‫Baiklah. Pertama hanya
‫berjalan di Docker.
‫Ini mengharuskan Anda untuk semacam membuat argumen, karena ini
‫mungkin ... jika Anda memiliki penghalang
‫dengan ini, benar. Hanya menggunakan Docker, nomor satu.
‫Jika Anda tidak bisa menyelesaikan ini.
‫Yah, satu, Anda mungkin menonton pertunjukan saya.
‫Tapi, itu mungkin berarti Anda memiliki tim keamanan,
‫atau manajemen, yang telah membaca sesuatu
‫di suatu tempat yang ada keamanan di sekitar Docker.
‫Hal terakhir adalah, jika Anda gulir ke
‫bawah ke bagian bawah masalah ini, adalah bahwa
‫ada gambar di luar sana sekarang.
‫Dan, Anda tahu, itu bukan berita bagi siapa pun bahwa jika Anda
‫menjalankan perangkat lunak acak dari Internet
‫tanpa memeriksanya terlebih dahulu, Anda mungkin berakhir dengan virus.
‫Pada dasarnya, orang-orang membuat gambar di Docker Hub
‫dengan cryptocurrency atau alat cryptojacking di dalamnya
‫yang pada dasarnya akan berjalan, Anda
‫tahu ... Anda pikir Anda menjalankan
‫perangkat lunak lain ini, tetapi Anda benar-benar menjalankan sesuatu yang jahat
‫untuk para peretas.
‫Yah, ini bukan hal baru, dan Docker tidak lantas membuat
‫ini lebih mudah dari yang lainnya.
‫Kita semua tahu aturannya. Jangan jalankan gambar acak, sama seperti
‫Anda tidak akan menjalankan kode acak di server Anda.
‫Anda tidak mengunduh hal-hal acak
‫dari Internet. Jadi, jangan lakukan itu di gambar.
‫Hanya jalankan gambar resmi atau gambar yang benar-benar
‫Anda percayai. Artinya, Anda tahu vendornya.
‫Vendor mempertaruhkan hubungan mereka dengan Anda pada gambar
‫itu, dan Anda tidak perlu memindai gambar
‫dengan setiap baris kode.
‫Tapi, Anda tahu, Anda menggunakan produk yang memiliki reputasi baik dari
‫perusahaan terkemuka, benar.
‫Jika Anda melakukan itu, seluruh lokal ini ... ini semua berita terbaru
‫yang menjadi berita utama, bahkan
‫tidak masalah. Itu bukan
‫kerentanan di Docker. Orang-orang yang mengkonfigurasi Docker dengan
‫menonaktifkan keamanan yang ada di dalam dan di luar kotak dan kemudian
‫pergi dan mengunduh perangkat lunak dan gambar acak.
‫Tentu saja, mereka akan mengalami masalah, benar.
‫Saya pikir berita sebenarnya ada bahwa
‫peretas semakin canggih. Mereka tahu
‫lebih banyak dari kita menjalankan kontainer, sehingga mereka akan mulai
‫menempatkan virus dalam gambar kontainer, benar. Dan Docker Hub tidak
‫memindai setiap gambar. Ini hanya memindai
‫masalah keamanan dalam gambar resmi. Itu bukan fitur Docker Hub lagi.
‫Yah, mereka tidak pernah melakukannya untuk semua orang karena ada
‫jutaan, ada, saya tidak tahu, 30 juta gambar.
‫Anda bisa membayar mereka di masa lalu, dan Anda tahu, Anda tidak bisa membayar mereka
‫lagi untuk itu. Baiklah.
‫Langkah satu hanya menggunakan Docker.
‫Jika Anda tidak tahu, ketika Anda menggunakan
‫Docker out-of-the-box, itu sudah mengeraskan
‫aplikasi di sana. Pertama, aplikasi itu tidak dapat melihat sisa dari
‫apa yang berjalan pada sistem. Jadi, ia bahkan tidak
‫dapat mengakses sisa dari barang-barang ini berjalan.
‫Hanya saja apa yang ada di wadah itu, kan.
‫Namun, hal yang sangat besar di sini adalah bahwa sebuah wadah
‫di Docker memungkinkan banyak fitur keamanan Linux yang biasanya,
‫jika Anda hanya menjalankan
‫aplikasi di host, tidak diaktifkan secara default.
‫Itu termasuk kemampuan
‫Seccomp, AppArmor, SELinux dan kernel.
‫Keempat hal tersebut semuanya ada di dalam
‫Docker dan diaktifkan secara default,
‫dengan anggapan host Anda mendukungnya karena tidak setiap distribusi Linux
‫mendukung setiap alat keamanan. Namun keempat hal
‫itu, terutama kemampuan AppArmor, Seccomp, dan
‫Linux diaktifkan di luar kotak untuk
‫setiap wadah yang Anda jalankan. Itulah sebabnya kadang-kadang aplikasi tertentu, Anda tahu
‫Anda harus menjalankannya seperti --privilege.
‫Anda harus menjalankannya dengan mode privilege.
‫Itu karena default itu bertentangan dengan apa pun yang
‫ingin dilakukan aplikasi. Karena standar yang
‫ditetapkan Docker itu umum
‫bagi sebagian besar aplikasi untuk bekerja dengan benar.
‫Jadi, pada dasarnya Docker telah melalui sejumlah
‫alat pada masa itu, memindai sejumlah besar perangkat lunak open
‫source yang umum, dan menemukan apa yang
‫mereka semua cenderung miliki dalam hal hak, dalam hal izin
‫pada host. . Mereka mengambil sisanya, Anda
‫tahu, ratusan hal lain yang dapat diakses oleh aplikasi
‫reguler, dan mereka
‫membawanya pergi.
‫Itu mengakibatkan Docker
‫memiliki profil default yang sangat aman.
‫Jadi, jika Anda hanya menjalankan Nginx di host, ia memiliki akses
‫ke semua yang ada di kernel yang diakses oleh
‫pengguna, yang biasanya merupakan segalanya.
‫Tetapi, jika Anda menjalankannya dalam sebuah
‫wadah, ia mengunci begitu banyak sehingga
‫aman, lebih aman, out-of-the-box, bahkan jika Anda tidak
‫menyesuaikan hal-hal itu. Itulah argumen saya mengapa
‫Docker menyukai keamanan. Lakukan saja, dan Anda
‫secara otomatis mengaktifkan semua hal ini. Kebanyakan orang tidak tahu tentang
‫cara menggunakan AppArmor atau cara menggunakan
‫Seccom, atau SELinux, cara menyesuaikan hal-hal itu
‫untuk setiap aplikasi. Tapi, Docker melakukannya, dan itulah yang mereka lakukan di luar
‫kotak.