‫Todo bien. Primero está
‫ejecutando en Docker.
‫Esto requiere que crees una especie de argumento, porque esto
‫es probablemente ... Si tienes una barrera
‫con esto, ¿verdad? Solo usando Docker, número uno.
‫Si no puedes hacer esto.
‫Bueno, uno, probablemente estés viendo mi programa.
‫Pero, eso probablemente significa que tiene un equipo de
‫seguridad, o administración, que ha leído
‫algo en algún lugar que hay seguridad en Docker.
‫Lo último fue, si se desplaza hacia
‫abajo hasta el final de este problema, es
‫que ahora hay imágenes por ahí.
‫Y, ya sabes, no es una novedad para nadie que si
‫ejecutas un software aleatorio fuera de
‫Internet sin verificarlo primero, puedes terminar con un virus.
‫Básicamente, las personas están creando imágenes en Docker
‫Hub con criptomonedas o herramientas de criptojacking dentro
‫de ellas que esencialmente se ejecutarán, ya
‫sabes ... cree que está ejecutando
‫esta otra pieza de software, pero realmente está ejecutando algo nefasto para
‫los piratas informáticos.
‫Bueno, esto no es nuevo, y Docker no necesariamente lo hace
‫más fácil que cualquier otra cosa.
‫Todos conocemos las reglas. No ejecute imágenes aleatorias, al
‫igual que no ejecutaría código aleatorio en su servidor.
‫No descargas cosas al azar
‫de Internet. Entonces, no hagas eso en imágenes.
‫Solo ejecute imágenes oficiales o aquellas en las que
‫confíe absolutamente. Es decir, conoces al vendedor.
‫El vendedor está estableciendo su relación con usted en esa
‫imagen, y no necesariamente tiene que escanear la imagen
‫con cada línea de código.
‫Pero, ya sabes, estás utilizando productos de buena reputación de compañías de
‫buena reputación, ¿verdad?
‫Si estás haciendo eso, todo este local ... todo esto de noticias recientes
‫que hizo un montón de titulares,
‫ni siquiera importa. No era
‫una vulnerabilidad en Docker. Fueron las personas que configuraron Docker
‫al desactivar la seguridad que estaba dentro y fuera de la caja y
‫luego ir y descargar software e imágenes al azar.
‫Por supuesto, van a tener problemas, ¿verdad?
‫Creo que la verdadera noticia es que los hackers se
‫están volviendo más sofisticados. Saben que más
‫de nosotros estamos ejecutando contenedores, por lo que comenzarán a poner virus
‫en las imágenes de contenedores, ¿verdad? Y Docker Hub no escanea
‫todas las imágenes. Solo busca problemas de
‫seguridad en las imágenes oficiales. Esa ya no es una característica de Docker Hub.
‫Bueno, nunca lo hicieron por todos porque hay millones,
‫hay, no sé, 30 millones de imágenes.
‫Podrías pagarles en el pasado, y sabes, ya no puedes pagarlos
‫por eso. Todo bien.
‫El primer paso es usar Docker.
‫En caso de que no lo supiera, cuando
‫usa Docker de fábrica, ya está
‫endureciendo la aplicación allí. Uno, esa aplicación no puede ver el resto de lo
‫que se está ejecutando en el sistema. Por lo tanto, ni siquiera
‫puede acceder al resto de estas cosas en ejecución.
‫Es solo lo que hay en ese contenedor, correcto.
‫Sin embargo, lo realmente importante es que un contenedor en Docker habilita
‫un conjunto de características de seguridad de Linux que normalmente,
‫si solo ejecuta aplicaciones en
‫el host, no están habilitadas de manera predeterminada.
‫Eso incluye las capacidades
‫de Seccomp, AppArmor, SELinux y kernel.
‫Esas cuatro cosas están todas dentro de Docker
‫y habilitadas de forma predeterminada, suponiendo
‫que su host las admita porque no todas las distribuciones de Linux admiten
‫todas las herramientas de seguridad. Pero esas cuatro cosas,
‫especialmente las capacidades de AppArmor, Seccomp
‫y Linux están habilitadas de forma inmediata
‫para cada contenedor que ejecute. Es por eso que a veces ciertas aplicaciones, sabes
‫que tienes que ejecutarlas como --privilege.
‫Tienes que ejecutarlo con el modo de privilegio.
‫Eso es porque esos valores predeterminados están en conflicto con lo que sea
‫que la aplicación quiera hacer. Porque los valores predeterminados
‫que establece Docker son comunes
‫para que la mayoría de las aplicaciones funcionen correctamente.
‫Entonces, Docker básicamente revisó un montón de herramientas
‫en el pasado, escaneó un montón de software de código abierto
‫común y descubrió lo que todos tienden a
‫tener en común en términos de derechos, en términos de permisos en
‫el host . Se llevaron el resto de
‫ellos, ya sabes, cientos de otras cosas a las que las aplicaciones
‫normales pueden tener acceso,
‫y se los llevaron.
‫Eso dio como resultado
‫que Docker tuviera un perfil predeterminado muy seguro.
‫Entonces, si solo ejecuta Nginx en un host, tiene acceso a todo en
‫el kernel al que tiene acceso ese usuario, que generalmente
‫es la mayor parte de todo.
‫Pero, si lo ejecuta en un contenedor,
‫bloquea tanto de eso que es automáticamente
‫seguro, más seguro, listo para usar, incluso si no personalizó
‫ninguna de esas cosas. Ese es mi argumento de por
‫qué Docker por seguridad. Solo hazlo, y
‫automáticamente habilitarás todas estas cosas. La mayoría de la gente
‫no sabe cómo usar AppArmor o
‫cómo usar Seccom, o SELinux, cómo personalizar esas
‫cosas para cada aplicación. Pero, Docker lo hizo, y eso es lo que hacen fuera de
‫la caja.