‫De eerste is eigenlijk wat lezen.
‫Zoals dit bovenste deel gaat over jezelf de basisopleiding geven
‫van wat ... hoe
‫werkt Docker? Wat is basisbeveiliging in Docker?
‫Hoe beschermt Docker zelfs, je weet wel,
‫je container? Dat soort dingen.
‫Ik heb eigenlijk een productietoespraak die je hier kunt
‫bekijken. Daar gaan we nu niet naar kijken.
‫Ik heb hier een link naar de Docker-beveiligingsgids.
‫Wat interessant is aan de Docker-beveiligingsgids hier, is dat het
‫er eigenlijk alleen
‫maar om gaat hoe Docker-beveiliging werkt?
‫Of, hoe werkt Docker zelf?
‫Er zijn veel betere video's in mijn cursus.
‫Ik heb daar links geplaatst naar andere referentievideo's die een heel uur
‫gaan over de onderbouwing van Docker.
‫De twee belangrijkste dingen waar u zich zorgen over moet maken,
‫zijn kernelnaamruimten en C-groepen.
‫Namespaces, ze doorlopen een mooi
‫overzicht van hoe dit spul werkt.
‫De samenvatting hier is dat er
‫twee hoofdfuncties in Linux zijn waarmee Docker zelfs
‫mogelijk is. Kernelnaamruimten zijn een manier
‫voor de kernel om een applicatie, of
‫een set applicaties, en naamruimten te nemen.
‫Naamruimte beperkt in wezen hun zicht,
‫hun toegang tot bronnen, of wat ze
‫zien, of dat nu netwerken zijn, andere programma's
‫in het geheugen of bestanden op schijf, het beperkt die
‫reikwijdte per programma.
‫Het kan dus voor elk afzonderlijk programma zijn, en die kennen
‫we nu als containers. Omdat naamruimten niet
‫specifiek zijn voor Docker. Het bestond al veel langer dan
‫Docker is geweest. Het bestaat al
‫meer dan tien jaar als een concept in verschillende Unix-distributies.
‫We hebben dit misschien gehoord in Solaris Jails of andere soorten
‫technologieën waardoor je in wezen dacht
‫dat je op je eigen
‫server was, maar in werkelijkheid zat je op
‫een server met veel andere mensen en vele
‫andere apps, toch. We hebben dat veel gedaan
‫in Linux en hostingplatforms.
‫Naamruimten is die functie. Het geeft uw
‫container zijn eigen NIC. Het is een virtuele NIC alleen voor die container.
‫Het geeft het zijn eigen bestandsruimte
‫waar het de rest van het volgende bestandssysteem
‫niet ziet, en het laat het geen andere programma's zien
‫die buiten die container draaien. Het gaat dus om de toegang en het uitzicht, toch.
‫Dat zijn naamruimten.
‫Dat werkt gewoon out-of-the-box.
‫Zo laat Docker een container draaien zonder al het andere op
‫het systeem te zien.
‫Het andere grote ding is controlegroepen, of we
‫noemen ze in het kort C-groepen. Bij stuurgroepen gaat het
‫meestal om het beperken van het gebruik van hulpbronnen.
‫Je kunt aan een container zien dat deze slechts toegang heeft tot
‫1 GB RAM, één CPU, dat soort dingen.
‫Het maakt ook enkele statistieken mogelijk waar je dingen rond dat
‫spul kunt meten, maar het gaat eigenlijk vooral
‫om het beperken van je container. Onthoud dat uw containers standaard
‫toegang hebben tot alle bronnen in termen van dat ze alle bestandsruimte
‫kunnen opslokken, ze kunnen alle CPU's gebruiken en
‫ze kunnen al het geheugen opslokken.
‫Dat is slechts een standaardcontainer, maar u kunt
‫opties instellen in docker-run, of in Swarm
‫of Kubernetes. Elk van die dingen heeft de mogelijkheid
‫om middelen te beheren.
‫Maar het is gewoon niet standaard, toch. Standaard krijgt elke
‫container alles.
‫Als je in productie gaat, staat dit zeker op
‫je to do-lijstje. Ik zou niet
‫zeggen dat stuurgroepen noodzakelijkerwijs een beveiligingsfunctie zijn, behalve dat een bepaalde
‫toepassing alles opneemt wat het niet zou moeten doen,
‫en dan zorgt het ervoor dat andere dingen
‫niet kunnen worden uitgevoerd, toch.
‫Dat is niet... Ik zie dat niet als directe beveiliging.
‫Ik beschouw dat als een soort semi-gerelateerd aan beveiliging, waar
‫iemand technisch gezien een denial of service zou kunnen doen
‫door je app alle bronnen op je
‫server te laten opeten. Dus, weet je, dat soort dingen.
‫Dat zijn de basis.
‫Als je eenmaal de basis begrijpt, vind
‫je hier een aantal goede blogartikelen over verschillende soorten
‫beveiligingshulpmiddelen die er zijn. Er zijn heel veel
‫tools, toch. Ik ga ze vandaag niet allemaal noemen.
‫Het is duidelijk dat er veel dingen zijn, maar veel
‫ervan zijn gecompliceerd en nemen projecten in beslag.
‫Je moet ze implementeren, of kopen, en dan servers voor
‫ze toewijzen, toch.
‫Grote producten rond auditing, of ervoor zorgen
‫dat u bepaalde referenties doorgeeft,
‫zoals een PCI-creditcardbeveiliging of overheidsregulering,
‫dat soort dingen.