Sécurité des conteneurs : ne baissez pas la garde

Les développeurs et les équipes DevOps ont adopté l’utilisation de conteneurs pour le développement et le déploiement d’applications. Ils offrent une solution légère et évolutive pour empaqueter des applications logicielles. La popularité de la conteneurisation est due à ses avantages apparents, mais elle a également créé une nouvelle surface d’attaque pour les cybercriminels, contre laquelle il faut se protéger.

Des statistiques de pointe démontrent la large adoption de cette technologie. Par exemple, une étude de 2020 de Forrester mentionnait que « les dépenses de sécurité des conteneurs devraient atteindre 1,3 milliard de dollars d’ici 2024 ». Dans un autre rapport, Gartner a déclaré : « D’ici 2025, plus de 85 % des organisations dans le monde exécuteront des applications conteneurisées en production, une augmentation significative par rapport à moins de 35 % en 2019 ».

D’un autre côté, diverses statistiques indiquent que la popularité des conteneurs en a également fait une cible pour les cybercriminels qui ont réussi à les exploiter. Dans le rapport de 2019, Aqua Security a publié que 94 % des organisations américaines utilisent des conteneurs pour des applications de production, contre 68 % en 2018. La même enquête a indiqué que 65 % des organisations avaient connu au moins un incident de sécurité lié aux conteneurs, une forte augmentation. de 60% l’année précédente. Une étude plus récente menée par StackRox en 2021 a révélé que 94 % des organisations interrogées avaient connu un incident de sécurité dans leur environnement de conteneurs au cours des 12 derniers mois. Enfin, dans une enquête menée par Red Hat, 60 % des personnes interrogées ont cité la sécurité comme la principale préoccupation lors de l’adoption de la conteneurisation.

Ces points de données soulignent l’importance de la sécurité des conteneurs, ce qui en fait un sujet de discussion critique et urgent pour les organisations qui utilisent actuellement ou envisagent d’adopter des applications conteneurisées. Pour comprendre les implications de sécurité d’un environnement conteneurisé, il est essentiel de comprendre les éléments fondamentaux d’un réseau de déploiement de conteneurs.

Réseau de déploiement de conteneurs

L’illustration ci-dessus décrit un déploiement de conteneur standard à l’aide de Kubernetes. Cependant, avant de concevoir un cadre de sécurité solide pour ce système, il est crucial de comprendre ses composants de base et comment ils interagissent les uns avec les autres.

Équilibreurs de charge sont le point d’entrée du trafic entrant. Ils aident à distribuer le trafic entrant aux nœuds qui résident dans un cluster. En général, leur objectif est de maintenir un flux équilibré de demandes à l’intérieur de l’environnement du conteneur.
Grappe Kubernetes se compose d’un nœud maître qui gère le cluster, plusieurs nœuds de travail qui exécutent des applications conteneurisées, et un Plan de contrôle Kubernetes qui est utilisé pour gérer tous les nœuds. La tâche principale du cluster consiste à gérer, mettre à l’échelle et orchestrer l’environnement conteneurisé.
Nœuds sont des machines physiques ou virtuelles qui utilisent le « container runtime » pour gérer les conteneurs. Les nœuds fonctionnent en étroite coordination avec le plan de contrôle à l’aide de Kubelet (agent utilisé pour planifier et gérer les pods à l’aide du plan de contrôle), Kube Proxy (proxy réseau utilisé pour acheminer le trafic vers le bon pod) et cAdvisor (outil de surveillance des conteneurs utilisé pour envoyer métriques de performance des conteneurs au plan de contrôle).
Gousses contenir un ou plusieurs conteneurs à l’intérieur. Ce sont les plus petites unités de déploiement de Kubernetes qui s’exécutent sur des nœuds de travail.
Récipient est un progiciel exécutable qui fournit tout pour exécuter une application ou un service. Il contient du code, des bibliothèques, des outils système et des paramètres. Le système est construit à l’aide d’images de conteneurs, qui sont des modèles en lecture seule utilisés pour exécuter des applications. Ils sont isolés des autres conteneurs et également du système d’exploitation hôte.

Flux de trafic de l’environnement de conteneur de haut niveau :

Load Balancer reçoit le trafic entrant et le distribue sur différents nœuds.
En fonction du service ou de l’application demandée, le cluster dirige le trafic vers le conteneur approprié.
Une fois que le conteneur a traité la demande et généré une réponse, celle-ci est renvoyée à l’entité demandeuse par le même chemin.
Pour le trafic de sortie, le conteneur envoie des informations au cluster et les dirige vers l’équilibreur de charge.
L’équilibreur transmet alors la demande à l’entité requise.

Les conteneurs fournissent des contrôles de sécurité intégrés. Chaque environnement conteneurisé est isolé et le trafic ne circule pas au sein du réseau hôte. Cela empêche le mouvement latéral des données, ce qui contribue à améliorer la sécurité globale. Ces environnements peuvent être davantage séparés à l’aide de la segmentation du réseau pour contrôler le flux de trafic dans l’environnement du conteneur. Cependant, cette architecture peut également introduire de nombreux risques de sécurité si des mesures adéquates ne sont pas prises lors de sa mise en œuvre. Nous devons comprendre, utiliser et respecter les exigences de sécurité techniques et de conception pour assurer la sécurité des conteneurs.

Sécurité de l’hôte

L’hôte est considéré comme l’un des composants les plus cruciaux du point de vue de la sécurité. Bien que les conteneurs soient maintenus isolés les uns des autres, ils sont construits au-dessus d’un système d’exploitation hôte (OS). Par conséquent, le système d’exploitation hôte doit être exempt de toute vulnérabilité. Cela réduira la probabilité d’accès non autorisé. Voici quelques mesures pour assurer une connexion sécurisée entre le conteneur et l’hôte :

Analysez périodiquement le système d’exploitation hôte à la recherche de vulnérabilités de sécurité, le cas échéant, et corrigez régulièrement le système.
Désactivez les services, protocoles ou fonctionnalités inutilisés ou inutiles. Remplacez les protocoles non sécurisés comme telnet par des produits très populaires comme SSH.
Examinez l’accès au système d’exploitation hôte chaque année (ou plus fréquemment, selon le niveau de risque des applications qui y sont exécutées) et limitez-le au personnel autorisé uniquement.
Activez MFA (authentification multifacteur) et RBAC (contrôle d’accès basé sur les rôles).
Utilisez des technologies d’isolation de conteneurs telles que les espaces de noms et les groupes de contrôle pour vous assurer que les conteneurs sont isolés les uns des autres et de l’hôte.
Installez des pare-feu basés sur l’hôte et des réseaux privés virtuels (VPN) pour la sécurité du réseau de conteneurs.
Enregistrez l’activité du conteneur à l’aide d’outils de surveillance comme Auditd, Sysdig, Falco et Prometheus. Ils vous aideront à suivre le comportement anormal des utilisateurs, à détecter les menaces connues et à y remédier.
Créez des sauvegardes pour la récupération des données en cas de panne. Effectuez également des tests d’analyse d’impact sur l’entreprise (BIA) à intervalles réguliers pour mesurer l’efficacité des sauvegardes.

Durcissement de l’image

Les conteneurs sont créés à l’aide de logiciels, de paramètres de configuration et de bibliothèques. Celles-ci sont collectivement appelées images de conteneur et stockées sous la forme de modèles en lecture seule. Étant donné que ces images sont la source de vérité, il est important de les durcir, c’est-à-dire de les protéger des logiciels malveillants et autres vulnérabilités. Voici quelques façons de le faire :

Tout d’abord, supprimez les packages qui ne sont pas utilisés ou qui sont inutiles.
Utilisez uniquement des images sécurisées (provenant d’une source fiable) pour créer un nouveau conteneur. Enfin, configurez-les en utilisant des valeurs par défaut sécurisées.
Mettre en œuvre des contrôles d’accès pour les images de conteneur ; limitez l’accès des utilisateurs aux conteneurs et utilisez le stockage sécurisé des informations d’identification pour l’authentification des conteneurs.
Le référentiel de confiance utilisé au sein de l’organisation ne doit permettre que le stockage d’images renforcées. Une méthode pour mettre en œuvre cette mesure consiste à s’assurer que toutes les images téléchargées dans le référentiel sécurisé ont été signées et vérifiées au préalable. Des outils comme Docker Content Trust ou Docker Notary peuvent être utilisés pour la même chose.
Utilisez et implémentez la gestion, la distribution, la mise en cache, le balisage et la superposition des images de conteneurs sécurisées.
Utilisez des outils comme Clair ou Trivy pour effectuer une analyse des vulnérabilités dans l’environnement du conteneur.

Configuration de la sécurité des conteneurs

Un autre élément important est la configuration du conteneur dans lequel l’application s’exécute. Voici quelques paramètres qui peuvent être configurés pour réduire l’exposition :

Exécutez les conteneurs avec l’accès le moins privilégié pour toutes les ressources système, y compris la mémoire, le processeur et le réseau.
Utilisez des outils tels que SELinux et AppArmor pour la sécurité de l’exécution des conteneurs. Ceux-ci peuvent empêcher l’accès non autorisé et protéger les ressources du conteneur.
Gérez le déploiement sécurisé de conteneurs à l’aide d’outils d’orchestration tels que Kubernetes et Docker Swarm.

Sécurité Internet

Le réseau est un composant essentiel pour tous les systèmes. Par conséquent, il est important de restreindre l’accès au réseau et de s’assurer que les données au repos et en transit sont toujours chiffrées. Voici quelques exigences de sécurité réseau spécifiques pour les conteneurs :

Limitez la surface d’attaque en implémentant la segmentation du réseau pour les clusters de conteneurs.
Pour limiter l’accès à une application conteneurisée, il est recommandé d’utiliser un pare-feu de conteneur et un HIDS sur l’hôte du conteneur tout en définissant des limites de ressources pour le conteneur.
Analysez périodiquement les conteneurs pour détecter les vulnérabilités et effectuez des tests de sécurité.
Surveillez le trafic du réseau de conteneurs et activez la journalisation sécurisée des conteneurs. Générez des alertes si une activité suspecte est détectée.
Utilisez des outils comme Calico et Weave Net pour sécuriser les environnements réseau.

Politique et protocoles de sécurité des conteneurs et du réseau

Les stratégies sont des lignes directrices et des règles de sécurisation des applications conteneurisées et de leurs réseaux associés. La politique peut inclure des protocoles de déploiement, de surveillance et de gestion des conteneurs pour s’assurer qu’ils fonctionnent en toute sécurité et ne constituent pas une menace pour le système ou le réseau hôte.

Stockez les images de conteneur à l’aide du registre sécurisé.
Mettez en œuvre des sauvegardes de conteneurs et cryptez les données sensibles pour vous protéger contre la perte de données.
Implémentez un conteneur sécurisé en utilisant uniquement des certificats approuvés pour la communication du conteneur.
Activez le démarrage sécurisé pour les conteneurs et la résolution DNS sécurisée.
Implémentez des pilotes de réseau de conteneurs sécurisés, des points d’entrée, des politiques de mise en réseau, des plug-ins réseau, des ponts, des réseaux superposés, une configuration DNS et un équilibreur de charge réseau.
Implémentez des commutateurs virtuels de réseau de conteneurs sécurisés, des politiques de routage, des pare-feux, des protocoles de routage, des groupes de sécurité, des listes de contrôle d’accès, des algorithmes d’équilibrage de charge, une récupération de service et un maillage de services.
Utiliser la gestion de la configuration des conteneurs et…