‫ما رأيك في الصور المقطوعة؟
‫هل هي مقايضة جيدة بين الحجم والأمان؟
‫أود أن أقول إذا كان بإمكانك عمل صور
‫خالية ، وما نعنيه بهذا ، فإن المصطلح
‫في حالة تغير مستمر.
‫أشعر أن الصور المظلمة
‫معقدة. أشعر أن مجرد قول الصور المؤقتة
‫قد يكون أسهل طريقة لقول ذلك. ولكن ، من الصحيح أن نقول صورة خالية
‫، مما يعني أنه لا يوجد نظام حزمة أساسي.
‫ليس هناك مكان مناسب. لا يوجد Yum.
‫لا توجد كل تلك الأوامر المختلفة التي
‫قد تفترض أنها موجودة في حاوية إذا كنت تستخدم
‫إحدى الصور الرسمية. الشيء هو أن الصور المقطوعة
‫ليست شائعة جدًا لسببين.
‫أولاً ، تحتاج معظم البرامج
‫إلى كل هذه الأشياء لكي تعمل.
‫يحتاجون إلى تبعيات حزمة ملائمة.
‫إنهم بحاجة إلى مكتبات
‫SSL المفتوحة الخاصة بهم. إنهم بحاجة إلى كل أنواع الأشياء بالإضافة إلى البرنامج
‫الموجود هناك ، صحيح.
‫هذا هو معظم التطبيقات اليوم.
‫Golang ، C ، بعض اللغات الأخرى يمكنها بناء
‫ثنائيات مفردة تحتوي أساسًا على كل ما
‫يحتاجون إليه للتشغيل ، بخلاف
‫النواة. هذه الأشياء قادرة
‫تقنيًا على إزالة كل شيء تحتها.
‫يمكن أن تختفي جميع الطبقات وصورتك.
‫لا أراهم كثيرًا في البرية حتى الآن لأنني لا
‫أعمل مع Google و Netflix وفرقًا ضخمة من الأشخاص
‫المحترفين في هذا المجال.
‫السببان هنا ، الأول ، يجب أن يكون لديك
‫لغة تدعمها ، ويجب أن يكون لديك فريق يفهم كيفية
‫بناء هذه اللغة بشكل صحيح.
‫بعد ذلك ، يجب أن تكون جيدًا حقًا في استكشاف الأخطاء وإصلاحها وكيفية
‫عمل الحاويات في مساحات الأسماء.
‫نظرًا لأنه في اللحظة التي يتم فيها تشغيل تلك الصورة
‫غير المحظورة في حاوية ولديك مشكلة ، لا يمكنك حتى
‫الدخول إليها.
‫ليس هناك قذيفة. لا يمكنك الدخول فيه.
‫لا يمكنك النظر إليه. لذا ، أصبحت أدواتك الآن
‫محدودة ، وعليك أن تبدأ في البحث عن طرق أخرى لتوصيل
‫أدواتك بتلك الحاويات.
‫موجود. هناك تلك الأشياء التي من شأنها
‫أن تفعل ذلك من أجلك ، لكنها تعتمد إلى حد كبير على مجموعة المهارات الخاصة بك
‫من حيث كيفية تعاملك مع مساحات الأسماء.
‫كيف يمكنك القفز إلى حاوية جارية في مساحة
‫الاسم الخاصة به من سطر الأوامر دون استخدام
‫Docker؟
‫هذا هو نوع المشاكل التي تتسلل عندما تتعامل مع
‫استكشاف الأخطاء وإصلاحها أو مراقبة النظام
‫وصيانته عندما يكون لديك صور غير متوقعة.
‫بالنسبة لكل من أعمل معهم بدأوا بالحاويات
‫، أول مشروعين لهما في حاويات ، لا
‫أذكر هذه الأشياء لأن الحجم هو مجرد حجم.
‫يمكنك دائمًا إضافة المزيد من مساحة القرص إلى الخادم ، على اليمين.
‫لا يوجد سبب لجعل فريقًا بأكمله يعمل حول تعلم جميع
‫أنواع الأدوات والأشياء الجديدة فقط حتى تتمكن من استخدام
‫مساحة أقل على القرص على الخادم.
‫أنا شخصياً لا أهتم بالحجم.
‫الأمن شيء نظري.
‫من الناحية النظرية ، فإن إزالة كل هذه الأشياء من
‫صورة حاوية قد تجعلها أكثر أمانًا.
‫دعنا نتحدث عن الخارج في البرية ، رغم ذلك.
‫كم عدد الفرص التي يجب على شخص ما العبث بها
‫باستخدام أدوات أخرى في الحاوية الخاصة
‫بك خارج تطبيقك؟ لنفترض أن cURL به ثغرة أمنية ،
‫لكن تطبيقك لا يستخدم cURL.
‫يحدث فقط أن يكون في الصورة.
‫كيف يمكن لشخص ما الوصول إلى ذلك ، أليس كذلك؟
‫سيتعين عليهم اختراق تطبيقك.
‫لذلك ، يجب أن يستغل تطبيقك.
‫ثم من الناحية النظرية ، يمكنهم تشغيل أمر cURL
‫في الحاوية ، صحيح. لذلك ، هذا ما تدور حوله
‫هذه الأشياء غير المحظورة حقًا هو المكافآت الأمنية
‫النظرية لعدم تضمين التطبيقات الأخرى.
‫على الرغم من ذلك ، في الواقع ، بمجرد إنشاء
‫ثنائي ثابت ، فأنت تقوم بالفعل بتضمين الكثير من
‫تلك المكتبات التي قد تكون ضعيفة مثل SSL
‫المفتوح ، وهي طريقة شائعة لتوصيل التطبيقات بأمان SSL
‫، صحيح.
‫حسنًا ، إذا كان هناك ثغرة أمنية في ذلك وقمت ببنائه بشكل ثابت
‫في تطبيقك ، فلا يزال موجودًا.
‫إنه ليس ملفًا منفصلاً في الحاوية.
‫إنه موجود في تطبيقك في ثنائي واحد.
‫في الواقع ، يجعل الأمر في الواقع من الصعب إجراء
‫فحص أمني لأنه الآن ، لن يتمكن كل ماسح ضوئي أعرفه من
‫التقاط ملف ثنائي SSL المفتوح إذا كان مدمجًا
‫فيه. لذا ، فإن الكثير من هذه الأشياء نظري.
‫لا أميل إلى دفع الفرق نحو ميزات
‫الأمان النظرية. أنظر أكثر إلى ما يحدث
‫في البرية ، صحيح.
‫يتم الكشف عن شياطين Docker.
‫لا تمتلك Kubernetes مصادقة مناسبة
‫، لذلك يتم كشفها. هذه هي المشاكل الحقيقية التي
‫أراها ، كما تعلمون ، الأشياء التي تركز عليها هي الأشياء
‫التي نسمع عنها باستمرار في الأخبار التي يتم
‫اختراق الناس بها ، أليس كذلك. هذا النوع من الأشياء مع الأمان
‫النظري في إزالة الملفات من الصور.
‫هذا فقط أكثر في المجال النظري.
‫إنه ليس سببًا لعدم القيام بذلك.
‫تمامًا مثل هذه القائمة ، كل شيء في هذه القائمة ، سأفعله
‫أولاً قبل أن أبدأ في السير في هذا الطريق من الأشياء
‫الصعبة.
‫أنا أعتبر الصور المقطوعة صعبة نسبيًا.
‫ما لم تكن بالفعل مبرمج Go وفريقك بالكامل بالفعل
‫جيد في مساحات الأسماء وأوامر Docker وأشياء
‫من هذا القبيل.
‫أنا لا أعني فقط أوامر Docker العادية.
‫أعني أشياء معقدة تساعدك على استكشاف أخطاء الحاويات التي لا
‫تحتوي على قذائف وإصلاحها ، على سبيل المثال.
‫إذن ، إنه سؤال رائع.
‫يأتي في كل وقت.
‫يسألني الجميع عن ذلك عندما نجري مناقشات أمنية
‫لأنه موضوع شائع. لكنها ليست حتى ضمن العشرة
‫الأوائل.
‫أتمنى أن يساعد ذلك.