‫W porządku. Najpierw działa
‫po prostu w Docker.
‫Wymaga to stworzenia argumentu, ponieważ prawdopodobnie jest
‫to ... jeśli masz z tym
‫barierę, prawda. Tylko za pomocą Dockera, numer jeden.
‫Jeśli nie możesz tego zrobić.
‫Po pierwsze, prawdopodobnie oglądasz mój program.
‫Ale to prawdopodobnie oznacza, że masz zespół
‫ds. Bezpieczeństwa lub zarząd, który
‫przeczytał coś, gdzie jest bezpieczeństwo wokół Dockera.
‫Najnowszą rzeczą jest to, że jeśli przewiniesz
‫w dół do dolnej części tego problemu, jest
‫to, że są tam teraz zdjęcia.
‫I, wiesz, to nie jest wiadomość dla nikogo, że jeśli
‫uruchomisz losowe oprogramowanie z Internetu
‫bez uprzedniego sprawdzenia, możesz skończyć z wirusem.
‫Zasadniczo ludzie tworzą obrazy w Docker Hub
‫z kryptowalutą lub narzędziami do kryptowalut,
‫które w zasadzie będą działać,
‫wiesz ... myślisz, że korzystasz
‫z tego innego oprogramowania, ale naprawdę hackerzy robią
‫coś niecnego.
‫Cóż, to nie jest nowe, a Docker niekoniecznie czyni
‫to łatwiejszym niż cokolwiek innego.
‫Wszyscy znamy zasady. Nie uruchamiaj losowych obrazów, tak
‫jakbyś nie uruchamiał losowego kodu na swoim serwerze.
‫Nie pobierasz losowych rzeczy
‫z Internetu. Więc nie rób tego na obrazach.
‫Uruchom tylko oficjalne zdjęcia lub te, którym całkowicie
‫ufasz. Czyli znasz sprzedawcę.
‫Sprzedawca stawia relacje z tobą na tym
‫obrazie i niekoniecznie musisz skanować obraz za
‫pomocą każdej linii kodu.
‫Ale wiesz, używasz renomowanych produktów renomowanych firm,
‫prawda.
‫Jeśli to robisz, ten cały lokalny ... ta ostatnia wiadomość, która
‫znalazła się w wielu nagłówkach, nawet
‫nie ma znaczenia. To nie
‫była luka w Dockerze. To ludzie konfigurowali Docker,
‫wyłączając zabezpieczenia, które były i były gotowe, a następnie pobierając
‫i pobierając losowe oprogramowanie i obrazy.
‫Oczywiście będą mieli problemy, prawda.
‫Myślę, że prawdziwą wiadomością jest to, że hakerzy stają
‫się coraz bardziej wyrafinowani. Wiedzą, że
‫więcej z nas prowadzi kontenery, więc zaczną umieszczać
‫wirusy na obrazach kontenerów. A Docker Hub nie
‫skanuje każdego obrazu. Skanuje tylko w poszukiwaniu
‫problemów bezpieczeństwa na oficjalnych obrazach. To już nie jest funkcja Docker Hub.
‫Cóż, nigdy nie zrobili tego dla wszystkich, ponieważ są miliony,
‫nie ma, nie wiem, 30 milionów zdjęć.
‫Możesz płacić im w przeszłości i wiesz, nie możesz już za
‫to płacić. W porządku.
‫Pierwszym krokiem jest użycie Dockera.
‫Jeśli nie wiesz, kiedy używasz Dockera od razu
‫po wyjęciu z pudełka, to
‫już utwardza aplikację. Po pierwsze, ta aplikacja nie widzi reszty
‫tego, co działa w systemie. Więc nie może
‫nawet uzyskać dostępu do reszty działających rzeczy.
‫To tylko to, co jest w tym pojemniku, prawda.
‫Istotną rzeczą jest jednak to, że kontener w Dockerze
‫włącza wiele funkcji bezpieczeństwa Linuksa, które normalnie, jeśli
‫tylko uruchamiasz aplikacje
‫na hoście, nie są domyślnie włączone.
‫Obejmuje to funkcje
‫Seccomp, AppArmor, SELinux i jądra.
‫Te cztery rzeczy są wewnątrz Dockera
‫i domyślnie włączone, zakładając, że
‫twój host je obsługuje, ponieważ nie każda dystrybucja Linuksa obsługuje
‫każde narzędzie bezpieczeństwa. Ale te cztery
‫rzeczy, w szczególności funkcje AppArmor, Seccomp
‫i Linux, są dostępne natychmiast po
‫uruchomieniu dla każdego uruchamianego kontenera. Dlatego czasami niektóre aplikacje, wiesz, że
‫musisz je uruchomić jak --privilege.
‫W pewnym sensie musisz uruchomić go w trybie uprawnień.
‫To dlatego, że te domyślne ustawienia są sprzeczne z tym, co
‫chce zrobić ta aplikacja. Ponieważ te wartości
‫domyślne ustawione przez Docker
‫są wspólne dla większości aplikacji do poprawnego działania.
‫Więc Docker po prostu przeszedł całą masę
‫narzędzi w przeszłości, zeskanował całą masę wspólnego oprogramowania open
‫source i zorientował się, co oni wszyscy
‫mają wspólnego pod względem praw, pod względem uprawnień na
‫hoście . Zabrali resztę, no
‫wiesz, setki innych rzeczy, do których zwykłe aplikacje mogą
‫mieć dostęp, i
‫zabrali je.
‫W rezultacie Docker
‫miał bardzo bezpieczny profil domyślny.
‫Jeśli więc uruchomisz Nginx na hoście, ma on dostęp do
‫wszystkiego w jądrze, do którego użytkownik ma dostęp,
‫co zwykle jest większością wszystkiego.
‫Ale jeśli uruchomisz go w kontenerze,
‫blokuje to tyle, że jest automatycznie bezpieczny,
‫bardziej bezpieczny, po wyjęciu z pudełka, nawet jeśli nie dostosowałeś
‫żadnej z tych rzeczy. To mój argument za tym,
‫dlaczego Docker dla bezpieczeństwa. Po prostu zrób to,
‫a automatycznie włączysz wszystkie te rzeczy. Większość ludzi nie wie o
‫tym, jak korzystać z AppArmor ani
‫jak używać Seccom lub SELinux, jak dostosować te
‫rzeczy do każdej aplikacji. Ale Docker zrobił i to właśnie robią od razu po wyjęciu
‫z pudełka.