveiller, journaliser et tester. Lorsque les équipes commencent à exécuter des conteneurs en production, elles peuvent perdre de la visibilité sur l’intégrité de leurs applications et de leurs environnements si elles ne sont pas prudentes. Il s’agit d’un risque important que certaines équipes ne parviennent pas à reconnaître, surtout pour les systèmes hautement distribués qui peuvent s’exécuter dans plusieurs environnements Cloud avec une infrastructure on premise. Il est essentiel de mettre en place une surveillance, une journalisation et des tests appropriés pour minimiser les vulnérabilités inconnues et autres angles morts.
• Ne pas sécuriser toutes les phases du pipeline CI/CD. Le fait d’ignorer d’autres éléments de votre pipeline de livraison de logiciels est une autre lacune potentielle de votre stratégie de sécurité des conteneurs. Les équipes compétentes évitent cela en adoptant une philosophie « shift left », ce qui signifie que vous donnez la priorité à la sécurité le plus tôt possible dans votre chaîne d’approvisionnement en logiciels, puis appliquez de manière cohérente les outils et les règles à tous les niveaux.