‫D'accord. La première place est
‫juste en cours d'exécution dans Docker.
‫Cela vous oblige à créer un argument, parce que
‫c'est probablement ... si vous rencontrez un obstacle
‫avec cela, c'est bien. Juste en utilisant Docker, numéro un.
‫Si vous ne pouvez pas le faire.
‫Eh bien, un, vous regardez probablement mon émission.
‫Mais cela signifie probablement que vous avez une équipe de
‫sécurité, ou une direction, qui a lu
‫quelque chose quelque part qui parle de sécurité autour de Docker.
‫La dernière chose à savoir, si vous faites
‫défiler l'écran jusqu'au bas de cette question, c'est qu'il
‫y a des images là-bas maintenant.
‫Et vous savez, ce n’est une nouveauté pour personne que, si vous exécutez des
‫logiciels au hasard sur Internet sans les
‫vérifier au préalable, vous risquez de vous retrouver avec un virus.
‫Fondamentalement, les gens créent des images sur Docker
‫Hub avec des outils de crypto-monnaie ou
‫de cryptojacking qui s'exécutent essentiellement, vous
‫savez ... vous pensez que vous
‫utilisez cet autre logiciel, mais vous exécutez vraiment quelque chose de néfaste
‫pour les pirates.
‫Eh bien, ce n’est pas nouveau et Docker ne
‫facilite pas forcément la tâche.
‫Nous connaissons tous les règles. N'exécutez pas d'images aléatoires, comme si
‫vous n'exécutiez pas de code aléatoire sur votre serveur.
‫Vous ne téléchargez pas de contenu
‫aléatoire sur Internet. Alors, ne faites pas ça en images.
‫Ne lancez que des images officielles ou celles en lesquelles vous
‫avez absolument confiance. Sens, vous connaissez le vendeur.
‫Le fournisseur met en relation sa relation avec vous sur
‫cette image et vous n'avez pas nécessairement à numériser
‫l'image avec chaque ligne de code.
‫Mais, vous savez, vous utilisez des produits réputés de sociétés
‫réputées, n'est-ce pas?
‫Si vous faites ça, tout ce local ... cette nouvelle toute récente qui
‫a fait la une des journaux,
‫n'a même pas d'importance. Ce n'était pas
‫une vulnérabilité dans Docker. C’était des gens qui configuraient
‫Docker en désactivant la sécurité, qu’il s’agisse d’une solution prête à l'emploi, puis
‫téléchargeaient des logiciels et des images au hasard.
‫Bien sûr, ils vont avoir des problèmes, d'accord.
‫Je pense que la vraie nouvelle est que les pirates informatiques
‫deviennent de plus en plus sophistiqués. Ils savent qu'un
‫plus grand nombre d'entre nous exploitons des conteneurs. Ils commenceront donc à insérer
‫des virus dans les images des conteneurs. Et Docker Hub ne numérise pas
‫toutes les images. Il ne recherche que les
‫problèmes de sécurité dans les images officielles. Ce n'est plus une fonctionnalité de Docker Hub.
‫Eh bien, ils ne l'ont jamais fait pour tout le monde car il y a
‫des millions, il y a, je ne sais pas, 30 millions d'images.
‫Vous pourriez les payer dans le passé, et vous savez, vous ne pouvez plus les
‫payer pour cela. D'accord.
‫La première étape consiste simplement à utiliser Docker.
‫Au cas où vous ne le sauriez pas,
‫lorsque vous utilisez Docker tel quel,
‫l'application durcit déjà l'application. Premièrement, cette application ne peut pas voir le reste de
‫ce qui tourne sur le système. Donc, il ne peut même
‫pas accéder au reste de ces choses en cours d'exécution.
‫C'est juste ce qu'il y a dans ce conteneur, non.
‫Cependant, la chose la plus importante ici est qu’un conteneur dans Docker
‫active un ensemble de fonctionnalités de sécurité Linux qui, normalement,
‫si vous exécutez uniquement des
‫applications sur l’hôte, ne sont pas activées par défaut.
‫Cela inclut les fonctionnalités
‫de Seccomp, AppArmor, SELinux et du noyau.
‫Ces quatre éléments sont tous à l'intérieur de Docker et
‫activés par défaut, en supposant que votre
‫hôte les prenne en charge, car chaque distribution Linux ne prend pas en charge
‫tous les outils de sécurité. Mais ces quatre
‫éléments, en particulier les fonctionnalités AppArmor,
‫Seccomp et Linux, sont activés immédiatement pour
‫chaque conteneur que vous exécutez. C'est pourquoi parfois certaines applications, vous savez que
‫vous devez l'exécuter comme --privilege.
‫Vous devez en quelque sorte l'exécuter avec le mode privilège.
‫C'est parce que ces valeurs par défaut sont en conflit avec ce
‫que l'application veut faire. Parce que les valeurs
‫par défaut définies par Docker
‫sont communes à la plupart des applications pour fonctionner correctement.
‫Donc, Docker a essentiellement utilisé de nombreux
‫outils il a analysé tout un ensemble de logiciels
‫open source courants et a révélé ce
‫qu’ils avaient en commun en termes de droits, de permissions
‫sur l’hôte. . Vous avez pris le reste
‫d'entre eux, vous savez, des centaines d'autres choses auxquelles les applications régulières
‫peuvent avoir accès, et
‫ils les ont emportées.
‫Docker a donc
‫un profil par défaut très sécurisé.
‫Ainsi, si vous exécutez simplement Nginx sur un hôte, il a accès à
‫tout le noyau auquel cet utilisateur a accès, ce qui
‫est généralement la plupart des choses.
‫Toutefois, si vous l'exécutez dans un
‫conteneur, il est tellement verrouillé qu'il est
‫automatiquement sécurisé, prêt à l'emploi, même si vous n'avez personnalisé
‫aucun de ces éléments. Voilà mon argument pour pourquoi comme
‫Docker pour la sécurité. Faites-le, et vous obtenez
‫automatiquement toutes ces choses activées. La plupart des gens ne
‫savent pas comment utiliser AppArmor ni
‫comment utiliser Seccom, ou SELinux, comment personnaliser ces
‫éléments pour chaque application. Mais Docker l’a fait, et c’est ce qu’ils font
‫immédiatement.