‫Bunlardan devam edersek, çalışma zamanı kötü davranışlarımız
‫var.
‫Bu konu hakkında çok fazla konuşmayacağım ama listemdeki
‫en yeni konu bu.
‫Sysdig Falco, başka benzer araçlar da var,
‫ancak hiçbiri Falco kadar kolay
‫veya konteynerler için tasarlanmış değil.
‫Falco esasen kötü davranışların ya da benim
‫deyimimle şüpheli davranışların küçük bir
‫listesini çıkarıyor.
‫Bir üretim sunucusunda çalışan bir konteynerde çalıştırma gibi
‫çok fazla gerçekleşmemesi gereken şeyler.
‫Ya da dosyaları çalışan sunuculardaki bu konteynerlere kopyalamak.
‫Ya da hassas verileri ana bilgisayar işletim
‫sisteminden konteynerin kendisine bağlamak, doğru.
‫Burada size tam olarak ne yaptığınıza dair küçük
‫bir örnek gösterecekler. Temel olarak her sunucuda
‫Falco ajanları çalıştırıyorlar ve ardından konteynerlerde şüpheli
‫olabilecek belirli davranışlar yapıyorlar.
‫Falco'nun amacı, temel olarak herhangi bir kötü davranışı izlemeniz ve gerektiğinde
‫bu günlüklerde uyarı vermeniz için bu davranışları
‫denetlemek ve günlüğe kaydetmektir.
‫Bunları
‫burada bazı belirli şeyleri çalıştırırken ve günlüklerin ne çıktıladığını
‫görürken görebilirsiniz. Bunun en güzel yanı, varsayılan
‫bir setle birlikte gelmesidir.
‫Çünkü çoğumuz tüm kötü davranışları
‫bilmiyoruz. Kötü bir aktörseniz yapabileceğiniz
‫her şeyi bilmiyoruz.
‫Falco ile ilgili güzel olan şey, varsayılan bir liste ile birlikte gelmesi ve daha
‫sonra uygulamalarınızda kendi başınıza daha fazla kural ekleyebilmenizdir.
‫Özel
‫liste yapabilir, çalıştığında Falco'ya ekleyebilirsiniz.
‫Bu ücretsiz bir açık kaynak aracıdır.
‫Bunun kesinlikle daha da geliştiğini söyleyebilirim,
‫doğru. Gördüğünüz gibi, bu liste aşağıya
‫doğru indikçe daha da gelişiyor.
‫Ancak, bunun üretim sunucularınıza eklemeye değer bir şey olduğunu
‫düşünüyorum.
‫Bu günlükleri sürekli olarak izlemeseniz ve bunlara göre
‫uyarı vermeseniz bile, sorunlu bir şey olduğunda geriye dönüp herhangi bir
‫davranış olup olmadığını ve adımlarınızı izlemek için bu davranışın
‫ne olduğunu görebilmeniz için bu günlüklere sahip olmanız
‫yeterlidir, değil mi?
‫Bunu kesinlikle alet çantanıza koyun derim.
‫Sırada içerik güveni var. Bir demo ya da içerik güvenini
‫göstermenin bir yolu yok çünkü bu bir dizi araç.
‫Docker bunlardan birçoğunu sağlar. Git depolarınızda kod imzalamadan,
‫üretimde yalnızca ekibiniz tarafından imzalanmış görüntülerin
‫sunucularda çalışmasına izin verildiğinden emin olmaya
‫kadar boru hattınızdaki her
‫şeyden emin olmak üzerine.
‫Tüm bu süreç içerik güveni olarak bilinir.
‫Bu bir güven hattı.
‫İmzalama yoluyla özellikle izin vermediğiniz
‫sürece sunucularınızda Docker'da hiçbir şeyin
‫çalışmamasını sağlamak için araçların farklı bölümlerini, görüntülerinizi ve kodunuzu imzalayan
‫bir boru hattıdır.
‫TAMAM. Yani, bu bir proje.
‫Bu kesinlikle bir proje, değil mi?
‫Bu listenin en altına iniyoruz.
‫Güvenli geliştirme ve güvenli dağıtımlar hakkında konuşmaya
‫başladığınızda, bu daha gelişmiş özelliklerden biridir
‫çünkü geliştiricilerinizin, güvenlik ekibinizin dahil
‫olmasını gerektirir.
‫Docker'ın araçlarının kesinlikle kolaylaştırdığı kod imzalama ve görüntü imzalama gerektirir,
‫ancak bunların hepsini sizin için yapmayacaklardır.
‫Tamam. Bunları
‫ekiplerinizde uygulamanız gerekecek.
‫Sırada çok fazla çalışma
‫gerektiren ve size çok fazla avantaj sağlamayabilecek
‫bir şey var.
‫Bu, daha önce bahsettiğim tüm varsayılan profilleri
‫ve AppArmor, SELinux, Seccomp ve "Linux yetenekleri
‫"nin tüm varsayılan profillerini
‫alır. Bunu tırnak içine alın çünkü bu
‫aslında çekirdeğin bir özelliğidir. Yaklaşık 300 tane falan
‫yetenek var ve Docker bazılarını alıp
‫kaldırıyor.
‫Ama bunları değiştirebilirsiniz. Bunları anında özelleştirebilirsiniz.
‫Aslında
‫ihtiyaçlarınıza bağlı olarak Docker'ı daha fazla kilitleyebilir veya açabilirsiniz.
‫Özel uygulamalarınız hakkında bilgi edinirseniz, derinlere dalarsanız, bunları
‫nasıl daha fazla kilitleyebileceğinizi
‫öğrenebilirsiniz.
‫Hatta satın aldığınız veya Nginx gibi açık kaynaktan edindiğiniz
‫bazı uygulamalarınızın, bu araçlar için indirebileceğiniz ve özellikle bu görüntüyü
‫çalıştırdığınızda uygulayabileceğiniz özel şablonlara
‫sahip olabileceğini görebilirsiniz.
‫Çünkü
‫Docker'ın kendisi konteynerinizde ne çalıştığını bilmez. MySQL'imi çalıştırdığınızı
‫bilmiyor, değil mi? Dolayısıyla, MySQL'e özgü
‫bir ilke uygulayamaz. Ama bir tane bulabilirsin.
‫Biraz
‫daha güvenli olan daha iyi bir tane yaratabilirsiniz.
‫Bu oldukça gelişmiş. Sistemler, dahili sistemler
‫ve tüm bunların nasıl çalıştığı hakkında oldukça bilgili olmanız
‫gerekir. Ancak Docker hepsini destekler.
‫Bu konteyner başına bir özelliktir, yani gereksinimlerinize bağlı olarak çalıştırdığınız
‫her konteyner için bunu değiştirebilirsiniz.
‫Şuna bir bak.
‫Güvenlik ekibiniz bunun için sizi sevecektir.
‫Eğer bu şeyleri uygulayabilir ve hiçbir şeyi bozmazsanız,
‫anahtar budur. Hiçbir şeyi kırma.
‫Güvenlik ekibiniz bunun büyük hayranı olacaktır.