‫Tamam. İlk olarak Docker'da
‫çalışıyor.
‫Bu bir tür argüman yaratmanızı gerektiriyor, çünkü
‫bu muhtemelen... Eğer bu konuda bir engeliniz
‫varsa, doğru. Sadece Docker kullanmak, bir numara.
‫Eğer bunu yapamazsan.
‫Birincisi, muhtemelen benim programımı izliyorsunuzdur.
‫Ancak, bu muhtemelen Docker'ın etrafında güvenlik olduğuna
‫dair bir yerlerde bir şeyler okuyan bir güvenlik
‫ekibiniz veya yönetiminiz olduğu anlamına gelir.
‫En son şey, bu sayının en
‫altına inerseniz, artık orada
‫görüntüler var.
‫Ve biliyorsunuz, internetten rastgele bir yazılımı kontrol etmeden
‫çalıştırdığınızda virüs kapabileceğiniz
‫kimsenin bilmediği bir şey değil.
‫Temel olarak, insanlar Docker Hub'da içinde kripto para
‫birimi veya kripto korsanlığı araçları bulunan ve esasen
‫çalışacak görüntüler oluşturuyor...
‫Başka
‫bir yazılım çalıştırdığınızı sanırsınız ama aslında hackerlar için kötü bir şey çalıştırıyorsunuzdur.
‫Bu yeni bir şey değil ve Docker bunu diğerlerinden
‫daha kolay hale getirmiyor.
‫Hepimiz kuralları biliyoruz. Tıpkı sunucunuzda rastgele kod çalıştırmayacağınız
‫gibi, rastgele görüntüler çalıştırmayın.
‫İnternetten rastgele şeyler
‫indirmezsiniz. Yani, bunu resimlerde yapmayın.
‫Yalnızca resmi görüntüleri veya kesinlikle güvendiğiniz görüntüleri
‫çalıştırın. Yani, satıcıyı biliyorsun.
‫Satıcı sizinle olan ilişkisini bu görüntü üzerine
‫kuruyor ve görüntüyü her kod satırıyla taramak
‫zorunda değilsiniz.
‫Ama biliyorsunuz, saygın şirketlerin saygın ürünlerini kullanıyorsunuz,
‫değil mi?
‫Eğer bunu yapıyorsanız, tüm bu yerel... Bu son günlerde manşetlere
‫çıkan haberlerin hiçbir önemi
‫yok. Docker'daki bir güvenlik
‫açığı değildi. İnsanlar Docker'ı kutudan çıkan güvenliği
‫devre dışı bırakarak yapılandırıyor ve ardından gidip rastgele yazılım
‫ve imajlar indiriyorlardı.
‫Tabii ki sorunları olacak, değil mi?
‫Bence buradaki asıl haber, bilgisayar korsanlarının
‫daha sofistike hale gelmesi. Çoğumuzun konteyner
‫kullandığını biliyorlar, bu yüzden virüsleri konteyner imajlarına
‫koymaya başlayacaklar, değil mi? Ve Docker Hub her görüntüyü
‫taramaz. Yalnızca resmi görüntülerdeki
‫güvenlik sorunlarını tarar. Bu artık Docker Hub'ın bir özelliği değil.
‫Bunu herkes için yapmadılar çünkü milyonlarca,
‫ne bileyim 30 milyon resim var.
‫Geçmişte onlara ödeme yapabiliyordunuz ama artık bunun için onlara ödeme
‫yapamazsınız. Tamam.
‫Birinci adım sadece Docker kullanmaktır.
‫Bilmiyorsanız diye söylüyorum, Docker'ı kullanıma hazır
‫olarak kullandığınızda, içindeki uygulamayı
‫zaten sağlamlaştırıyor. Birincisi, bu uygulama sistemde çalışan
‫diğer şeyleri göremez. Yani, çalışan bu şeylerin
‫geri kalanına bile erişemiyor.
‫Sadece o kabın içindekiler, değil mi?
‫Ancak buradaki asıl önemli nokta, Docker'daki bir konteynerin, normalde uygulamaları
‫yalnızca ana bilgisayarda çalıştırdığınızda varsayılan olarak
‫etkinleştirilmeyen bir dizi Linux güvenlik
‫özelliğini etkinleştirmesidir.
‫Buna Seccomp, AppArmor, SELinux
‫ve çekirdek özellikleri de dahildir.
‫Bu dört şeyin hepsi Docker'ın içindedir ve varsayılan
‫olarak etkindir, ana bilgisayarınızın
‫bunları desteklediğini varsayarsak, çünkü her Linux dağıtımı her güvenlik
‫aracını desteklemez. Ancak bu dört şey, özellikle AppArmor,
‫Seccomp ve Linux yetenekleri, çalıştırdığınız
‫her konteyner için kutudan çıkar çıkmaz etkinleştirilir.
‫Bu
‫yüzden bazen bazı uygulamaları --privilege gibi çalıştırmanız gerektiğini bilirsiniz.
‫Ayrıcalık modunda çalıştırmak zorundasınız.
‫Bunun nedeni, bu varsayılanların uygulamanın yapmak istediği
‫şeyle çakışmasıdır. Çünkü Docker'ın belirlediği
‫bu varsayılanlar çoğu uygulamanın
‫doğru çalışması için ortaktır.
‫Yani Docker temel olarak geçmişte bir
‫sürü aracı inceledi, bir sürü yaygın açık kaynak yazılımı
‫taradı ve hepsinin haklar açısından, ana
‫bilgisayardaki izinler açısından ortak yönlerini
‫buldu. Geri kalanını, yani
‫normal uygulamaların erişebildiği yüzlerce başka
‫şeyi aldılar ve ellerinden
‫aldılar.
‫Bu da Docker'ın çok güvenli bir varsayılan
‫profile sahip olmasıyla sonuçlandı.
‫Dolayısıyla, Nginx'i bir ana bilgisayarda çalıştırırsanız, çekirdekte
‫o kullanıcının erişebildiği her şeye erişebilir, ki bu genellikle
‫her şeyin çoğudur.
‫Ancak, bir konteynırda çalıştırırsanız, bunların
‫çoğunu kilitler, böylece bu şeylerin hiçbirini özelleştirmemiş
‫olsanız bile otomatik olarak güvenli, daha güvenli, kutudan çıkar
‫çıkmaz olur. Bu benim güvenlik için neden Docker
‫gibi bir argümanım. Sadece bunu yapın ve tüm bunları
‫otomatik olarak etkinleştirin. Çoğu insan AppArmor'un nasıl kullanılacağını
‫ya da Seccom'un veya SELinux'un nasıl kullanılacağını,
‫bunların her uygulama için nasıl özelleştirileceğini
‫bilmiyor. Ancak Docker bunu yaptı ve kutudan çıktığı haliyle bunu
‫yapıyor.