‫Seguindo em frente, temos um mau comportamento em
‫tempo de execução.
‫Eu realmente não vou falar muito sobre este, mas este é o
‫mais novo da minha lista.
‫O Sysdig Falco é uma ferramenta que, existem outras ferramentas
‫similares, mas nenhuma que eu vi
‫que seja tão fácil ou projetada para contêineres quanto o Falco.
‫Falco essencialmente leva uma pequena lista comum
‫de maus comportamentos, ou o que eu
‫diria comportamentos suspeitos, certo.
‫Coisas que não deveriam estar acontecendo muito, como executar em um
‫contêiner em execução em um servidor de produção.
‫Ou copiando arquivos para esses contêineres nos servidores em execução.
‫Ou vincule a montagem de dados confidenciais do
‫sistema operacional host ao próprio contêiner,
‫certo.
‫Eles mostrarão um pequeno exemplo aqui sobre exatamente
‫o que você faz. Basicamente, eles executam
‫agentes Falco em todos os servidores e, em seguida, executam certos
‫comportamentos em contêineres que podem ser suspeitos.
‫O objetivo do Falco é auditar e registrar esses comportamentos,
‫para que você possa
‫rastrear basicamente qualquer mau comportamento e alertá-los, se
‫necessário. Você pode
‫vê-los aqui executando algumas coisas e ver o
‫que os logs estão produzindo. A parte mais legal sobre
‫isso é que ele vem com um conjunto padrão.
‫Porque muitos de nós não conhecemos todos
‫os maus comportamentos. Tipo, não sabemos tudo o que você poderia
‫fazer se fosse um ator ruim.
‫O bom do Falco é que ele vem com
‫uma lista padrão e você pode adicionar mais regras por conta própria em seus
‫aplicativos. Você pode criar uma
‫lista personalizada, adicioná-los ao Falco quando ele for executado.
‫Essa é uma ferramenta gratuita de código aberto.
‫Eu definitivamente diria que isso está ficando
‫mais avançado, certo. Como você pode ver, esta lista,
‫conforme descemos na lista, está ficando mais avançada.
‫Mas acho que é algo que vale a pena adicionar aos seus
‫servidores de produção.
‫Mesmo se você não monitorar esses logs constantemente
‫e não alertá-los, basta ter esses logs para que, quando houver
‫algo problemático, você possa voltar e ver se havia
‫algum comportamento e qual era esse comportamento.
‫de rastrear seus passos, certo.
‫Eu definitivamente colocaria isso no seu kit de ferramentas.
‫O próximo passo é a confiança no conteúdo. Eu realmente não tenho uma demonstração ou
‫uma maneira de mostrar confiança no conteúdo porque é um conjunto de ferramentas.
‫O Docker fornece muitos deles. Certificando-se de que
‫tudo no seu pipeline, desde a assinatura de código nos
‫repositórios git, até a produção, assegurando que apenas
‫as imagens assinadas por
‫sua equipe possam ser executadas nos servidores.
‫Todo esse processo é conhecido como confiança no conteúdo.
‫É um pipeline de confiança.
‫É um pipeline de assinatura de diferentes
‫partes das ferramentas, de suas imagens e de
‫seu código, para garantir que nada seja executado no Docker em seus servidores, a menos que você
‫permita especificamente através da assinatura.
‫ESTÁ BEM. Então, isso é um projeto.
‫Definitivamente é um projeto, certo?
‫Estamos chegando ao final desta lista.
‫Quando você começa a falar sobre desenvolvimento seguro e
‫implantações seguras, esse é um desses recursos mais
‫avançados porque exige que seus desenvolvedores estejam envolvidos,
‫sua equipe de segurança.
‫Requer assinatura de código e imagem, o que as
‫ferramentas do Docker definitivamente facilitam, mas elas não farão tudo
‫por você. Tudo certo. Você precisará implementar
‫essas coisas em suas equipes.
‫A seguir, é
‫preciso muito trabalho e talvez não lhe
‫traga muitas vantagens.
‫Isso está usando todos os perfis padrão dos
‫quais falei anteriormente e todos os perfis padrão
‫do AppArmor, SELinux, Seccomp e
‫"Linux resources". Coloque isso entre aspas, porque
‫esse é realmente um recurso no kernel. Existem 300 recursos ou
‫algo assim, e o Docker pega alguns e
‫os remove.
‫Mas você pode mudar isso. Você pode personalizar
‫aqueles em tempo real. Você pode bloquear mais ou
‫abrir o Docker, dependendo de suas necessidades.
‫Se você aprender sobre seus aplicativos específicos, se
‫aprofundar, poderá aprender mais
‫sobre como bloqueá-los.
‫Você pode até achar que alguns aplicativos que
‫você compra ou obtém de código aberto, como o Nginx,
‫podem ter modelos personalizados para essas ferramentas
‫que você pode baixar e aplicar especificamente ao executar
‫essa imagem. Porque o próprio Docker não sabe
‫o que está sendo executado no seu contêiner. Ele não sabe que
‫você está executando meu MySQL, certo. Portanto, não pode aplicar
‫uma política específica do MySQL. Mas, você pode
‫encontrar um. Você poderá criar um melhor que
‫seja um pouco mais seguro.
‫Isso é bastante avançado. Você precisa ter
‫bastante conhecimento sobre sistemas, recursos internos e como tudo
‫isso funciona. Mas, o Docker suporta tudo.
‫Esse é um recurso por contêiner, o que significa que você pode alterá-lo
‫para cada contêiner em execução,
‫dependendo de seus requisitos.
‫Dê uma olhada.
‫Sua equipe de segurança amará você por isso.
‫Se você pode implementar essas coisas e não quebrar nada, essa
‫é a chave. Não quebre nada.
‫Sua equipe de segurança será grande fã disso.