‫Tutto ok. Il primo è
‫solo in esecuzione in Docker.
‫Ciò richiede di creare una sorta di argomento, perché
‫probabilmente è ... se hai una barriera
‫con questo, giusto. Usando Docker, numero uno.
‫Se non riesci a farlo.
‫Bene, uno, probabilmente stai guardando il mio spettacolo.
‫Ma questo probabilmente significa che hai un team di
‫sicurezza, o una direzione, che ha letto
‫qualcosa da qualche parte che c'è sicurezza intorno a Docker.
‫L'ultima cosa è stata, se scorri fino
‫alla fine di questo problema, è che ora
‫ci sono immagini là fuori.
‫E, sai, non è una novità per nessuno che se esegui
‫un software casuale da Internet
‫senza prima controllarlo, potresti finire con un virus.
‫Fondamentalmente, le persone stanno creando immagini su Docker
‫Hub con criptovaluta o strumenti di crittografia
‫al loro interno che essenzialmente funzioneranno,
‫sai ... pensi di eseguire questo
‫altro software, ma stai davvero eseguendo qualcosa di nefasto per
‫gli hacker.
‫Bene, questo non è nuovo e Docker non lo rende necessariamente
‫più facile di ogni altra cosa.
‫Conosciamo tutti le regole. Non eseguire immagini casuali, proprio
‫come non faresti codice casuale sul tuo server.
‫Non scaricare materiale casuale
‫da Internet. Quindi, non farlo nelle immagini.
‫Esegui solo immagini ufficiali o quelle di cui ti
‫fidi assolutamente. Cioè, conosci il venditore.
‫Il venditore sta puntando la sua relazione con te
‫su quell'immagine e non devi necessariamente scansionare l'immagine
‫con ogni riga di codice.
‫Ma, sai, stai usando prodotti rispettabili di aziende
‫rispettabili, giusto.
‫Se lo stai facendo, tutto questo locale ... questa notizia tutta recente che
‫ha fatto un sacco di titoli,
‫non ha nemmeno importanza. Non era
‫una vulnerabilità in Docker. Sono state le persone
‫a configurare Docker disabilitando la sicurezza che era pronta all'uso
‫e quindi scaricavano software e immagini casuali.
‫Certo, avranno problemi, giusto.
‫Penso che la vera notizia sia che gli hacker
‫stanno diventando più sofisticati. Sanno che
‫molti di noi stanno eseguendo container, quindi inizieranno a inserire
‫virus nelle immagini dei container, giusto. E Docker Hub non esegue la
‫scansione di ogni immagine. Cerca solo problemi
‫di sicurezza nelle immagini ufficiali. Questa non è più una caratteristica di Docker Hub.
‫Beh, non l'hanno mai fatto per tutti perché ci sono
‫milioni, non lo so, 30 milioni di immagini.
‫Potresti pagarli in passato, e sai, non puoi più pagarli
‫per quello. Tutto ok.
‫Il primo passo sta usando Docker.
‫Nel caso in cui non lo sapessi, quando
‫si utilizza Docker immediatamente, sta
‫già rafforzando l'applicazione. Uno, quell'applicazione non può vedere il resto di ciò
‫che è in esecuzione sul sistema. Quindi, non può nemmeno
‫accedere al resto di queste cose in esecuzione.
‫È solo quello che c'è in quel contenitore, giusto.
‫La vera cosa importante è che un container in Docker abilita
‫un sacco di funzionalità di sicurezza di Linux che
‫normalmente, se si eseguono
‫app sull'host, non sono abilitate per impostazione predefinita.
‫Ciò include le
‫funzionalità Seccomp, AppArmor, SELinux e kernel.
‫Queste quattro cose sono tutte all'interno di Docker
‫e abilitate per impostazione predefinita, supponendo
‫che l'host le supporti perché non tutte le distribuzioni Linux supportano tutti
‫gli strumenti di sicurezza. Ma queste quattro
‫cose, in particolare le funzionalità AppArmor,
‫Seccomp e Linux, sono abilitate per
‫ogni container che si esegue. Ecco perché a volte determinate applicazioni, sai
‫che devi eseguirlo come --privilege.
‫È necessario eseguirlo con la modalità privilegio.
‫Questo perché le impostazioni predefinite sono in conflitto con qualsiasi
‫cosa l'app voglia fare. Perché le impostazioni
‫predefinite impostate da Docker sono
‫comuni perché la maggior parte delle applicazioni funzioni correttamente.
‫Quindi, Docker ha praticamente attraversato un sacco di
‫strumenti nel corso della giornata, scansionato un sacco di software
‫open source comune e ha scoperto cosa tutti
‫hanno in comune in termini di diritti, in termini di autorizzazioni
‫per l'host . Hanno preso il resto di
‫loro, sai, centinaia di altre cose a cui le normali applicazioni possono
‫avere accesso e le
‫hanno portate via.
‫Ciò ha portato Docker
‫ad avere un profilo predefinito molto sicuro.
‫Quindi, se si esegue Nginx su un host, ha accesso a tutto
‫ciò che nel kernel a cui quell'utente ha accesso, che
‫di solito è quasi tutto.
‫Ma, se lo esegui in un contenitore,
‫ne blocca così tanto che è automaticamente
‫sicuro, più sicuro, pronto all'uso, anche se non hai personalizzato
‫nessuna di queste cose. Questo è il mio argomento per il motivo
‫per cui Docker per la sicurezza. Fatelo e otterrete
‫automaticamente tutte queste cose abilitate. Molte persone non sanno
‫come usare AppArmor o come usare
‫Seccom, o SELinux, come personalizzare quelle cose
‫per ogni applicazione. Ma Docker lo ha fatto ed è quello che fanno
‫immediatamente.