‫Beranjak dari itu, kami memiliki perilaku
‫buruk runtime.
‫Saya tidak akan benar-benar berbicara banyak tentang ini, tetapi ini adalah yang
‫terbaru dalam daftar saya.
‫Sysdig Falco adalah alat yang, ada alat serupa lainnya,
‫tetapi tidak ada yang pernah
‫saya lihat yang semudah atau dirancang untuk wadah seperti Falco.
‫Falco pada dasarnya mengambil sedikit daftar umum
‫perilaku buruk, atau apa yang akan saya katakan
‫perilaku yang mencurigakan, benar.
‫Hal-hal yang seharusnya tidak terlalu sering terjadi, seperti mengeksekusi ke
‫dalam wadah yang berjalan di server produksi.
‫Atau, menyalin file ke dalam wadah tersebut di server yang menjalankan.
‫Atau, ikat pemasangan data sensitif dari sistem operasi
‫host ke dalam wadah itu sendiri,
‫benar.
‫Mereka akan menunjukkan kepada Anda sedikit contoh di sini
‫tentang apa yang Anda lakukan. Mereka pada dasarnya
‫menjalankan agen Falco di setiap server dan kemudian melakukan perilaku
‫tertentu dalam wadah yang mungkin mencurigakan.
‫Tujuan Falco adalah untuk mengaudit dan mencatat perilaku-perilaku tersebut agar
‫Anda pada dasarnya melacak setiap
‫perilaku buruk dan mengingatkan pada log-log tersebut jika Anda
‫perlu. Anda dapat
‫melihat mereka di sini menjalankan beberapa hal tertentu dan
‫melihat apa yang dihasilkan oleh log. Bagian paling keren tentang
‫ini adalah bahwa ia datang dengan set default.
‫Karena banyak dari kita tidak tahu semua
‫perilaku buruk. Seperti, kami tidak tahu semua yang bisa Anda
‫lakukan jika Anda seorang aktor yang buruk.
‫Yang menyenangkan tentang Falco adalah ia datang dengan
‫daftar default, dan kemudian Anda dapat menambahkan lebih banyak aturan sendiri di aplikasi
‫Anda. Anda dapat membuat
‫daftar khusus, menambahkannya ke Falco saat dijalankan.
‫Itu alat open source gratis.
‫Itu, saya pasti akan mengatakan, semakin
‫maju, benar. Seperti yang dapat Anda lihat, daftar
‫ini, saat kita turun daftar, semakin maju.
‫Tapi, saya pikir itu sesuatu yang layak ditambahkan ke
‫server produksi Anda.
‫Bahkan jika Anda tidak memonitor log-log itu terus-menerus dan
‫Anda tidak memberi tahu mereka, hanya memiliki log-log itu sehingga ketika Anda
‫memiliki sesuatu yang bermasalah, Anda dapat kembali dan melihat
‫apakah ada perilaku dan perilaku apa yang harus disortir.
‫dari jejak langkah Anda, benar.
‫Saya pasti akan memasukkannya ke dalam perangkat Anda.
‫Selanjutnya adalah kepercayaan konten. Saya tidak benar-benar memiliki demo
‫atau cara untuk menunjukkan kepercayaan konten karena itu adalah seperangkat alat.
‫Docker menyediakan banyak dari mereka. Untuk memastikan bahwa
‫semua yang ada dalam pipa Anda, mulai dari penandatanganan kode di
‫repositori git Anda, hingga memastikan dalam produksi bahwa hanya
‫gambar yang ditandatangani oleh
‫tim Anda yang boleh dijalankan di server.
‫Seluruh proses itu dikenal sebagai kepercayaan konten.
‫Ini saluran kepercayaan.
‫Ini adalah saluran penandatanganan berbagai bagian
‫perkakas, gambar Anda, kode Anda untuk
‫memastikan bahwa tidak ada yang berjalan di Docker di server Anda kecuali Anda secara
‫khusus mengizinkannya melalui penandatanganan.
‫BAIK. Jadi, itu proyek.
‫Itu jelas sebuah proyek, bukan?
‫Kami turun ke bagian bawah daftar ini.
‫Ketika Anda mulai berbicara tentang pengembangan yang aman dan
‫penyebaran yang aman, ini adalah salah satu fitur
‫yang lebih canggih karena mengharuskan pengembang Anda untuk
‫terlibat, tim keamanan Anda.
‫Ini membutuhkan penandatanganan kode, dan penandatanganan gambar, yang jelas membuat
‫perkakas Docker lebih mudah, tetapi mereka tidak akan melakukan semuanya
‫untuk Anda. Baiklah. Anda harus menerapkan
‫hal-hal ini di tim Anda.
‫Selanjutnya adalah sesuatu
‫yang membutuhkan banyak pekerjaan dan mungkin tidak memberi
‫Anda banyak keuntungan.
‫Yaitu mengambil semua profil default yang saya
‫bicarakan sebelumnya dan mengambil semua profil standar
‫AppArmor, SELinux, Seccomp dan
‫"kemampuan Linux". Masukkan tanda kutip
‫karena itu sebenarnya fitur dalam kernel. Ada sekitar 300 kemampuan
‫atau sesuatu, dan Docker akan mengambil yang tertentu
‫dan menghapusnya.
‫Tapi Anda bisa mengubahnya. Anda dapat
‫menyesuaikannya dengan cepat. Anda benar-benar dapat mengunci lebih banyak
‫atau Anda dapat membuka Docker, tergantung pada kebutuhan Anda.
‫Jika Anda mempelajari tentang aplikasi spesifik Anda, jika Anda menyelam lebih
‫dalam, Anda dapat belajar tentang
‫cara menguncinya lebih lanjut.
‫Anda bahkan mungkin menemukan bahwa beberapa aplikasi Anda yang
‫Anda beli, atau dapatkan dari sumber terbuka, seperti Nginx, mereka mungkin
‫memiliki template khusus untuk alat-alat ini yang
‫dapat Anda unduh dan terapkan secara khusus ketika Anda menjalankan
‫gambar itu. Karena Docker sendiri tidak
‫tahu apa yang berjalan di wadah Anda. Tidak tahu Anda
‫menjalankan MySQL saya, benar. Jadi, itu tidak
‫dapat menerapkan kebijakan khusus MySQL. Tetapi, Anda mungkin
‫dapat menemukannya. Anda mungkin dapat membuat yang lebih
‫baik yang sedikit lebih aman.
‫Itu cukup maju. Anda harus cukup
‫berpengetahuan tentang sistem, internal dan bagaimana semua itu
‫bekerja. Tapi, Docker mendukung semuanya.
‫Ini adalah fitur per kontainer, yang berarti Anda dapat mengubahnya untuk setiap
‫kontainer yang Anda jalankan, tergantung
‫pada kebutuhan Anda.
‫Lihat itu.
‫Tim keamanan Anda akan mencintaimu karenanya.
‫Jika Anda bisa menerapkan hal ini dan tidak merusak apa
‫pun, itulah kuncinya. Jangan merusak apa pun.
‫Tim keamanan Anda akan menjadi penggemar berat itu.