‫Pasando de eso, tenemos un mal comportamiento en
‫tiempo de ejecución.
‫Realmente no hablaré mucho sobre este, pero este es el más
‫nuevo en mi lista.
‫El Sysdig Falco es una herramienta que, existen otras
‫herramientas similares, pero ninguna que haya
‫visto que sea tan fácil o diseñada para contenedores como Falco.
‫Falco esencialmente toma una pequeña lista común
‫de malos comportamientos, o lo que yo diría
‫comportamientos que son sospechosos, correcto.
‫Cosas que no necesariamente deberían estar sucediendo mucho, como la ejecución en
‫un contenedor en ejecución en un servidor de producción.
‫O bien, copiar archivos en esos contenedores en servidores en ejecución.
‫O bien, vincule datos confidenciales de montaje desde el sistema
‫operativo host al contenedor en sí, a
‫la derecha.
‫Te mostrarán un pequeño ejemplo aquí sobre
‫exactamente lo que haces. Básicamente están ejecutando
‫agentes de Falco en cada servidor y luego realizan ciertos
‫comportamientos en contenedores que pueden ser sospechosos.
‫El objetivo de Falco es auditar y registrar esos comportamientos para
‫que pueda rastrear básicamente cualquier
‫mal comportamiento y alertar sobre esos registros si es
‫necesario. Puede verlos
‫aquí ejecutando ciertas cosas y viendo lo que
‫están generando los registros. La mejor parte de
‫esto es que viene con un conjunto predeterminado.
‫Porque muchos de nosotros no conocemos todos
‫los malos comportamientos. Como, no sabemos todo lo que podrías
‫hacer si eres un mal actor.
‫Lo bueno de Falco es que viene con
‫una lista predeterminada, y luego puede agregar más reglas por su cuenta en sus
‫aplicaciones. Puede hacer una lista
‫personalizada, agregarla a Falco cuando se ejecute.
‫Esa es una herramienta gratuita de código abierto.
‫Eso, definitivamente diría, es cada vez más
‫avanzado, ¿verdad? Como puede ver, esta lista, a
‫medida que avanzamos, se hace más avanzada.
‫Pero, creo que es algo que vale la pena agregar a sus
‫servidores de producción.
‫Incluso si no monitorea esos registros constantemente y
‫no los alerta, solo tiene esos registros para que cuando
‫tenga algo problemático, pueda regresar y ver si
‫hubo algún comportamiento y qué comportamiento ordenar
‫de rastrear tus pasos, correcto.
‫Definitivamente lo pondría en su kit de herramientas.
‫El siguiente es la confianza de contenido. Realmente no tengo una demostración o una
‫forma de mostrar confianza en el contenido porque es un conjunto de herramientas.
‫Docker ofrece muchos de ellos. Al asegurarse de
‫que todo lo que está en su cartera, desde la firma de
‫código en sus repositorios git, hasta asegurarse en producción
‫que solo las imágenes firmadas
‫por su equipo pueden ejecutarse en los servidores.
‫Todo ese proceso se conoce como contenido de confianza.
‫Es una tubería de confianza.
‫Es una tubería de firmar diferentes partes
‫de las herramientas, sus imágenes, su código para
‫garantizar que no se ejecute nada en Docker en sus servidores a menos que lo haya
‫permitido específicamente mediante la firma.
‫OKAY. Entonces, eso es un proyecto.
‫Definitivamente es un proyecto, ¿verdad?
‫Estamos llegando al final de esta lista.
‫Cuando comienza a hablar sobre desarrollo seguro e implementaciones
‫seguras, esta es una de esas características más
‫avanzadas porque requiere que sus desarrolladores se involucren,
‫su equipo de seguridad.
‫Requiere firma de código y firma de imagen, lo que las
‫herramientas de Docker definitivamente hacen más fácil, pero no lo harán
‫todo por usted. Todo bien. Tendrás que implementar
‫estas cosas en tus equipos.
‫El siguiente paso es
‫algo que requiere mucho trabajo y puede que no
‫le brinde muchas ventajas.
‫Eso es tomar todos esos perfiles predeterminados de los
‫que hablé anteriormente y tomar todos esos perfiles predeterminados
‫de AppArmor, SELinux, Seccomp y
‫"capacidades de Linux". Ponga eso entre comillas porque
‫esa es realmente una característica en el núcleo. Hay como 300 capacidades
‫o algo así, y Docker tomará ciertas y
‫las eliminará.
‫Pero puedes cambiar eso. Puedes personalizarlos
‫sobre la marcha. De hecho, puede bloquear más
‫o puede abrir Docker, según sus necesidades.
‫Si aprende sobre sus aplicaciones específicas, si se sumerge
‫en profundidad, puede aprender sobre
‫cómo bloquearlas más.
‫Incluso puede encontrar que algunas de sus aplicaciones
‫que compra o obtiene de código abierto, como Nginx, pueden
‫tener plantillas personalizadas para estas herramientas
‫que puede descargar y aplicar específicamente cuando ejecuta esa
‫imagen. Porque Docker en sí mismo no
‫sabe qué se está ejecutando en su contenedor. No sabe que
‫estás ejecutando mi MySQL, ¿verdad? Por lo tanto, no puede
‫aplicar una política específica de MySQL. Pero, es posible que
‫pueda encontrar uno. Es posible que pueda crear una mejor
‫que sea un poco más segura.
‫Eso es bastante avanzado. Tienes que estar
‫bastante bien informado sobre sistemas, componentes internos y cómo
‫funciona todo. Pero, Docker lo admite todo.
‫Esta es una función por contenedor, lo que significa que puede cambiarla
‫para cada contenedor que esté
‫ejecutando, según sus requisitos.
‫Mira eso.
‫Su equipo de seguridad lo amará por eso.
‫Si puede implementar estas cosas y no romper nada, esa
‫es la clave. No rompas nada.
‫Su equipo de seguridad será un gran admirador de eso.