‫Oke. De eerste is
‫gewoon draaien in Docker.
‫Dit vereist dat je een soort argument creëert, want
‫dit is waarschijnlijk... als je hier een barrière
‫mee hebt, oké. Gewoon Docker gebruiken, nummer één.
‫Als je dit niet voor elkaar krijgt.
‫Ten eerste, je kijkt waarschijnlijk naar mijn show.
‫Maar dat betekent waarschijnlijk dat je een beveiligingsteam
‫of management hebt dat ergens
‫heeft gelezen dat er beveiliging is rond Docker.
‫Het laatste was, als je naar
‫de onderkant van dit nummer scrolt, is
‫dat er nu afbeeldingen zijn.
‫En weet je, het is voor niemand nieuws dat als je willekeurige
‫software van het internet haalt zonder
‫het eerst te controleren, je een virus kunt oplopen.
‫Kortom, mensen maken afbeeldingen op Docker
‫Hub met cryptocurrency- of cryptojacking-tools erin
‫die in wezen zullen draaien,
‫weet je... je denkt dat je
‫dit andere stuk software gebruikt, maar je gebruikt echt iets snodes
‫voor de hackers.
‫Nou, dit is niet nieuw, en Docker maakt dit niet per
‫se gemakkelijker dan wat dan ook.
‫We kennen allemaal de regels. Voer geen willekeurige afbeeldingen uit, net
‫zoals u geen willekeurige code op uw server zou uitvoeren.
‫Je download geen willekeurige dingen
‫van internet. Doe dat dus niet in afbeeldingen.
‫Voer alleen officiële afbeeldingen uit of afbeeldingen die u
‫absoluut vertrouwt. Dat betekent dat u de verkoper kent.
‫De leverancier zet zijn relatie met u op die afbeelding,
‫en u hoeft de afbeelding niet per se met
‫elke regel code te scannen.
‫Maar, weet je, je gebruikt gerenommeerde producten van gerenommeerde
‫bedrijven, toch.
‫Als je dat doet, deze hele lokale... dit alles recente nieuws
‫dat veel krantenkoppen haalde, doet er
‫niet eens toe. Het was
‫geen kwetsbaarheid in Docker. Het waren mensen die Docker
‫configureerden door de beveiliging uit te schakelen die in en out-of-the-box was
‫en vervolgens willekeurige software en afbeeldingen te downloaden.
‫Natuurlijk zullen ze problemen hebben, toch.
‫Ik denk dat het echte nieuws is dat
‫hackers steeds geavanceerder worden. Ze weten
‫dat meer van ons containers gebruiken, dus ze zullen
‫virussen in container-images gaan plaatsen, toch. En Docker Hub scant
‫niet elke afbeelding. Het scant alleen
‫op beveiligingsproblemen in officiële afbeeldingen. Dat is geen functie meer van Docker Hub.
‫Ze hebben het nooit voor iedereen gedaan, want er zijn
‫miljoenen, ik weet het niet, 30 miljoen afbeeldingen.
‫Vroeger kon je ze betalen, en weet je, daar kun je ze niet meer
‫voor betalen. Oke.
‫Stap één is gewoon Docker gebruiken.
‫Voor het geval je het nog niet wist, wanneer je
‫Docker out-of-the-box gebruikt, is het de applicatie
‫daar al aan het verharden. Ten eerste kan die applicatie de rest van wat er
‫op het systeem draait niet zien. Dus het heeft niet eens
‫toegang tot de rest van deze dingen die worden uitgevoerd.
‫Het is maar wat er in die container zit, toch.
‫Het echte grote is echter dat een container in Docker
‫een heleboel Linux-beveiligingsfuncties mogelijk maakt die normaal gesproken, als
‫je alleen apps op
‫de host uitvoert, standaard niet zijn ingeschakeld.
‫Dat omvat
‫Seccomp, AppArmor, SELinux en kernelmogelijkheden.
‫Die vier dingen zitten allemaal in Docker
‫en zijn standaard ingeschakeld, ervan
‫uitgaande dat je host ze ondersteunt, omdat niet elke Linux-distributie
‫elke beveiligingstool ondersteunt. Maar die vier
‫dingen, vooral AppArmor-, Seccomp- en
‫Linux-mogelijkheden, zijn out-of-the-box ingeschakeld voor elke
‫container die u uitvoert. Daarom weet je soms dat je bepaalde
‫applicaties moet uitvoeren zoals --privilege.
‫Je moet het een beetje uitvoeren met de privilege-modus.
‫Dat komt omdat die standaardinstellingen in strijd zijn met wat die
‫app ook wil doen. Omdat de standaardwaarden
‫die Docker instelt, voor de
‫meeste toepassingen gebruikelijk zijn om correct te werken.
‫Docker heeft dus in feite een hele
‫reeks tools lang geleden doorgenomen, een hele reeks algemene open
‫source-software gescand en uitgezocht wat ze allemaal
‫gemeen hebben in termen van rechten, in termen van machtigingen op
‫de host . Ze namen de rest mee,
‫je weet wel, honderden andere dingen waar de reguliere applicaties toegang
‫toe hebben, en ze
‫namen ze mee.
‫Dat resulteerde in
‫Docker met een zeer veilig standaardprofiel.
‫Dus als je Nginx gewoon op een host draait, heeft het toegang
‫tot alles in de kernel waar die gebruiker toegang toe
‫heeft, wat meestal het meeste is.
‫Maar als je het in een container
‫laat lopen, vergrendelt het zoveel ervan dat het
‫automatisch veilig, veiliger, out-of-the-box is, zelfs als je geen van
‫die dingen hebt aangepast. Dat is mijn argument voor
‫waarom Docker voor beveiliging. Doe het gewoon, en je
‫krijgt automatisch al deze dingen ingeschakeld. De meeste mensen weten niet hoe
‫ze AppArmor moeten gebruiken of hoe ze Seccom
‫of SELinux moeten gebruiken, hoe ze die dingen voor
‫elke toepassing moeten aanpassen. Maar Docker deed het, en dat is wat ze out-of-the-box
‫doen.