Sicurezza dei container con Sysdig Secure

A: La sicurezza dei container è il processo che prevede di implementeare controlli di sicurezza e di rispetto della compliance in ogni fase del ciclo di vita dei contenitori. Ciò significa sia effettuare la scansione delle immagini dei container nelle pipeline e nei registri CI/CD, sia garantire la sicurezza a runtime per container e host. Anche la risposta agli incidenti con dati forensi completi che catturano tutte le attività che avvengono nei container è un requisito fondamentale. I controlli della compliance consentono ai team di superare un audit in qualunque momento.

R: Proteggere i carichi di lavoro in Kubernetes significa proteggere tutti i diversi componenti del cluster. Le vulnerabilità nei pacchetti di base OS o non OS che gli sviluppatori usano per realizzare le applicazioni possono essere sfruttate. Questo richiede la scansione delle immagini e l’integrazione attraverso gli admission controllers per evitare l’utilizzo di immagini pericolose. Un altro componente da proteggere è il control plane di Kubernetes (i.e., controller manager, etcd) al quale si può accedere tramite le API di Kubernetes e che richiede il monitoraggio della sicurezza e il controllo di tutte le attività eseguite a livello di server API. Per conoscere ulteriori dettagli sulla protezione di Kubernetes, scarica la nostra checklist per la sicurezza di Kubernetes.

R: Anche quando esegui i container, devi assicurarti che le configurazioni dell’host siano sicure (restrizione e autorizzazione degli accessi, comunicazioni cifrate, ecc.). Consigliamo di usare lo strumento di controllo Docker per verificare le best-practice di configurazione. Devi inoltre mantenere il tuo sistema sempre aggiornato e utilizzare sistemi minimali incentrati sui container per ridurre la superfice di attacco. Puoi trovare maggiori informazioni qui: 7 vulnerabilità per la sicurezza di Docker.

R: La sicurezza dei container AWS richiede di implementare un processo di sicurezza in grado di coprire ogni fase del ciclo di vita dei container. Questo include automatizzare la scansione delle immagini a livello di registro con Amazon ECR, e a livello di pipeline CI/CD con strumenti quali AWS CodeBuild e CodePipeline La sicurezza a runtime in produzione su EKS ed ECS rileva e blocca le vulnerabilità zero-day e minacce quali tentativi di escalation dei privilegi. Implementare l’individuazione delle minacce con AWS CloudTrail e Falco permette di rilervare modifiche sospette ai permessi utiente di AWS, ai bucket S3, alle chiavi di accesso, ecc. I controlli di compliance dell’infrastruttura AWS e del ciclo di vita dell’applicazione sono fondamentali per il rispetto degli standard normativi di conformità. E, infine, registrare l’attività dei container in modo dettagliato ti aiuterà a capire gli eventi e a condurre indagini forensi anche dopo la distruzione dei container

R: OpenShift offre una piattaforma per container sicura e di livello enterprise. Sysdig aumenta i controlli per la sicurezza dei container integrati in OpenShift con una più ampia scansione delle immagini, sicurezza a runtime e dati forensi dei contenitori, per ridurre i rischi legati all’uso di container in ambienti mission-critical

R: Per proteggere i container in Google Cloud in uso su servizi quali GKE e Cloud Run, è necessario proteggere il ciclo di vita del container in tutte le sue fasi. Ciò significa scansionare automaticamente le immagini a livello di registro con GCR, ma anche le pipeline CI/CD con strumenti quali Google Cloud Build. La sicurezza a runtime in produzione su GKE e Cloud Run rileva e blocca le vulnerabilità ezero-day e le minacce come i tentativi di escalation dei privilegi. I controlli di compliance dell’infrastruttura Google Cloud e del ciclo di vita dell’applicazione sono fondamentali per il rispetto degli standard normativi di conformità. E, infine, registrare l’attività dei container in modo dettagliato ti aiuterà a capire gli eventi e a condurre indagini forensi anche dopo la distruzione dei container.