‫Passando da quelli, abbiamo comportamenti scorretti in fase
‫di esecuzione.
‫Non parlerò molto di questo, ma questo è il più
‫recente della mia lista.
‫Sysdig Falco è uno strumento che, ci sono altri
‫strumenti simili, ma nessuno di quelli
‫che ho visto sono facili o progettati per contenitori come Falco.
‫Falco in sostanza prende un piccolo elenco
‫comune di cattivi comportamenti, o di quelli che
‫direi comportamenti sospetti, giusto.
‫Cose che non dovrebbero necessariamente accadere molto, come l'esecuzione in un
‫container in esecuzione su un server di produzione.
‫Oppure, copiare i file in quei contenitori sui server in esecuzione.
‫In alternativa, associare il montaggio di dati sensibili
‫dal sistema operativo host nel contenitore
‫stesso, giusto.
‫Ti mostreranno un piccolo esempio qui
‫esattamente cosa fai. Fondamentalmente eseguono agenti
‫Falco su tutti i server e quindi compiono determinati comportamenti
‫in contenitori che potrebbero essere sospetti.
‫L'obiettivo di Falco è quello di controllare e registrare quei comportamenti
‫in modo da poter tracciare
‫qualsiasi comportamento scorretto e avvisare su quei registri, se
‫necessario. Puoi vederli
‫qui eseguendo alcune cose e vedendo che cosa
‫stanno uscendo i registri. La parte più interessante di
‫questo è che viene fornito con un set predefinito.
‫Perché molti di noi non conoscono tutti
‫i cattivi comportamenti. Ad esempio, non sappiamo tutto quello che potresti
‫fare se sei un cattivo attore.
‫La cosa bella di Falco è che viene
‫fornito con un elenco predefinito, quindi puoi aggiungere più regole da solo nelle tue
‫applicazioni. Puoi creare un elenco
‫personalizzato, aggiungerli a Falco quando è in esecuzione.
‫Questo è uno strumento open source gratuito.
‫Questo, direi sicuramente, sta diventando più
‫avanzato, giusto. Come puoi vedere, questo elenco,
‫mentre scendiamo l'elenco, diventa più avanzato.
‫Ma penso che sia qualcosa che vale la pena aggiungere ai tuoi
‫server di produzione.
‫Anche se non si monitorano costantemente quei registri e non
‫si avvisano su di essi, avendo solo quei registri in modo che quando
‫si ha qualcosa di problematico, è possibile tornare indietro e vedere
‫se c'era qualche comportamento e quale comportamento doveva ordinare
‫di tracciare i tuoi passi, giusto.
‫Lo metterei sicuramente nel tuo toolkit.
‫Il prossimo è la fiducia dei contenuti. Non ho davvero una demo o un
‫modo per mostrare la fiducia dei contenuti perché è un insieme di strumenti.
‫Docker ne fornisce molti. Accertandosi che tutto
‫nella tua pipeline, dalla firma del codice nei tuoi repository
‫git, fino alla verifica in produzione che solo
‫le immagini firmate dal
‫tuo team possano essere eseguite sui server.
‫L'intero processo è noto come attendibilità dei contenuti.
‫È una pipeline di fiducia.
‫È una pipeline di firmare parti diverse
‫degli strumenti, delle immagini, del codice per
‫garantire che nulla venga eseguito in Docker sui server a meno che non sia stato consentito
‫dallo specifico tramite la firma.
‫OK. Quindi, questo è un progetto.
‫È sicuramente un progetto, giusto?
‫Stiamo arrivando in fondo a questo elenco.
‫Quando inizi a parlare di sviluppo sicuro e distribuzioni sicure,
‫questa è una di quelle funzionalità più avanzate
‫perché richiede il coinvolgimento dei tuoi sviluppatori, il
‫tuo team di sicurezza.
‫Richiede la firma del codice e la firma delle immagini, che
‫gli strumenti di Docker rendono sicuramente più facile, ma non faranno
‫tutto per te. Tutto ok. Dovrai implementare queste
‫cose nei tuoi team.
‫Il prossimo è
‫qualcosa che richiede molto lavoro e potrebbe non
‫offrirti molti vantaggi.
‫Questo sta prendendo tutti quei profili predefiniti di cui
‫ho parlato in precedenza e prendendo tutti quei profili
‫predefiniti di AppArmor, SELinux, Seccomp
‫e "capacità Linux". Mettilo tra virgolette perché
‫in realtà è una caratteristica del kernel. Ci sono circa 300 funzionalità
‫o qualcosa del genere e Docker ne prenderà alcune
‫e le rimuoverà.
‫Ma puoi cambiarli. Puoi personalizzare
‫quelli al volo. Puoi effettivamente bloccare di più o
‫puoi aprire Docker, a seconda delle tue esigenze.
‫Se conosci le tue applicazioni specifiche, se ti immergi
‫in profondità, puoi imparare a
‫bloccarle di più.
‫Potresti persino scoprire che alcune delle tue applicazioni
‫acquistate o ottenute da open source, come Nginx, potrebbero
‫avere modelli personalizzati per questi strumenti
‫che puoi scaricare e applicare specificamente quando esegui
‫quell'immagine. Perché Docker stesso non
‫sa cosa sta funzionando nel tuo contenitore. Non sa che stai
‫eseguendo il mio MySQL, giusto. Pertanto, non può applicare
‫una politica specifica di MySQL. Ma potresti trovarne
‫uno. Potresti essere in grado di crearne uno
‫migliore un po 'più sicuro.
‫È piuttosto avanzato. Devi essere abbastanza
‫ben informato su sistemi, interni e su come
‫tutto funzioni. Ma Docker supporta tutto.
‫Questa è una funzionalità per container, il che significa che puoi cambiarla per ogni
‫container che stai eseguendo, a
‫seconda delle tue esigenze.
‫Controllalo.
‫Il tuo team di sicurezza ti adorerà per questo.
‫Se riesci a implementare queste cose e non rompere nulla, questa
‫è la chiave. Non rompere nulla.
‫Il tuo team di sicurezza ne sarà un grande fan.