‫Được rồi. Đầu tiên là
‫chỉ chạy trong Docker.
‫Điều này đòi hỏi bạn phải tạo một đối số, bởi vì đây
‫có thể là ... nếu bạn đang gặp rào cản
‫với điều này, phải không. Chỉ sử dụng Docker, số một.
‫Nếu bạn không thể hoàn thành việc này.
‫À, một là, có lẽ bạn đang xem chương trình của tôi.
‫Tuy nhiên, điều đó có thể có nghĩa là bạn có một nhóm
‫bảo mật hoặc ban quản lý, đã đọc được
‫điều gì đó ở đâu đó rằng có bảo mật xung quanh Docker.
‫Điều mới nhất là, nếu bạn cuộn
‫xuống dưới cùng của vấn đề này, là
‫có những hình ảnh hiện có.
‫Và, bạn biết đấy, không phải ai cũng tin rằng nếu bạn chạy
‫phần mềm ngẫu nhiên trên Internet mà
‫không kiểm tra nó trước, bạn có thể bị nhiễm vi-rút.
‫Về cơ bản, mọi người đang tạo hình ảnh trên Docker
‫Hub bằng tiền điện tử hoặc các công cụ cryptojacking
‫bên trong chúng về cơ bản sẽ chạy, bạn
‫biết đấy ... bạn nghĩ rằng bạn đang
‫chạy phần mềm khác này, nhưng bạn thực sự đang chạy thứ gì đó bất
‫chính cho tin tặc.
‫Chà, điều này không mới và Docker không nhất thiết phải làm cho việc
‫này dễ dàng hơn bất kỳ thứ gì khác.
‫Tất cả chúng ta đều biết các quy tắc. Không chạy hình ảnh ngẫu nhiên, giống như
‫bạn sẽ không chạy mã ngẫu nhiên trên máy chủ của mình.
‫Bạn không tải xuống những thứ ngẫu
‫nhiên từ Internet. Vì vậy, đừng làm điều đó trong hình ảnh.
‫Chỉ chạy những hình ảnh chính thức hoặc những hình ảnh mà bạn hoàn
‫toàn tin tưởng. Có nghĩa là, bạn biết nhà cung cấp.
‫Nhà cung cấp đang đặt mối quan hệ của họ với
‫bạn trên hình ảnh đó và bạn không nhất thiết phải
‫quét hình ảnh với mọi dòng mã.
‫Nhưng bạn biết đấy, bạn đang sử dụng sản phẩm uy tín của các công ty
‫uy tín, đúng không.
‫Nếu bạn đang làm điều đó, toàn bộ địa phương này ... điều này tất cả những tin tức
‫gần đây đã tạo ra một loạt các tiêu
‫đề, thậm chí không quan trọng. Nó không phải
‫là một lỗ hổng trong Docker. Đó là mọi người định cấu hình
‫Docker bằng cách vô hiệu hóa bảo mật trong và ngoài hộp, sau đó
‫tải xuống phần mềm và hình ảnh ngẫu nhiên.
‫Tất nhiên, chúng sẽ có vấn đề, đúng.
‫Tôi nghĩ tin tức thực sự là tin tặc ngày
‫càng tinh vi hơn. Họ biết nhiều người
‫trong chúng ta đang chạy các vùng chứa, vì vậy họ sẽ bắt đầu đưa
‫virus vào các hình ảnh vùng chứa, đúng không. Và Docker Hub không quét
‫mọi hình ảnh. Nó chỉ quét các vấn đề
‫bảo mật trong các hình ảnh chính thức. Đó không phải là một tính năng của Docker Hub nữa.
‫Chà, họ không bao giờ làm điều đó cho tất cả mọi người bởi vì
‫có hàng triệu, có, tôi không biết, 30 triệu hình ảnh.
‫Bạn có thể trả tiền cho họ trong quá khứ, và bạn biết đấy, bạn không thể trả tiền
‫cho họ nữa. Được rồi.
‫Bước một chỉ là sử dụng Docker.
‫Trong trường hợp bạn không biết, khi bạn sử
‫dụng Docker out-of-box, nó đã làm cứng
‫ứng dụng trong đó. Một, ứng dụng đó không thể xem phần còn lại của
‫những gì đang chạy trên hệ thống. Vì vậy, nó thậm chí không
‫thể truy cập phần còn lại của nội dung này đang chạy.
‫Nó chỉ là những gì trong thùng chứa đó, phải không.
‫Tuy nhiên, điều quan trọng thực sự ở đó là một vùng chứa trong Docker cho
‫phép một loạt các tính năng bảo mật của Linux mà thông thường,
‫nếu bạn chỉ chạy các ứng
‫dụng trên máy chủ, sẽ không được bật theo mặc định.
‫Điều đó bao gồm các
‫khả năng của Seccomp, AppArmor, SELinux và hạt nhân.
‫Bốn thứ đó đều nằm trong Docker và được bật
‫theo mặc định, giả sử máy chủ của
‫bạn hỗ trợ chúng vì không phải bản phân phối Linux nào cũng hỗ trợ
‫mọi công cụ bảo mật. Nhưng bốn thứ đó,
‫đặc biệt là các khả năng của
‫AppArmor, Seccomp và Linux đều được bật sẵn
‫cho mọi vùng chứa bạn chạy. Đó là lý do tại sao đôi khi một số ứng dụng nhất
‫định, bạn biết rằng bạn phải chạy nó như --privilege.
‫Bạn phải chạy nó với chế độ đặc quyền.
‫Đó là bởi vì những mặc định đó xung đột với bất kỳ thứ
‫gì ứng dụng đó muốn làm. Bởi vì những mặc định
‫mà Docker đặt là phổ biến
‫cho hầu hết các ứng dụng để hoạt động chính xác.
‫Vì vậy, về cơ bản, Docker đã xem
‫qua một loạt các công cụ trong ngày, quét toàn
‫bộ phần mềm nguồn mở phổ biến và
‫tìm ra điểm chung của chúng về quyền, về quyền trên
‫máy chủ. . Bạn biết đấy, họ đã lấy đi
‫phần còn lại của chúng, bạn biết đấy, hàng trăm thứ khác mà các ứng dụng thông thường
‫có thể có quyền truy cập,
‫và họ đã lấy đi chúng.
‫Điều đó dẫn đến việc
‫Docker có một hồ sơ mặc định rất an toàn.
‫Vì vậy, nếu bạn chỉ chạy Nginx trên một máy chủ, nó có quyền truy
‫cập vào mọi thứ trong nhân mà người dùng đó có quyền truy
‫cập, thường là hầu hết mọi thứ.
‫Tuy nhiên, nếu bạn chạy nó trong một vùng chứa,
‫nó sẽ khóa nhiều thứ đến mức nó sẽ tự động
‫an toàn hơn, an toàn hơn, ngay cả khi bạn không tùy chỉnh bất
‫kỳ thứ nào trong số đó. Đó là lập luận của tôi về lý
‫do tại sao Docker để bảo mật. Chỉ cần làm điều đó, và bạn
‫sẽ tự động kích hoạt tất cả những thứ này. Hầu hết mọi người không biết
‫về cách sử dụng AppArmor hoặc cách sử
‫dụng Seccom, hoặc SELinux, cách tùy chỉnh những thứ
‫đó cho từng ứng dụng. Nhưng, Docker đã làm, và đó là những gì họ
‫làm được.