‫Passons à ceux-là, nous avons un mauvais comportement au
‫moment de l'exécution.
‫Je ne parlerai pas beaucoup de celui-ci, mais c'est le plus
‫récent de ma liste.
‫Le Sysdig Falco est un outil qui, il existe d’autres outils
‫similaires, mais aucun que j’ai jamais
‫vu soit aussi simple ou aussi conçu pour les conteneurs que Falco.
‫Falco prend essentiellement une petite liste commune
‫de mauvais comportements, ou de ce que je
‫dirais, de comportements suspects.
‫Ce qui ne devrait pas nécessairement se produire souvent, comme l'exécution dans un
‫conteneur en cours d'exécution sur un serveur de production.
‫Ou, copier des fichiers dans ces conteneurs sur des serveurs en cours d'exécution.
‫Ou bien, liez le montage des données sensibles du
‫système d'exploitation hôte dans le conteneur lui-même,
‫à droite.
‫Ils vont vous montrer un petit exemple ici sur
‫exactement ce que vous faites. Ils exécutent
‫essentiellement des agents Falco sur chaque serveur, puis adoptent
‫certains comportements suspects dans des conteneurs.
‫L'objectif de Falco est d'auditer et de consigner ces comportements afin
‫que vous puissiez en principe suivre
‫tout comportement indésirable et alerter sur ces journaux, le cas
‫échéant. Vous pouvez
‫les voir ici en train d'exécuter certaines tâches et de
‫voir ce que les journaux génèrent. La partie la plus cool à
‫ce sujet est qu’il est livré avec un ensemble par défaut.
‫Parce que beaucoup d’entre nous ne connaissent pas tous
‫les mauvais comportements. Par exemple, nous ne savons pas tout ce que vous
‫pourriez faire si vous êtes un mauvais acteur.
‫La bonne chose à propos de Falco est qu’il
‫est fourni avec une liste par défaut. Vous pouvez ensuite ajouter plus de règles vous-même dans
‫vos applications. Vous pouvez créer une
‫liste personnalisée, ajoutez-les à Falco lors de son exécution.
‫C'est un outil open source gratuit.
‫Je dirais certainement que cela devient de plus
‫en plus avancé. Comme vous pouvez le constater, cette
‫liste est de plus en plus avancée.
‫Mais, je pense que c'est quelque chose qui mérite d'être ajouté à
‫vos serveurs de production.
‫Même si vous ne surveillez pas ces journaux en permanence et
‫que vous ne les alignez pas, il suffit de les avoir pour que, lorsque vous
‫rencontrez un problème, vous puissiez revenir en arrière et voir s'il y
‫a un comportement et ce que ce comportement devait être
‫trié. de suivre vos pas, à droite.
‫Je mettrais certainement cela dans votre boîte à outils.
‫La prochaine étape est la confiance du contenu. Je n'ai pas vraiment de démonstration ni
‫de moyen de montrer la confiance du contenu, car c'est un ensemble d'outils.
‫Docker en fournit beaucoup. Assurez-vous que tout
‫ce qui se trouve dans votre pipeline, de la signature du code dans
‫votre dépôt Git, à la garantie en production que seules
‫les images signées par votre
‫équipe sont autorisées à être exécutées sur des serveurs.
‫Tout ce processus s'appelle confiance de contenu.
‫C'est un pipeline de confiance.
‫Il s'agit d'un pipeline de signatures de différentes
‫parties de l'outillage, de vos images et de votre code,
‫afin de vous assurer que rien ne s'exécute dans Docker sur vos serveurs, à moins que vous ne l'ayez expressément
‫autorisé par le biais de la signature.
‫D'ACCORD. Donc, c'est un projet.
‫C'est définitivement un projet, non?
‫Nous arrivons au bas de la liste.
‫Lorsque vous commencez à parler de développement sécurisé et de déploiements
‫sécurisés, il s'agit d'une de ces fonctionnalités plus avancées,
‫car elle implique la participation de vos développeurs, de
‫votre équipe de sécurité.
‫Cela nécessite la signature de code et la signature d’images, ce que
‫les outils de Docker facilitent assurément, mais ils ne le feront pas
‫tous pour vous. D'accord. Vous allez devoir implémenter
‫ces choses dans vos équipes.
‫La prochaine étape est quelque
‫chose qui prend beaucoup de travail et peut ne pas
‫vous donner beaucoup d'avantages.
‫Cela prend tous les profils par défaut dont
‫j'ai parlé plus tôt et tous les profils
‫par défaut d'AppArmor, SELinux, Seccomp
‫et "Capacités Linux". Mettez cela entre guillemets car
‫c'est en fait une fonctionnalité du noyau. Il y a 300 capacités ou
‫quelque chose comme ça, et Docker va en prendre certaines
‫et les supprimer.
‫Mais vous pouvez les changer. Vous pouvez personnaliser
‫ceux à la volée. En fait, vous pouvez en
‫verrouiller davantage ou ouvrir Docker, selon vos besoins.
‫Si vous apprenez à propos de vos applications spécifiques, si vous plongez
‫au plus profond, vous pourrez apprendre
‫à les verrouiller davantage.
‫Vous constaterez peut-être même que certaines de vos
‫applications que vous achetez ou proviennent d’open source, comme Nginx, pourraient
‫avoir des modèles personnalisés pour ces outils
‫que vous pouvez télécharger et appliquer spécifiquement lorsque vous exécutez
‫cette image. Parce que Docker lui-même ne
‫sait pas ce qui tourne dans votre conteneur. Il ne sait pas
‫que vous utilisez MySQL, d'accord. Donc, il ne peut pas
‫appliquer de politique spécifique à MySQL. Mais vous pourrez peut-être
‫en trouver un. Vous pourrez peut-être en créer un
‫meilleur, un peu plus sécurisé.
‫C'est assez avancé. Vous devez bien
‫connaître les systèmes, les composants internes et leur
‫fonctionnement. Mais Docker supporte tout.
‫Il s’agit d’une fonctionnalité par conteneur, ce qui signifie que vous pouvez la modifier pour
‫chaque conteneur que vous exécutez, en
‫fonction de vos besoins.
‫Vérifiez cela.
‫Votre équipe de sécurité vous aimera pour cela.
‫Si vous pouvez mettre ce matériel en œuvre et ne rien casser,
‫c'est la clé. Ne casse rien.
‫Votre équipe de sécurité en sera un grand fan.