‫Gut. Zunächst läuft
‫nur in Docker.
‫Dies erfordert, dass Sie eine Art Argument erstellen, da
‫dies wahrscheinlich ... Wenn Sie eine Barriere
‫haben, richtig. Nur mit Docker, Nummer eins.
‫Wenn Sie das nicht schaffen.
‫Du siehst dir wahrscheinlich meine Show an.
‫Aber das bedeutet wahrscheinlich, dass Sie ein Sicherheitsteam oder
‫Management haben, das irgendwo etwas gelesen
‫hat, das Sicherheit in der Nähe von Docker bietet.
‫Das Neueste war, wenn Sie
‫bis zum Ende dieser Ausgabe scrollen, dass
‫es jetzt Bilder gibt.
‫Und Sie wissen, dass es für niemanden etwas Neues ist, wenn Sie zufällige
‫Software über das Internet ausführen, ohne sie
‫vorher zu überprüfen, dass Sie möglicherweise mit einem Virus infiziert sind.
‫Im Grunde genommen erstellen die Leute Bilder
‫in Docker Hub mit Kryptowährung oder Kryptojacking-Tools,
‫die im Wesentlichen ausgeführt werden, wissen
‫Sie ... Sie denken, Sie betreiben
‫diese andere Software, aber Sie betreiben wirklich etwas Schändliches für
‫die Hacker.
‫Nun, das ist nicht neu und Docker macht dies
‫nicht unbedingt einfacher als alles andere.
‫Wir alle kennen die Regeln. Führen Sie keine zufälligen Bilder aus, genauso
‫wie Sie keinen zufälligen Code auf Ihrem Server ausführen würden.
‫Sie laden keine zufälligen Inhalte aus
‫dem Internet herunter. Also mach das nicht in Bildern.
‫Verwenden Sie nur offizielle Bilder oder solche, denen Sie
‫absolut vertrauen. Das heißt, Sie kennen den Anbieter.
‫Der Anbieter setzt seine Beziehung zu Ihnen auf diesem
‫Bild fest, und Sie müssen das Bild nicht
‫unbedingt mit jeder Codezeile scannen.
‫Aber Sie verwenden seriöse Produkte von seriösen
‫Firmen, richtig.
‫Wenn Sie das tun, diese ganze lokale ... Diese allerneuesten Nachrichten, die
‫für einige Schlagzeilen gesorgt haben,
‫spielen keine Rolle. Es war
‫keine Sicherheitslücke in Docker. Es waren Leute, die
‫Docker konfigurierten, indem sie die Sicherheit deaktivierten, die sofort einsatzbereit war,
‫und dann zufällige Software und Bilder herunterluden.
‫Natürlich werden sie Probleme haben, richtig.
‫Ich denke, die wirkliche Nachricht ist, dass Hacker
‫immer ausgefeilter werden. Sie wissen,
‫dass mehr von uns Container ausführen, also werden sie
‫anfangen, Viren in Container-Images einzufügen, richtig. Und Docker Hub scannt
‫nicht jedes Bild. Es wird nur nach
‫Sicherheitsproblemen in offiziellen Bildern gesucht. Dies ist keine Funktion von Docker Hub mehr.
‫Nun, sie haben es nie für alle getan, weil es
‫Millionen, ich weiß nicht, 30 Millionen Bilder gibt.
‫Du könntest sie in der Vergangenheit bezahlen, und du weißt, dafür kannst du sie nicht
‫mehr bezahlen. Gut.
‫In Schritt eins wird nur Docker verwendet.
‫Falls Sie nicht wissen, dass Docker bei
‫der Verwendung im Auslieferungszustand bereits
‫die Anwendung härtet. Erstens kann diese Anwendung nicht sehen, was
‫auf dem System läuft. Es kann also nicht
‫einmal auf den Rest des laufenden Materials zugreifen.
‫Es ist nur das, was sich in diesem Behälter befindet, richtig.
‫Das wirklich Große dabei ist, dass ein Container in Docker
‫eine Reihe von Linux-Sicherheitsfunktionen aktiviert, die normalerweise nicht
‫standardmäßig aktiviert sind, wenn
‫Sie nur Apps auf dem Host ausführen.
‫Dazu gehören
‫Seccomp-, AppArmor-, SELinux- und Kernelfunktionen.
‫Diese vier Dinge sind alle in
‫Docker enthalten und standardmäßig aktiviert,
‫vorausgesetzt, Ihr Host unterstützt sie, da nicht jede Linux-Distribution
‫jedes Sicherheitstool unterstützt. Diese vier Funktionen,
‫insbesondere AppArmor, Seccomp und Linux,
‫sind jedoch für jeden von Ihnen
‫ausgeführten Container sofort verfügbar. Aus diesem Grund müssen manchmal bestimmte
‫Anwendungen wie --privileg ausgeführt werden.
‫Sie müssen es mit dem Berechtigungsmodus ausführen.
‫Das liegt daran, dass diese Standardeinstellungen im Widerspruch zu dem stehen, was
‫die App tun möchte. Denn die
‫von Docker festgelegten Standardeinstellungen
‫funktionieren in den meisten Anwendungen ordnungsgemäß.
‫Docker hat also vor langer Zeit eine
‫ganze Reihe von Tools durchlaufen, eine ganze Reihe von
‫gängigen Open-Source-Software gescannt und herausgefunden, was sie
‫alle in Bezug auf Rechte und Berechtigungen auf dem Host
‫gemeinsam haben . Sie haben den Rest
‫mitgenommen, wissen Sie, Hunderte anderer Dinge, auf die die regulären Anwendungen
‫zugreifen können, und sie
‫haben sie mitgenommen.
‫Dies führte dazu,
‫dass Docker ein sehr sicheres Standardprofil hatte.
‫Wenn Sie also Nginx nur auf einem Host ausführen, hat es Zugriff
‫auf alles im Kernel, auf das dieser Benutzer Zugriff hat,
‫was normalerweise das meiste ist.
‫Wenn Sie es jedoch in einem Container
‫ausführen, wird so viel davon gesperrt, dass es
‫automatisch sicherer und sofort einsatzbereit ist, selbst wenn Sie keines
‫dieser Elemente angepasst haben. Das ist mein Argument dafür, warum
‫Docker für Sicherheit sorgt. Tun Sie es einfach und
‫Sie erhalten automatisch alle diese Dinge aktiviert. Die meisten Leute wissen nicht,
‫wie man AppArmor benutzt oder wie
‫man Seccom oder SELinux benutzt, um diese Dinge
‫für jede Anwendung anzupassen. Aber Docker hat es getan, und das ist es, was sie
‫sofort tun.