Qu'est-ce que la sécurité des conteneurs ?

Contexte

La sécurité des conteneurs reflète la nature changeante de l'architecture informatique. L'essor du cloud-native computing a fondamentalement modifié la façon dont nous créons des applications. L'évolution de la technologie exige que nous adaptions notre approche de la sécurisation.

Dans le passé, la cybersécurité consistait à protéger un seul périmètre. Les conteneurs rendent ce concept obsolète, ayant ajouté de multiples couches d'abstraction qui nécessitent des outils spécialisés pour interpréter, surveiller et protéger nos environnements conteneurisés.

L'écosystème des conteneurs peut être difficile à comprendre, étant donné la pléthore d'outils et les problèmes uniques qu'ils résolvent par rapport aux plateformes traditionnelles. Dans le même temps, l'adoption généralisée des technologies de conteneurs nous donne l'occasion d'opérer un virage à gauche - en sécurisant les conteneurs dès les premières étapes du pipeline CI/CD jusqu'au déploiement et à l'exécution.

Mais avant de plonger dans les détails de la sécurité des conteneurs, il est nécessaire de comprendre les plateformes utilisées pour gérer les conteneurs. Nous nous concentrerons sur l'une des plateformes les plus importantes et les plus connues, Kubernetes.

Qu'est-ce que Kubernetes ?

Kubernetes est l'une des principales plateformes d'orchestration qui permet d'optimiser et de mettre en œuvre une infrastructure basée sur des conteneurs. Plus précisément, il s'agit d'une plateforme open-source utilisée pour gérer des charges de travail conteneurisées en automatisant des processus tels que le développement, le déploiement et la gestion d'applications.

En tant que plateforme open-source largement adoptée, la sécurisation de Kubernetes est cruciale pour les organisations qui déploient des applications conteneurisées. Les organisations doivent mettre en place un environnement sécurisé, en particulier lorsqu'elles intègrent du code source ouvert dans des applications tierces. Kubernetes, avec son écosystème étendu et ses nombreuses intégrations pour gérer les conteneurs, permet de créer des processus automatisés et systématiques qui intègrent la sécurité au cœur de son pipeline de construction et de déploiement. En tirant parti des fonctionnalités natives de Kubernetes, telles que le RBAC, les politiques de sécurité des conteneurs et les politiques de réseau, les organisations peuvent mettre en place et maintenir une posture de sécurité solide avec une infrastructure d'orchestration de conteneurs résiliente.

Avantages des conteneurs

En clair, les conteneurs facilitent plus que jamais la création, le déploiement et la mise à l'échelle des applications Cloud Native. Pour les développeurs d'applications Cloud Native, les avantages les plus évidents des conteneurs sont les suivants :

1. Éliminer les frottements: Les développeurs évitent une grande partie des frictions liées au déplacement du code d'application des tests à la production, puisque le code d'application progiciel sous forme de conteneurs peut s'exécuter n'importe où.
2. Source unique de vérité pour le développement d'applications: Toutes les dépendances associées à l'application sont incluses dans le conteneur. L'application peut ainsi s'exécuter facilement et à l'identique sur des machines virtuelles, des serveurs bare metal et le cloud public.
3. Des temps de construction plus rapides: La flexibilité et la portabilité des conteneurs permettent aux développeurs de réaliser des gains de productivité jusqu'alors inaccessibles.
4. Confiance pour les développeurs: Les développeurs peuvent déployer leurs applications en toute confiance, sachant que leur application ou leur plateforme fonctionnera de la même manière sur tous les systèmes d'exploitation.
5. Collaboration renforcée: Plusieurs équipes utilisant des conteneurs peuvent travailler sur des parties individuelles d'une appli ou d'un service sans perturber le code progiciel dans d'autres conteneurs.

Comme toute architecture informatique, les applications Cloud Native ont besoin de sécurité. Les environnements de conteneurs s'accompagnent d'une série de défis de cybersécurité ciblant leurs images, conteneurs, hôtes, runtimes, registres et plateformes d'orchestration - qui doivent tous être pris en compte.

Comprendre la surface d'attaque

Considérez le cadre tentaculaire et multicouche de Kubernetes. Chaque couche - du code et des conteneurs aux clusters et aux services cloud tiers - pose un ensemble distinct de défis en matière de sécurité.

Sécuriser les déploiements Kubernetes exige de sécuriser l'infrastructure sous-jacente (nœuds, équilibreurs de charge, etc.), les composants configurables et les applications qui s'exécutent dans le cluster - notamment en maintenant la posture des nœuds sous-jacents et en contrôlant l'accès à l'API et à Kubelet. Il est également important d'empêcher les charges de travail malveillantes de s'exécuter dans le cluster et d'isoler la communication des charges de travail grâce à des contrôles de réseaustricts.

Les moteurs d'exécution des conteneurs peuvent présenter des défauts de codage qui permettent une escalade des privilèges à l'intérieur d'un conteneur. Le serveur API de Kubernetes pourrait être mal configuré, donnant aux attaquants la possibilité d'accéder à des ressources supposées être verrouillées. Des vulnérabilités permettant des attaques par escalade de privilèges pourraient exister au sein d'une application conteneurisée ou des systèmes d'exploitation fonctionnant sur les nœuds Kubernetes.

Dans ce système, un problème à une couche est amplifié lorsqu'une autre couche présente un problème de sécurité.

Et les conteneurs peuvent, bien sûr, abriter des vulnérabilités. Dans le même temps, les conteneurs peuvent masquer la visibilité. Imaginez une seule image non sécurisée instanciée de nombreuses fois en tant que conteneurs distincts en cours d'exécution. Ce qui n'était qu'une simple fissure est désormais un vaste réseau de fissures dans la forteresse.

L'impératif de maintenir la visibilité sur les opérations et la sécurité du système alors que vous déployez de plus en plus de conteneurs devient de plus en plus difficile. Et il ne s'agit là que de maintenir la visibilité, l'un des innombrables objectifs.

La figure 1, avec des détails plus poussés décrits dans le tableau 1, offre un point de départ pour comprendre la surface d'attaque des applications conteneurisées.

Il est important de noter que la représentation est simplifiée. En réalité, les attaquants ont de nombreuses voies à explorer pour tenter d'exploiter les vulnérabilités des applications conteneurisées. Défendre cette pile de technologies n'est pas nécessairement plus difficile que de sécuriser d'autres environnements et technologies. La conteneurisation présente simplement des considérations de sécurité uniques que les organisations doivent prendre en compte pour une infrastructure sécurisée et résiliente.

Tableau 1 : Décomposer la surface d'attaque des conteneurs

Heureusement, chaque couche de la surface d'attaque peut être fortifiée grâce à des considérations de conception et de processus, ainsi qu'à des options de sécurité natives et tierces pour réduire le risque de charges de travail compromises. Vous aurez besoin d'une stratégie à multiples facettes, mais notre objectif dans cette section du guide est de vous fournir exactement cela.

Comment sécuriser les conteneurs ?

Les utilisateurs de conteneurs doivent s'assurer qu'ils disposent d'une full-stack security conçue à cet effet pour répondre aux exigences de gestion des vulnérabilités, de conformité, de protection de l'exécution et de sécurité du réseau de leurs applications conteneurisées.

Sécurité du réseau des conteneurs

Les applications conteneurisées sont confrontées aux mêmes risques que les apps en bare metal et en VM, comme le cryptojacking, les ransomwares et le BotNet C2. La sécurité du réseau conteneurs restreint de manière proactive les communications indésirables et empêche les menaces d'attaquer vos applications via une multitude de stratégies. Les composants clés de la sécurité du réseau impliquent la microsegmentation, le contrôle d'accès, le cryptage et les politiques visant à maintenir un environnement sécurisé et résilient. La surveillance constante, la journalisation et les audits réguliers permettent d'identifier et de rectifier les éventuelles failles de sécurité, tout comme les correctifs apportés en temps voulu pour maintenir vos plateformes et votre infrastructure à jour.

Alors que les outils de sécurité de type shift-left offrent une protection en temps de déploiement contre les vulnérabilités connues, les containerized next-gen firewalls se prémunissent contre les vulnérabilités inconnues et non corrigées. En effectuant une inspection de la couche 7 en profondeur et en analysant tout le trafic autorisé, ils identifient et empêchent les logiciels malveillants de pénétrer et de se propager au sein du cluster et bloquent les connexions sortantes malveillantes utilisées pour l'exfiltration de données et les attaques de commandement et de contrôle (C2). La microsegmentation basée sur l'identité permet de restreindre la communication entre les applications aux niveaux 3 et 4.

Sécurité des conteneurs en cours d'exécution

La sécurité des conteneurs Cloud-native runtime security consiste à identifier les nouvelles vulnérabilités dans les conteneurs en cours d'exécution et à sécuriser l'application contre celles-ci. Les organisations qui utilisent des conteneurs doivent tirer parti de la protection de l'exécution renforcée pour établir les lignes de base comportementales sur lesquelles repose la détection des anomalies. La sécurité du temps d'exécution permet d'identifier et de bloquer les processus, les fichiers et les comportements de réseau malveillants qui s'écartent d'une ligne de base.

En utilisant une stratégie de défense intégrée pour prévenir les attaques de couche 7, comme le Top 10 de l'OWASP, les organisations devraient mettre en œuvre une protection de l'exécution avec la sécurité des applications web et des API en plus de la sécurité du réseau des conteneurs via des pare-feu nouvelle génération conteneurisés.

Sécurité des conteneurs

Intégrer la sécurité dans la phase de construction des conteneurs signifie se décaler à gauche au lieu de réagir au moment de l'exécution. La sécurité de la phase de construction doit se concentrer sur la suppression des vulnérabilités, des logiciels malveillants et du code non sécurisé. Les conteneurs étant constitués de bibliothèques, de binaires et de code d'application, il est essentiel de sécuriser les registres de vos conteneurs.

La première étape de la sécurité des conteneurs consiste à établir un registre de conteneurs officiel pour votre organisation. Il ne fait aucun doute qu'un ou plusieurs registres existent déjà. C'est à l'équipe de sécurité qu'il incombe de les trouver et de veiller à ce qu'elles soient correctement sécurisées, ce qui implique la mise en place de normes et de protocoles de sécurité. L'objectif principal des normes de sécurité des conteneurs devrait être la création d'images de confiance. À cette fin, DevOps et les équipes de sécurité doivent s'aligner sur des politiques qui, avant tout, empêchent les conteneurs d'être déployés à partir de registres non fiables.

Les intrusions ou les vulnérabilités dans le registre constituent une ouverture facile pour compromettre les applications en cours d'exécution. La surveillance constante des registres pour détecter les changements de statut des vulnérabilités reste une exigence fondamentale en matière de sécurité. Parmi les autres exigences, citons le verrouillage du serveur qui héberge le registre et l'utilisation de politiques d'accès sécurisées.

Sécurité des conteneurs

La sécurité de l'orchestration de conteneurs est le processus qui consiste à édicter des mesures de contrôle d'accès appropriées pour prévenir les risques liés aux comptes surprivilégiés, aux attaques sur le réseau et aux mouvements latéraux indésirables. En tirant parti de la gestion des accès aux identités (IAM) et de l' accès au niveau le moins privilégié, où l'activité de Docker et de Kubernetes est explicitement inscrite sur la liste blanche, les équipes de sécurité et d'infrastructure peuvent s'assurer que les utilisateurs n'exécutent que des commandes basées sur les rôles appropriés.

En outre, les organisations doivent protéger les communications entre pods, limiter les dégâts en empêchant les attaquants de se déplacer latéralement dans leur environnement et sécuriser tous les services frontaux contre les attaques.

Sécurité du système d'exploitation hôte (OS)

La sécurité de l'OS hôte est la pratique qui consiste à sécuriser votre système d'exploitation (OS) contre une cyberattaque. À mesure que la technologie de développement d'apps Cloud Native se développe, il en va de même pour la nécessité d'assurer la sécurité de l'hôte.

Le système d'exploitation qui héberge votre environnement de conteneurs est peut-être la couche la plus importante en matière de sécurité. Une attaque qui compromet l'environnement hôte peut permettre aux intrus d'accéder à toutes les autres zones de votre pile. C'est pourquoi les hôtes doivent être analysés pour détecter les vulnérabilités, renforcés pour répondre aux critères du CIS et protégés contre les contrôles d'accès faibles (commandes Docker, commandes SSH, commandes sudo, etc.)

Solutions de sécurité des conteneurs

La sécurisation de votre environnement conteneurisé exige une approche à plusieurs niveaux pour faire face aux vulnérabilités et menaces potentielles. Ces dernières années, les solutions de sécurité des conteneurs sur lesquelles les organisations peuvent compter pour protéger leurs applications et infrastructures conteneurisées tout au long des étapes de développement, de déploiement et d'exécution ont gagné en sophistication et en capacités. Les outils de sécurité modernes minimisent efficacement les risques de brèches et de fuites de données, en favorisant la conformité et en maintenant des environnements sécurisés tout en accélérant l'adoption de DevSecOps .

Surveillance des conteneurs

La possibilité de surveiller votre registre à la recherche de vulnérabilités est essentielle pour maintenir la sécurité des conteneurs. Parce que les développeurs arrachent et remplacent constamment les conteneurs, les outils de surveillance qui permettent aux équipes de sécurité d'appliquer des timbres de séries temporelles aux conteneurs sont essentiels lorsqu'ils tentent de déterminer ce qui s'est passé dans un environnement conteneurisé.

Parmi les outils populaires pour la surveillance des conteneurs, citons Prometheus, Grafana, Sumo Logic et Prisma Cloud. Prisma Cloud propose une détection des menaces et une analyse des anomalies au moment de l'exécution pour les applications cloud-natives et traditionnelles. Il s'appuie sur l'apprentissage automatique et l'analyse comportementale pour identifier les activités suspectes tout au long du cycle de vie des conteneurs, de la création à l'exécution.

Outils d'analyse des conteneurs

Les conteneurs doivent être constamment analysés pour détecter les vulnérabilités, à la fois avant d'être déployés dans un environnement de production et après leur remplacement. Il est trop facile pour les développeurs d'inclure par erreur une bibliothèque dans un conteneur dont les vulnérabilités sont connues. Il est également important de se rappeler que de nouvelles vulnérabilités sont découvertes presque quotidiennement. Cela signifie que ce qui peut sembler être une image du conteneur parfaitement sûre aujourd'hui pourrait devenir le véhicule par lequel toutes sortes de logiciels malveillants seront distribués demain. C'est pourquoi le maintien de la confiance des images du conteneur est un élément central des outils d'analyse des conteneurs.

Les outils d'analyse des conteneurs comprennent Aqua Security, Anchore, Clair et Prisma Cloud. Prisma Cloud fournit une analyse de vulnérabilité en couche profonde pour les images du conteneur dans les registres et pendant les pipelines CI/CD. Il détecte les vulnérabilités connues, les Configurations erronées et les logiciels malveillants, vous aidant ainsi à construire des conteneurs sécurisés dès le départ.

Outils de sécurité du réseau des conteneurs

Une fois déployés, les conteneurs doivent être protégés contre les tentatives constantes de vol de données propriétaires ou de ressources de calcul. Les pare-feu de nouvelle génération conteneurisés, la sécurité des applications web et des API (WAAS)et les outils de microsegmentation inspectent et protègent l'ensemble du trafic entrant et sortant des conteneurs (nord-sud et est-ouest), accordant une visibilité et un contrôle complets de la couche 7 sur l'environnement Kubernetes. En outre, les pare-feu conteneurisés évoluent dynamiquement en fonction de l'évolution rapide de la taille et des demandes de l'infrastructure des conteneurs, garantissant ainsi la sécurité et la bande passante pour les opérations commerciales.

Les outils de sécurité réseau comprennent Calico, Flannel, les plugins CNI (par exemple, Istio, Cilium), Kubernetes NetworkPolicy et Prisma Cloud. Prisma Cloud s'intègre aux plateformes d'orchestration de conteneurs comme Kubernetes pour assurer la détection des menaces sur le réseau. Il sécurise le trafic est-ouest entre les conteneurs et empêche les mouvements latéraux non autorisés au sein de votre environnement.

Moteurs politiques

Les outils modernes permettent aux équipes de sécurité du cloud de définir des politiques qui déterminent essentiellement qui et quoi est autorisé à accéder à un microservice donné. Les organisations ont besoin d'un cadre pour définir ces politiques et s'assurer qu'elles sont maintenues de manière cohérente dans un environnement d'applications conteneurisées hautement distribué.

Parmi les moteurs de politiques populaires, citons Cilium, OPA Gatekeeper, Neutrino, Kubernetes Network Policy API et Prisma Cloud. Prisma Cloud applique des politiques de sécurité à l'ensemble de vos déploiements de conteneurs, notamment le contrôle d'accès au réseau, la limitation des ressources et la signature des images. Cela garantit une posture de sécurité cohérente et la conformité avec les normes de votre organisation.

Choisir les bonnes solutions

Lorsque vous choisissez une solution pour sécuriser votre environnement conteneurisé, tenez compte des besoins de votre organisation et des zones de risque. Avez-vous besoin d'une détection avancée des menaces, d'une gestion de la vulnérabilité ou d'une application stricte des politiques ? Évaluer l'intégration avec vos outils et votre infrastructure existants. L'intégration transparente avec les pipelines de développement, les plateformes d'orchestration et les systèmes SIEM change la donne.

N'oubliez pas qu'une sécurité des conteneurs efficace va au-delà des outils individuels. La mise en œuvre d'une approche par couches avec une surveillance continue, une analyse proactive, des politiques solides et une sécurité réseau fiable améliorera considérablement la résilience de votre environnement conteneurisé face aux menaces.

FAQ sur la sécurité des conteneurs