‫Wenn wir von diesen weitermachen, haben wir zur Laufzeit
‫ein schlechtes Verhalten.
‫Ich werde nicht viel darüber reden, aber das ist das
‫neueste auf meiner Liste.
‫Der Sysdig Falco ist ein Tool, das es auch andere ähnliche
‫Tools gibt, aber keines, das ich
‫gesehen habe, das so einfach oder für Container ausgelegt ist wie Falco.
‫Falco nimmt im Wesentlichen eine kleine Liste
‫von schlechten Verhaltensweisen, oder was ich sagen würde,
‫Verhaltensweisen, die verdächtig sind, richtig.
‫Dinge, die nicht unbedingt viel passieren sollten, wie das Ausführen
‫in einem laufenden Container auf einem Produktionsserver.
‫Oder kopieren Sie Dateien in diese Container auf aktiven Servern.
‫Oder binden Sie vertrauliche Daten aus
‫dem Host-Betriebssystem direkt in den
‫Container.
‫Sie zeigen Ihnen hier ein kleines Beispiel,
‫was Sie genau tun. Grundsätzlich führen sie
‫Falco-Agenten auf jedem Server aus und führen dann bestimmte
‫Verhaltensweisen in möglicherweise verdächtigen Containern aus.
‫Das Ziel von Falco ist es, diese Verhaltensweisen zu überwachen und zu
‫protokollieren, damit Sie im Grunde genommen
‫jedes schlechte Verhalten nachverfolgen und bei Bedarf auf diese Protokolle hinweisen
‫können. Sie können
‫hier sehen, wie sie bestimmte Dinge ausführen und
‫sehen, was die Protokolle ausgeben. Das Coolste daran ist,
‫dass es mit einem Standardsatz geliefert wird.
‫Weil viele von uns nicht alle schlechten
‫Verhalten kennen. Wir wissen nicht alles, was Sie tun können,
‫wenn Sie ein schlechter Schauspieler sind.
‫Das Schöne an Falco ist, dass es
‫eine Standardliste enthält. Anschließend können Sie in Ihren Anwendungen weitere Regeln
‫hinzufügen. Sie können eine benutzerdefinierte Liste
‫erstellen und diese bei der Ausführung zu Falco hinzufügen.
‫Das ist ein kostenloses Open-Source-Tool.
‫Das würde ich definitiv sagen, wird immer
‫fortgeschrittener, richtig. Wie Sie sehen können, wird diese
‫Liste im Laufe der Zeit immer weiter fortgeschritten.
‫Aber ich denke, das ist etwas, das es wert ist, Ihren Produktionsservern
‫hinzugefügt zu werden.
‫Selbst wenn Sie diese Protokolle nicht ständig
‫überwachen und keine Warnungen ausgeben, können Sie anhand dieser
‫Protokolle feststellen, ob ein Problem aufgetreten ist
‫und welche Probleme aufgetreten sind von verfolgen
‫Sie Ihre Schritte, richtig.
‫Ich würde das definitiv in Ihr Toolkit aufnehmen.
‫Als nächstes kommt das Vertrauen in die Inhalte. Ich habe nicht wirklich eine Demo oder eine
‫Möglichkeit, das Vertrauen in Inhalte zu demonstrieren, da es sich um eine Reihe von Tools handelt.
‫Docker bietet viele davon an. Sie müssen sicherstellen,
‫dass alles in Ihrer Pipeline vorhanden ist, vom Code-Signieren in Ihren
‫Git-Repos bis hin zu der Sicherstellung, dass in der
‫Produktion nur von Ihrem
‫Team signierte Images auf Servern ausgeführt werden dürfen.
‫Dieser gesamte Prozess wird als Inhaltsvertrauen bezeichnet.
‫Es ist eine Pipeline des Vertrauens.
‫Es ist eine Pipeline zum Signieren verschiedener
‫Teile des Tools, Ihrer Bilder und Ihres
‫Codes, um sicherzustellen, dass in Docker nichts auf Ihren Servern ausgeführt wird, es sei denn, Sie
‫haben ausdrücklich das Signieren zugelassen.
‫OKAY. Das ist also ein Projekt.
‫Das ist definitiv ein Projekt, oder?
‫Wir kommen zum Ende dieser Liste.
‫Wenn Sie über sichere Entwicklung und sichere Bereitstellung
‫sprechen, ist dies eine der fortgeschritteneren Funktionen,
‫da Ihre Entwickler und Ihr Sicherheitsteam
‫einbezogen werden müssen.
‫Hierfür sind Codesignaturen und Bildsignaturen erforderlich, was Dockers
‫Tooling auf jeden Fall vereinfacht, aber nicht alles für
‫Sie erledigt. Gut. Sie müssen diese
‫Dinge in Ihren Teams implementieren.
‫Als nächstes ist
‫etwas, das viel Arbeit erfordert und möglicherweise nicht
‫viele Vorteile bietet.
‫Dabei werden alle Standardprofile verwendet, über die
‫ich bereits gesprochen habe, und alle Standardprofile
‫für AppArmor-, SELinux-, Seccomp-
‫und "Linux-Funktionen". Setzen Sie das in Anführungszeichen,
‫weil das eigentlich eine Funktion im Kernel ist. Es gibt ungefähr 300
‫Funktionen oder so, und Docker nimmt bestimmte und
‫entfernt sie.
‫Aber Sie können diese ändern. Sie können diese
‫on the fly anpassen. Je nach Bedarf können
‫Sie Docker mehr sperren oder öffnen.
‫Wenn Sie mehr über Ihre spezifischen Anwendungen erfahren, wenn Sie tief eintauchen,
‫können Sie lernen, wie Sie
‫diese weiter sperren können.
‫Möglicherweise stellen Sie sogar fest, dass einige Ihrer
‫Anwendungen, die Sie kaufen oder von Open Source beziehen, wie Nginx,
‫benutzerdefinierte Vorlagen für diese Tools haben, die
‫Sie herunterladen und speziell anwenden können, wenn Sie dieses
‫Image ausführen. Weil Docker selbst nicht
‫weiß, was in Ihrem Container läuft. Es weiß nicht,
‫dass Sie MySQL ausführen, richtig. Daher kann keine
‫MySQL-spezifische Richtlinie angewendet werden. Aber vielleicht finden
‫Sie eine. Möglicherweise können Sie eine bessere Version
‫erstellen, die etwas sicherer ist.
‫Das ist ziemlich weit fortgeschritten. Man muss ziemlich
‫gut über Systeme, Interna und die Funktionsweise Bescheid
‫wissen. Aber Docker unterstützt alles.
‫Dies ist eine Funktion pro Container, dh Sie können sie für jeden
‫Container, den Sie ausführen, je
‫nach Ihren Anforderungen ändern.
‫Schau dir das an.
‫Ihr Sicherheitsteam wird Sie dafür lieben.
‫Wenn Sie dieses Zeug implementieren und nichts kaputt machen können, ist
‫das der Schlüssel. Mach nichts kaputt.
‫Ihr Sicherheitsteam wird davon begeistert sein.