La importancia de la seguridad de los contenedores
Dado que los contenedores ofrecen una forma flexible y portátil de ejecutar aplicaciones, se han convertido en una solución popular para implementar software. Sin embargo, los contenedores también introducen nuevas capas en las canalizaciones de entrega de software y las pilas de alojamiento, tales como:
- Repositorios de imágenes de contenedores, que alojan imágenes de contenedor (es decir, archivos estáticos que almacenan los archivos ejecutables para contenedores) y los ponen a disposición para su descarga.
- Tiempos de ejecución de contenedores, como Docker, que ejecutan contenedores en ejecución basados en imágenes.
- Herramientas de orquestación de contenedores, como Kubernetes, que gestionan contenedores que se ejecutan en una infraestructura distribuida.
Estos componentes agregan complejidad a los entornos de software y aumentan su superficie de ataque. La seguridad de los contenedores es importante para garantizar que las organizaciones cuenten con las defensas para proteger estos componentes contra riesgos y amenazas y, al mismo tiempo, defender otros recursos, como los sistemas operativos que se ejecutan en servidores que alojan contenedores, que existen tanto en entornos de alojamiento en contenedores como no contenerizados.
Desafíos de la seguridad de contenedores
Además del hecho de que la seguridad de los contenedores requiere administrar una superficie de ataque más grande, la seguridad de los contenedores es un desafío porque los contenedores restringen la visibilidad directa que los desarrolladores, ingenieros de TI y analistas de seguridad tienen sobre las cargas de trabajo. Como resultado, detectar y reaccionar a las amenazas puede ser más desafiante.
Por ejemplo, si los analistas realizan un monitoreo de seguridad basado únicamente en las métricas y registros disponibles en el sistema operativo que aloja los contenedores, es posible que no detecten actividad anómala dentro de un contenedor porque las métricas y los registros producidos por los propios contenedores generalmente no son administrados por el sistema operativo. Para obtener visibilidad de lo que sucede dentro de cada contenedor, los ingenieros necesitan herramientas de seguridad que sean capaces de romper la capa de abstracción que separa los contenedores de sus servidores host.
Componentes de la seguridad del contenedor
No todos los entornos en contenedores incluyen los mismos tipos de herramientas. Por ejemplo, es posible ejecutar contenedores sin usar un orquestador. Esto significa que los componentes de la seguridad de contenedores pueden variar según las herramientas y plataformas específicas que utilice un equipo para administrar sus contenedores.
Dicho esto, en la mayoría de los casos, la seguridad del contenedor incluye los siguientes componentes clave:
Seguridad del Registro
Si los atacantes violan el registro que aloja las imágenes de los contenedores, podrían insertar código malicioso en ellos, lo que a su vez propagará malware a cualquier entorno que ejecute contenedores basados en imágenes contaminadas.
Para protegerse contra este riesgo, los ingenieros deben implementar estrictos controles de acceso que impidan el acceso no autorizado al contenido de los registros de contenedores. También deben monitorear los registros para detectar patrones de acceso inusuales que podrían ser un signo de actividad maliciosa.
Seguridad en tiempo de ejecución
Los atacantes pueden aprovechar la vulnerabilidad en los tiempos de ejecución de los contenedores para tomar el control de los contenedores y posiblemente incluso de los servidores que los alojan. Las organizaciones pueden gestionar este riesgo asegurándose de administrar la seguridad del contenedor Docker (o la seguridad del tiempo de ejecución que utilicen) manteniendo el software de tiempo de ejecución del contenedor parcheado y actualizado.
Seguridad del medio ambiente
La configuración del entorno que los administradores aplican cuando ejecutan contenedores puede tener implicaciones de seguridad. Por ejemplo, ejecutar contenedores como root generalmente no es una práctica óptima porque les otorga permisos elevados que aumentan el daño potencial causado por una violación. Asegurar la configuración que se aplica a los entornos en los que alojan contenedores es un componente esencial de la seguridad del contenedor.
Seguridad de la orquestación
Para cargas de trabajo en contenedores que utilizan orquestadores, como Kubernetes, es fundamental mantener la plataforma de orquestación libre de vulnerabilidades conocidas. Además, los administradores deben seguir las mejores prácticas al configurar y administrar el orquestador para defenderse de las amenazas. En la seguridad de contenedores de Kubernetes, por ejemplo, los administradores deben utilizar el marco de control de acceso basado en roles (RBAC) integrado para restringir el acceso a los recursos.
Seguridad del almacenamiento
Las aplicaciones en contenedores con estado dependen de los recursos de almacenamiento. Proteger los datos alojados en ese almacenamiento de información es otro componente importante de la seguridad del contenedor.
Seguridad de la Red
Los contenedores dependen del rojo para comunicarse entre sí y para aceptar y recibir solicitudes externas. Por lo tanto, los ingenieros deben proteger tanto el rojo interno como el externo asegurándose de que estén configurados correctamente, así como monitoreándolos para detectar actividades inusuales.
Tipos de seguridad de contenedores: Docker, Kubernetes, AKS, GKE, EKS
Dependiendo de dónde se alojen los contenedores, es posible que estén disponibles ciertas soluciones o prácticas adicionales de seguridad de contenedores.
Por ejemplo, los equipos que utilizan Docker pueden administrar algunos aspectos de la seguridad del contenedor Docker a través del escáner de seguridad integrado de la plataforma para detectar dependencias maliciosas dentro de las imágenes de contenedores. En Kubernetes, el marco RBAC nativo puede ayudar a proteger las cargas de trabajo en contenedores.
De manera similar, al ejecutar contenedores a través de un servicio administrado como Azure Kubernetes Service (AKS), Google Kubernetes Engine (GKE) o Elastic Kubernetes Service (EKS), las organizaciones pueden optar por aprovechar las herramientas de seguridad integradas en las plataformas de cada uno. proveedor de servicios en la nube para ayudar a monitorear y proteger sus cargas de trabajo.
Características de las soluciones de seguridad de contenedores
Las soluciones de seguridad de contenedores que un equipo utiliza para proteger contenedores deben proporcionar las siguientes características principales:
- Soporte para proteger los registros de imágenes de contenedores contra el acceso malicioso.
- La capacidad de escanear imágenes de contenedores en busca de contenido malicioso o vulnerable o dependencias.
- Validación de las configuraciones del entorno del contenedor para proteger contra errores o descuidos que pueden aumentar el riesgo de una violación.
- Monitoreo de contenedores en ejecución, así como de los recursos de red y almacenamiento con los que interactúan, para detectar actividad anómala que pueda indicar un ataque.
- Cuando sea relevante, escaneo y auditoría del orquestador de contenedores para defenderse de los riesgos de seguridad.
Prácticas recomendadas
de la seguridad de contenedores
Para la mayoría de las cargas de trabajo en contenedores, las siguientes prácticas recomendadas pueden ayudar a minimizar el riesgo de ataque y maximizar la capacidad de un equipo para detectarlo:
Enforce Least Privilege
Los administradores deben seguir el principio de privilegio mínimo al configurar los componentes dentro de una pila de alojamiento en contenedores. El privilegio mínimo significa restringir los permisos al nivel más bajo necesario.
Confíe en imágenes confiables
Evite descargar imágenes de contenedores de registros que no sean de confianza, que es más probable que contengan malware. Cuando sea posible, elija registros mantenidos por organizaciones bien establecidas y confiables.
Supervise todas las capas del entorno
Cuando se trata de seguridad de contenedores, escanear y monitorear solo algunas capas de un entorno no es suficiente. Las organizaciones deben monitorear continuamente todos los componentes, desde registros de contenedores e imágenes hasta entornos de tiempo de ejecución, la infraestructura subyacente y todo lo demás. El monitoreo integral maximiza la capacidad de los administradores para detectar riesgos.
Minimizar la superficie de ataque
Aunque la superficie de ataque para contenedores es inherentemente más grande que para una aplicación no contenerizada, los equipos pueden reducir su superficie de ataque asegurándose de evitar la ejecución de componentes o capas innecesarios. Por ejemplo, los contenedores que los desarrolladores lanzan con fines de prueba deben cerrarse tan pronto como se completen las pruebas.
Utilice imágenes minimalistas
Cuantos menos contenidos existan dentro de una imagen de contenedor, menor será el riesgo de vulnerabilidad. Por esa razón, prefiera imágenes minimalistas, es decir, aquellas que incluyan sólo las bibliotecas, paquetes de software y otros componentes necesarios para ejecutar una aplicación.
Seguridad de contenedores con CloudGuard Workload
La clave para una seguridad efectiva de contenedores es integrar la seguridad en cada proceso y recurso de los que dependen los contenedores. CloudGuard for Workload Protection facilita esto al proporcionar una solución integral de seguridad de contenedores que proporciona:
- Integración con el ciclo de vida de entrega de software para detectar vulnerabilidades antes de que ingresen a las imágenes del contenedor.
- Escaneo continuo de imágenes de contenedores, lo que garantiza la detección instantánea de imágenes vulnerables.
- Protección en tiempo de ejecución para defenderse contra amenazas activas.
- Seguridad del contenedor de Kubernetes para mantener segura la capa de orquestación.
- Funciones integrales de monitoreo y detección de intrusos basadas en análisis continuos de la actividad de la cuenta, operaciones del clúster y flujo de tráfico de aplicaciones.
Obtenga más información leyendo la guía Container Security o solicitando una demostración gratuita.
Comentarios