‫Tudo certo. Primeiro, está
‫sendo executado no Docker.
‫Isso requer que você meio que crie um argumento, porque
‫provavelmente é ... se você está tendo uma
‫barreira com isso, certo. Apenas usando o Docker, número um.
‫Se você não conseguir fazer isso.
‫Bem, um, você provavelmente está assistindo meu programa.
‫Mas isso provavelmente significa que você tem uma equipe
‫ou gerenciamento de segurança que leu
‫algo em algum lugar em que há segurança no Docker.
‫A última coisa foi que, se você
‫rolar até o final desta edição, é que
‫existem imagens por aí agora.
‫E, você sabe, não é novidade para ninguém que, se você
‫executar um software aleatório na Internet
‫sem primeiro checá-lo, poderá acabar com um vírus.
‫Basicamente, as pessoas estão criando imagens no Docker
‫Hub com ferramentas de criptomoeda ou cryptojacking dentro
‫delas que essencialmente serão executadas, você
‫sabe ... você pensa que está
‫executando este outro software, mas está realmente executando algo nefasto para
‫os hackers.
‫Bem, isso não é novidade, e o Docker não torna isso
‫mais fácil do que qualquer outra coisa.
‫Todos conhecemos as regras. Não execute imagens aleatórias, assim
‫como você não executaria código aleatório no seu servidor.
‫Você não baixa coisas aleatórias
‫da Internet. Portanto, não faça isso em imagens.
‫Execute apenas imagens oficiais ou aquelas em que você
‫confia absolutamente. Significado, você conhece o fornecedor.
‫O fornecedor está apostando o relacionamento deles com você nessa
‫imagem e você não precisa necessariamente digitalizar a imagem
‫com todas as linhas de código.
‫Mas você sabe, você está usando produtos respeitáveis de empresas
‫respeitáveis, certo.
‫Se você está fazendo isso, todo esse local ... todas essas notícias recentes
‫que deram muitas manchetes nem
‫sequer importam. Não era
‫uma vulnerabilidade no Docker. Foram as pessoas que configuraram o
‫Docker desativando a segurança que estava dentro e fora da caixa e depois
‫transferindo o download de software e imagens aleatórios.
‫Claro, eles vão ter problemas, certo.
‫Eu acho que a notícia real é que os hackers
‫estão ficando mais sofisticados. Eles sabem que
‫mais de nós estamos executando contêineres, então eles começarão a colocar
‫vírus nas imagens dos contêineres, certo. E o Docker Hub não digitaliza
‫todas as imagens. Ele verifica apenas problemas
‫de segurança em imagens oficiais. Isso não é mais um recurso do Docker Hub.
‫Bem, eles nunca fizeram isso para todos, porque há
‫milhões, não sei, 30 milhões de imagens.
‫Você poderia pagá-los no passado e, sabe, não pode mais pagá-los
‫por isso. Tudo certo.
‫O primeiro passo é apenas usar o Docker.
‫Caso você não saiba, quando você usa o Docker
‫pronto para o uso, ele já
‫está fortalecendo o aplicativo. Primeiro, esse aplicativo não pode ver o resto do
‫que está sendo executado no sistema. Portanto, ele não pode
‫acessar o restante dessas coisas em execução.
‫É apenas o que está naquele contêiner, certo.
‫O grande problema, porém, é que um contêiner no Docker habilita
‫vários recursos de segurança do Linux que normalmente, se
‫você apenas executa aplicativos
‫no host, não é ativado por padrão.
‫Isso inclui os
‫recursos Seccomp, AppArmor, SELinux e kernel.
‫Essas quatro coisas estão dentro do Docker e
‫ativadas por padrão, supondo que
‫seu host as suporte, porque nem toda distribuição Linux suporta todas
‫as ferramentas de segurança. Mas essas quatro
‫coisas, especialmente os recursos do AppArmor,
‫Seccomp e Linux, são ativados imediatamente para
‫cada contêiner que você executa. É por isso que, às vezes, em certos aplicativos,
‫você sabe que precisa executá-lo como --privilege.
‫Você precisa executá-lo com o modo de privilégio.
‫Isso ocorre porque esses padrões estão em conflito com o que
‫o aplicativo deseja fazer. Porque esses padrões
‫que o Docker define são
‫comuns para a maioria dos aplicativos funcionarem corretamente.
‫Então, o Docker basicamente passou por um monte
‫de ferramentas no passado, examinou um monte de software de código
‫aberto comum e descobriu o que todos eles
‫têm em comum em termos de direitos, em termos de permissões
‫no host . Eles pegaram o restante deles,
‫você sabe, centenas de outras coisas às quais os aplicativos regulares
‫podem ter acesso e
‫os levaram embora.
‫Isso resultou no
‫Docker com um perfil padrão muito seguro.
‫Portanto, se você executar o Nginx em um host, ele terá acesso
‫a tudo no kernel ao qual esse usuário tem acesso,
‫o que geralmente é quase tudo.
‫Mas, se você executá-lo em um contêiner,
‫ele bloqueia tanto que é automaticamente seguro, mais
‫seguro e pronto para uso, mesmo que você não tenha
‫personalizado nenhuma dessas coisas. Esse é o meu argumento sobre
‫como o Docker para segurança. Faça isso e você
‫ativará automaticamente todas essas coisas. A maioria das pessoas não
‫sabe como usar o AppArmor ou
‫como o Seccom, ou SELinux, como personalizar essas
‫coisas para cada aplicativo. Mas, Docker fez, e é isso que eles fazem
‫imediatamente.