Bulut, Kubernetes ve Altyapı Güvenliği
Konteyner Çalışma Ortamı Güvenliği
Konteynerlerinizin çalışma zamanı izinlerini inceliyoruz. Ana sunucuya geçişi mümkün kılan ayarları tespit ediyoruz.
Nedir?
Konteynerler aynı işletim sistemi çekirdeğini paylaşır. Yalıtım, çalışma zamanı ayarlarına bağlıdır. Ayrıcalıklı mod, geniş Linux yetenekleri (capabilities) veya host dosya sistemine erişim yalıtımı zayıflatır. Değerlendirme, bu ayarları NIST SP 800-190 ve CIS Docker Benchmark'a göre inceler.
Kapsam
- Ayrıcalıklı konteynerler ve root olarak çalışan süreçler
- Linux yetenekleri, seccomp ve AppArmor veya SELinux profilleri
- Host dosya sistemi, ağ ve süreç alanının paylaşımı
- Konteyner çalışma ortamı soketlerine erişim
- Çalışma zamanı izleme kurallarının kapsamı
İhtiyaç
Hangi durumlarda ihtiyaç duyulur?
- Üçüncü taraf imajlar veya müşteri kodu altyapınızda çalıştığında.
- Derleme sunucuları ve CI/CD runner'ları konteynerlerle paylaşıldığında.
- Konteyner yalıtımını etkileyen bir zafiyet duyurulduğunda ve etkilenen sunucuları bilmeniz gerektiğinde.
Yöntem
Nasıl çalışıyoruz?
-
Envanter
Çalışan konteynerleri, imajlarını ve çalışma ayarlarını sunucu bazında listeliyoruz.
-
Yalıtım incelemesi
Her iş yükünün ana sunucuya ve diğer konteynerlere hangi yollarla ulaşabileceğini değerlendiriyoruz.
-
Tespit testi
Onayınızla zararsız test davranışları üretir, izleme araçlarının bunları algılayıp algılamadığını kontrol ederiz.
-
En az yetkili profil
Her iş yükü için gereken en dar çalışma ayarlarını öneriyoruz.
Sonuç
Çalışmanın sonunda elinizde olan
Hangi konteynerlerin ana sunucuya geçiş riski taşıdığını bilirsiniz. Her iş yükü için en az yetkili çalışma ayarları ve izleme boşlukları raporlanır.
Sık sorulan sorular
İmaj taraması yapıyoruz. Bu yeterli değil mi?
İmaj taraması imajdaki bilinen zafiyetleri bulur. Konteynerin hangi izinlerle başlatıldığını göstermez. Çalışma ortamı değerlendirmesi bu boşluğu kapatır.
Konteynerleri root olmadan çalıştırmak uygulamaları bozar mı?
Bazı imajlar buna hazır değildir. Bu yüzden değişiklikleri iş yükü bazında, önce test ortamında deneyerek öneriyoruz.
Bulut, Kubernetes ve Altyapı Güvenliği
Bu alandaki diğer hizmetler
Bu hizmet için görüşelim.
İhtiyacınızı kısaca anlatın. Kapsamı ve takvimi ilk görüşmede birlikte netleştirelim.
Görüşme Planlayın