‫Przechodząc od nich, mamy złe zachowanie
‫środowiska wykonawczego.
‫Naprawdę nie będę dużo o tym mówić, ale jest to
‫najnowszy z mojej listy.
‫Sysdig Falco to narzędzie, które istnieją inne podobne
‫narzędzia, ale żadne z nich
‫nie widziałem tak łatwe lub zaprojektowane dla pojemników jak Falco.
‫Falco w zasadzie bierze wspólną małą
‫listę złych zachowań lub, jak powiedziałbym,
‫zachowań podejrzanych, prawda.
‫Rzeczy, które niekoniecznie muszą się dużo zdarzać, takie jak
‫wykonywanie w działającym kontenerze na serwerze produkcyjnym.
‫Lub kopiowanie plików do tych kontenerów na uruchomionych serwerach.
‫Lub powiąż montaż wrażliwych danych z systemu
‫operacyjnego hosta w samym kontenerze,
‫tak.
‫Pokażą ci tutaj mały przykład dokładnie
‫tego, co robisz. Zasadniczo uruchamiają agentów
‫Falco na każdym serwerze, a następnie wykonują określone zachowania
‫w kontenerach, które mogą być podejrzane.
‫Celem Falco jest kontrola i rejestrowanie tych zachowań, aby w
‫zasadzie śledzić wszelkie złe
‫zachowania i alarmować w tych dziennikach, jeśli zajdzie taka
‫potrzeba. Możesz
‫zobaczyć je tutaj, uruchamiające pewne rzeczy i
‫sprawdzające, co generują dzienniki. Najfajniejsze jest
‫to, że ma domyślny zestaw.
‫Ponieważ wielu z nas nie zna wszystkich
‫złych zachowań. Nie wiemy, co możesz zrobić,
‫jeśli jesteś złym aktorem.
‫Zaletą Falco jest to, że ma
‫domyślną listę, a następnie możesz dodać więcej własnych reguł w swoich
‫aplikacjach. Możesz utworzyć listę niestandardową,
‫dodać ją do Falco, gdy zostanie uruchomiona.
‫To bezpłatne narzędzie typu open source.
‫Zdecydowanie powiedziałbym, że jest coraz bardziej
‫zaawansowany, prawda. Jak widać, ta lista, gdy idziemy
‫w dół listy, staje się coraz bardziej zaawansowana.
‫Myślę jednak, że warto to dodać do
‫serwerów produkcyjnych.
‫Nawet jeśli nie monitorujesz tych dzienników w sposób ciągły
‫i nie ostrzegasz o nich, po prostu posiadając te dzienniki, aby gdy
‫masz coś problematycznego, możesz wrócić i zobaczyć, czy jest
‫jakieś zachowanie i jakie to zachowanie miało zostać
‫posortowane śledzić swoje kroki, prawda.
‫Zdecydowanie włożyłbym to do twojego zestawu narzędzi.
‫Następnym krokiem jest zaufanie do treści. Tak naprawdę nie mam wersji demonstracyjnej
‫ani sposobu na wykazanie zaufania do treści, ponieważ jest to zestaw narzędzi.
‫Docker zapewnia ich wiele. Po upewnieniu
‫się, że wszystko w twoim potoku, od podpisywania kodu w
‫repozytoriach git, aż do upewnienia się w produkcji,
‫że tylko obrazy podpisane
‫przez twój zespół mogą działać na serwerach.
‫Cały ten proces nazywany jest zaufaniem treści.
‫To potok zaufania.
‫Jest to potok podpisywania różnych części
‫oprzyrządowania, obrazów i kodu, aby upewnić
‫się, że nic nie działa w Docker na twoich serwerach, chyba że zezwolisz
‫na to poprzez podpisywanie.
‫DOBRZE. To jest projekt.
‫To zdecydowanie projekt, prawda?
‫Przechodzimy do końca tej listy.
‫Gdy zaczynasz mówić o bezpiecznym programowaniu i bezpiecznych
‫wdrożeniach, jest to jedna z tych bardziej
‫zaawansowanych funkcji, ponieważ wymaga zaangażowania programistów,
‫Twojego zespołu bezpieczeństwa.
‫Wymaga podpisywania kodu i podpisywania obrazów, co
‫narzędzia Dockera zdecydowanie ułatwiają, ale nie zrobią tego
‫za Ciebie. W porządku. Będziesz musiał wdrożyć
‫te rzeczy w swoich zespołach.
‫Dalej jest coś,
‫co wymaga dużo pracy i może nie
‫dać wielu korzyści.
‫To bierze wszystkie domyślne profile, o których
‫mówiłem wcześniej, i bierze wszystkie domyślne
‫profile AppArmor, SELinux, Seccomp
‫i „Linux”. Umieść to w cudzysłowie,
‫ponieważ tak naprawdę jest to funkcja jądra. Istnieje około 300 możliwości
‫lub coś, a Docker weźmie pewne i
‫je usunie.
‫Ale możesz to zmienić. Możesz je
‫dostosować w locie. Możesz faktycznie zablokować więcej
‫lub otworzyć Docker, w zależności od potrzeb.
‫Jeśli dowiesz się o swoich konkretnych aplikacjach, jeśli zanurzysz się
‫głęboko, możesz dowiedzieć się, jak
‫bardziej je zablokować.
‫Może się nawet okazać, że niektóre z aplikacji,
‫które kupujesz lub otrzymujesz z otwartego oprogramowania, takich jak Nginx,
‫mogą mieć niestandardowe szablony dla tych
‫narzędzi, które możesz pobrać i zastosować specjalnie po uruchomieniu
‫tego obrazu. Ponieważ sam Docker nie
‫wie, co jest w twoim kontenerze. Nie wie, że
‫używasz mojego MySQL, prawda. Nie może więc
‫zastosować polityki specyficznej dla MySQL. Ale możesz je
‫znaleźć. Możesz być w stanie stworzyć
‫lepszy, nieco bardziej bezpieczny.
‫To dość zaawansowane. Musisz mieć dużą wiedzę
‫na temat systemów, elementów wewnętrznych i tego, jak to
‫wszystko działa. Ale Docker obsługuje to wszystko.
‫Jest to funkcja dla jednego kontenera, co oznacza, że możesz ją zmienić
‫dla każdego uruchomionego kontenera, w
‫zależności od wymagań.
‫Sprawdź to.
‫Twój zespół bezpieczeństwa cię za to pokocha.
‫Jeśli możesz wdrożyć te rzeczy i niczego nie zepsuć,
‫to jest klucz. Nic nie psuj.
‫Twój zespół bezpieczeństwa będzie wielkimi fanami tego.