@kodkafasi 1 saat önce

Konteyner Güvenliği: Image Tarama ve Runtime Koruması

Docker image'ları binlerce yazılım katmanından oluşur. Her katmanda açık olabilir. Bir kötü niyetli image çalıştırırsan, tüm sisteminiz tehlikede olur. Image taraması ve runtime koruması iki kalkan gibi çalışır.

Trivy, açık kaynak bir tarama aracıdır. Kurulumu basit:

1sudo apt-get install trivy

Bir image taramak için:

1trivy image nginx:latest

Çıktı örneği:

12024-01-15T10:30:00Z INFO Vulnerability scanning...
2
3Vulnerabilities for nginx:latest
4
5CRITICAL (5)
6- CVE-2023-12345: OpenSSL kütüphanesinde buffer overflow
7- CVE-2023-54321: libc'de privilege escalation
8
9HIGH (12)
10- CVE-2023-99999: curl'de RCE açığı

Sonuçları JSON olarak kaydetmek:

1trivy image --format json --output report.json nginx:latest

Container çalışırken sistem çağrılarını sınırlandır. AppArmor profili oluştur:

1sudo nano /etc/apparmor.d/docker-container

İçine ekle:

1#include <tunables/global>
2
3profile docker-container flags=(attach_disconnected,mediate_deleted) {
4#include <abstractions/base>
5
6deny /sys/kernel/debug rwx,
7deny /proc/sysrq-trigger rwx,
8deny /proc/mem rwx,
9deny /proc/kmem rwx,
10
11/bin/** ix,
12/usr/bin/** ix,
13/usr/sbin/** ix,
14}
15[/cod]
16
17Profili yükle:
18
19[kod]
20sudo apparmor_parser -r /etc/apparmor.d/docker-container

Container'ı bu profille çalıştır:

1docker run --security-opt apparmor=docker-container nginx:latest

Açıklar bulunduysa:
- CRITICAL: Hemen güncelle veya image'ı değiştir
- HIGH: Kısa vadede çöz
- MEDIUM: Sonraki güncellemede dahil et

Image taraması geliştirme aşamasında yapılır. Runtime koruması ise container çalışırken devreye girer. İkisini birlikte kullanırsan, konteynerlerin çoğu saldırıya karşı koruma altına alırsın.

Konteyner Güvenliği: Image Tarama ve Runtime Koruması

İlgili İçerikler

Çapraz Platform Uygulamada Sertifika Pinning: HTTPS Güvenliği

SQL Injection'dan Koruma: Prepared Statements Rehberi

Kali Linux Kurulum Sonrası İlk Güvenlik Adımları

Tehdit Modellemesi: 4 Soru, Beyaz Tahta, Sonuç

1 yorum