La sécurité des conteneurs Azure est l’association de la réalisation d’analyses de vulnérabilité dans tout le cycle de vie des conteneurs, en utilisant uniquement des images fiables de registres privés, en limitant les privilèges et l’accès des utilisateurs, et en analysant et en surveillant toutes les activités en continu.
Microsoft Azure est l'application basée sur le cloud connaissant la croissance la plus rapide et la deuxième plus grande actuellement sur le marché. Utilisée par 95 % des entreprises du Fortune 500, Microsoft Azure est une plateforme de cloud computing qui fournit aux développeurs la liberté nécessaire pour créer, gérer et déployer les applications de n’importe où. Elle offre une immense variété de services, comprenant les machines virtuelles, l’Internet des objets et les conteneurs.
Les conteneurs Microsoft Azure fournissent aux développeurs comme aux organisations l’agilité et l’évolutivité recherchées dans un service cloud, avec les deux infrastructures nécessaires. Cependant, même s'il est bénéfique de créer des conteneurs dans Azure, ils ne fournissent pas une sécurité native intégrée. C’est au client d'assurer la sécurité de ses conteneurs Azure.
Voici quelques éléments à prendre en compte lorsque vous sécurisez vos conteneurs Azure :
Comme pour n’importe quel conteneur, la sécurisation d'images sur les conteneurs Azure est l’une des étapes de sécurité les plus importantes que vous pouvez mettre en place. Les conteneurs sont créés à partir d’images stockées dans des référentiels. Chaque image contient plusieurs couches logicielles qui peuvent, individuellement, contenir des vulnérabilités et peuvent être compromises. En n'autorisant que les images de conteneur approuvées dans votre environnement de développement, vous réduisez fortement la surface d'attaque pour les cybercriminels. Il est important d'avoir des processus et outils explicites en place, qui surveilleront et éviteront l’utilisation d'images de conteneur non approuvées.
Une autre option pour le contrôle du flux des conteneurs dans l’environnement est la signature d'image ou les empreintes digitales. Cela peut fournir une chaîne de protection qui vous permet de vérifier l’intégrité des conteneurs et les images de conteneur. Avant d’envoyer des images dans le registre, il est essentiel d’effectuer une analyse de la vulnérabilité sur les conteneurs, en évaluation finale une fois le développement de conteneur terminé.
Le moindre privilège est une bonne pratique de sécurité basique qui doit également être appliquée aux conteneurs Azure. Lorsqu’une vulnérabilité est exploitée, via des images ou des kernels, elle donne un accès aux attaquants et potentiellement même des privilèges à plusieurs clusters et régions. Le fait de vérifier que les conteneurs fonctionnent avec le moindre privilège et l'accès requis pour accomplir une tâche réduit votre exposition aux risques.
En supprimant tous les privilèges inutiles, si un collaborateur change de poste ou quitte l’entreprise, vous réduisez la surface d'attaque des conteneurs. Vous pouvez également réduire la surface d'attaque potentielle en éliminant tous les privilèges ou processus inutiles ou inutilisés de l’exécution de conteneur.
Les conteneurs Azure sont créés à partir d’images qui sont stockées dans un registre public ou privé. La récupération d'images à partir de registres publics peut sembler plus facile, mais la sécurité n’est pas garantie. Comme indiqué ci-dessus, les images de conteneur possèdent plusieurs couches de logiciels et chaque couche peut comporter des vulnérabilités.
Les images sur un registre public sont plus susceptibles de comporter des logiciels malveillants que celles figurant dans un registre privé. Les images sur des registres privés sont plus susceptibles d’être analysées correctement et présentent moins de risques. Les registres privés sont gérés et possèdent des contrôles d'accès basés sur les rôles, qui fournissent plus de gouvernance et de sécurité. Azure Container Registry, Docker Trusted Registry ou le projet open-source Harbor de la Cloud Native Computing Foundation sont quelques exemples de registres d'images de conteneurs privés.
Tous les ordinateurs sont construits à partir de pièces de matériel. Le noyau, une partie logicielle intégrée au système d’exploitation, sert de liaison afin de permettre l’interaction entre le matériel et le reste du système. Contrairement aux machines virtuelles, les conteneurs possèdent un trafic de réseau ouvert sur leurs services, ainsi qu’un noyau partagé. La capacité à partager le noyau du système d’exploitation hôte est l’un des plus grands avantages du conteneur ; cependant, elle constitue également une source importante de problèmes de sécurité.
L’isolation entre le noyau et les conteneurs est faible pendant l’exécution, ce qui signifie qu’une vulnérabilité située dans le noyau du système d’exploitation partagé peut ensuite être utilisée pour exploiter des conteneurs ou y accéder. Les attaquants peuvent manipuler les comportements d’exécution du système d’exploitation sans injecter de code malveillant, simplement en altérant les données du noyau dans la mémoire.
Grâce à leur portabilité, à leur évolutivité et à leur fiabilité, il n’est pas étonnant que la plupart des entreprises se tournent vers les conteneurs Microsoft Azure pour exécuter leurs applications. En vous assurant d’effectuer des analyses de vulnérabilité tout au long des cycles de vie de conteneur, et de surveiller et consigner toute l’activité, vous avez l’assurance que vos conteneurs Azure sont sécurisés.
Recherches associées
Articles associés