‫ไม่เป็นไร. อันดับแรกก็แค่ทำงานใน
‫Docker
‫สิ่งนี้ต้องการให้คุณสร้างอาร์กิวเมนต์ เพราะนี่อาจเป็น...
‫หากคุณมีอุปสรรคกับสิ่งนี้ใช่ไหม
‫แค่ใช้ Docker อันดับหนึ่ง
‫หากคุณไม่สามารถทำสิ่งนี้ได้
‫อย่างใดอย่างหนึ่ง คุณอาจจะดูการแสดงของฉัน
‫แต่นั่นอาจหมายความว่าคุณมีทีมรักษาความปลอดภัยหรือผู้บริหารที่อ่านบางสิ่งที่ใดที่หนึ่งที่มีการรักษาความปลอดภัยรอบ
‫Docker
‫สิ่งล่าสุดคือ หากคุณเลื่อนลงไปที่ด้านล่างของปัญหานี้
‫แสดงว่าตอนนี้มีรูปภาพอยู่
‫และไม่ใช่ข่าวสำหรับทุกคนว่าถ้าคุณเรียกใช้ซอฟต์แวร์แบบสุ่มจากอินเทอร์เน็ตโดยไม่ตรวจสอบก่อน
‫คุณอาจลงเอยด้วยไวรัส
‫โดยพื้นฐานแล้ว ผู้คนกำลังสร้างภาพบน Docker Hub
‫ด้วยเครื่องมือเข้ารหัสลับหรือ cryptojacking
‫ในตัวที่จะดำเนินการเป็นหลัก คุณรู้...
‫คุณคิดว่าคุณกำลังใช้ซอฟต์แวร์อีกชิ้นนี้
‫แต่คุณกำลังเรียกใช้บางสิ่งที่ชั่วร้ายสำหรับแฮกเกอร์
‫นี่ไม่ใช่สิ่งใหม่และ Docker ไม่ได้ทำให้สิ่งนี้ง่ายกว่าสิ่งอื่นใด
‫เราทุกคนรู้กฎเกณฑ์ อย่าเรียกใช้รูปภาพแบบสุ่ม เช่นเดียวกับที่คุณไม่ได้เรียกใช้โค้ดแบบสุ่มบนเซิร์ฟเวอร์ของคุณ
‫คุณไม่ได้ดาวน์โหลดเนื้อหาแบบสุ่มจากอินเทอร์เน็ต
‫ดังนั้นอย่าทำอย่างนั้นในภาพ
‫เรียกใช้เฉพาะภาพอย่างเป็นทางการหรือภาพที่คุณไว้วางใจเท่านั้น
‫หมายความว่าคุณรู้จักผู้ขาย
‫ผู้ขายกำลังปักหลักความสัมพันธ์กับคุณในรูปภาพนั้น
‫และคุณไม่จำเป็นต้องสแกนรูปภาพด้วยโค้ดทุกบรรทัด
‫แต่คุณรู้ไหม คุณกำลังใช้ผลิตภัณฑ์ที่มีชื่อเสียงจากบริษัทที่มีชื่อเสียงใช่ไหม
‫หากคุณกำลังทำอย่างนั้นทั้งท้องถิ่นนี้ ... นี่เป็นข่าวล่าสุดที่สร้างหัวข้อข่าวมากมาย
‫ไม่สำคัญเลย มันไม่ใช่ช่องโหว่ใน
‫Docker เป็นคนที่กำหนดค่า Docker โดยการปิดใช้งานการรักษาความปลอดภัยที่อยู่ในและออกจากกล่อง
‫จากนั้นจึงไปดาวน์โหลดซอฟต์แวร์และรูปภาพแบบสุ่ม
‫แน่นอน พวกเขาจะมีปัญหาใช่ไหม
‫ฉันคิดว่าข่าวจริงที่แฮ็กเกอร์มีความซับซ้อนมากขึ้น
‫พวกเขารู้ว่าพวกเรากำลังใช้คอนเทนเนอร์มากขึ้น
‫ดังนั้นพวกเขาจะเริ่มใส่ไวรัสลงในอิมเมจคอนเทนเนอร์ใช่หรือไม่
‫และ
‫Docker Hub ไม่ได้สแกนทุกภาพ จะสแกนหาปัญหาด้านความปลอดภัยในรูปทางการเท่านั้น
‫นั่นไม่ใช่คุณสมบัติของ Docker Hub อีกต่อไป
‫พวกเขาไม่เคยทำเพื่อทุกคนเพราะมีเป็นล้าน
‫มี 30 ล้านภาพ ไม่รู้สิ
‫คุณสามารถจ่ายได้ในอดีต และคุณรู้ไหม คุณไม่สามารถจ่ายได้อีกต่อไปสำหรับสิ่งนั้น
‫ไม่เป็นไร.
‫ขั้นตอนที่หนึ่งก็แค่ใช้ Docker
‫ในกรณีที่คุณไม่ทราบ เมื่อคุณใช้ Docker
‫แบบแกะกล่อง แอปพลิเคชันในนั้นได้แข็งตัวแล้ว
‫อย่างแรกคือ
‫แอปพลิเคชันนั้นไม่สามารถเห็นสิ่งที่เหลืออยู่ในระบบ จึงไม่สามารถเข้าถึงส่วนที่เหลือของสิ่งนี้ที่ทำงานอยู่
‫มันเป็นเพียงสิ่งที่อยู่ในภาชนะนั้นใช่ไหม
‫สิ่งที่สำคัญจริงๆ ก็คือคอนเทนเนอร์ใน Docker เปิดใช้งานคุณลักษณะด้านความปลอดภัยของ
‫Linux มากมาย ซึ่งโดยปกติ หากคุณเพิ่งเรียกใช้แอปบนโฮสต์ จะไม่ถูกเปิดใช้งานโดยค่าเริ่มต้น
‫ซึ่งรวมถึงความสามารถของ Seccomp,
‫AppArmor, SELinux และเคอร์เนล
‫สี่สิ่งนี้อยู่ใน Docker และเปิดใช้งานโดยค่าเริ่มต้น
‫สมมติว่าโฮสต์ของคุณรองรับเพราะไม่ใช่ทุกการกระจาย
‫Linux ที่รองรับเครื่องมือความปลอดภัยทั้งหมด
‫แต่สี่สิ่งนี้
‫โดยเฉพาะความสามารถของ AppArmor, Seccomp และ Linux นั้นเปิดใช้งานได้ทันทีจากกล่องสำหรับทุกคอนเทนเนอร์ที่คุณใช้งาน
‫นั่นคือเหตุผลที่บางครั้งบางแอปพลิเคชั่น
‫คุณรู้ว่าคุณต้องรันมันเหมือน --privilege
‫คุณต้องเรียกใช้ด้วยโหมดสิทธิ์พิเศษ
‫นั่นเป็นเพราะว่าค่าเริ่มต้นเหล่านั้นขัดแย้งกับสิ่งที่แอปต้องการจะทำ
‫เนื่องจากค่าเริ่มต้นที่
‫Docker ตั้งค่าไว้นั้นเป็นเรื่องปกติสำหรับแอปพลิเคชันส่วนใหญ่เพื่อให้ทำงานได้อย่างถูกต้อง
‫ดังนั้นโดยทั่วไปแล้ว Docker ได้ใช้เครื่องมือมากมายในสมัยก่อน
‫สแกนซอฟต์แวร์โอเพนซอร์สทั่วไปจำนวนหนึ่ง และค้นหาว่าพวกเขาทั้งหมดมีแนวโน้มที่จะมีอะไรที่เหมือนกันในแง่ของสิทธิ์
‫ในแง่ของการอนุญาตบนโฮสต์ .
‫คุณรู้ไหม
‫พวกเขาเอาสิ่งอื่น ๆ อีกหลายร้อยอย่างที่แอปพลิเคชันทั่วไปสามารถเข้าถึงได้ และพวกเขาก็เอาไป
‫ส่งผลให้ Docker มีโปรไฟล์เริ่มต้นที่ปลอดภัยมาก
‫ดังนั้น หากคุณเพิ่งเรียกใช้ Nginx บนโฮสต์ มันจะสามารถเข้าถึงทุกสิ่งในเคอร์เนลที่ผู้ใช้นั้นเข้าถึงได้
‫ซึ่งโดยทั่วไปแล้วจะเป็นเกือบทุกอย่าง
‫แต่ถ้าคุณเรียกใช้ในคอนเทนเนอร์ มันจะล็อกส่วนนั้นไว้มากจนมีความปลอดภัยโดยอัตโนมัติ ปลอดภัยกว่า
‫พร้อมใช้งานทันที แม้ว่าคุณจะไม่ได้ปรับแต่งสิ่งเหล่านั้นก็ตาม
‫นั่นเป็นข้อโต้แย้งของฉันว่าทำไม
‫Docker เพื่อความปลอดภัย แค่ลงมือทำ คุณก็จะเปิดใช้งานสิ่งเหล่านี้โดยอัตโนมัติ
‫คนส่วนใหญ่ไม่รู้เกี่ยวกับวิธีใช้
‫AppArmor หรือวิธีใช้ Seccom หรือ SELinux วิธีปรับแต่งสิ่งเหล่านั้นสำหรับแต่ละแอปพลิเคชัน
‫แต่
‫Docker ทำได้ และนั่นคือสิ่งที่พวกเขาทำนอกกรอบ