Azure Konteyner Güvenliği Nedir?

Azure konteynerları güvenli hale getirilirken göz önünde tutulması gereken bazı hususlar:

Tüm konteynerlarda olduğu gibi, Azure konteynarlarında da imajların güvenliğini sağlamak, atabileceğiniz en önemli güvenlik adımlarından biridir. Konteynerlar, depolama alanlarında saklanan imajlardan oluşturulur. Her imajın, ayrı ayrı güvenlik açıkları içerebilen ve muhtemelen tehlikeye atılabilecek birden çok yazılım katmanı vardır. Geliştirme ortamında yalnızca onaylanmış konteyner imajlarına izin vererek siber saldırganlar için saldırı yüzeyini büyük ölçüde azaltırsınız. Onaylanmamış konteyner imajlarının kullanımını izleyecek ve önleyecek açık süreçlere ve araçlara sahip olmak önemlidir.

Konteynerlerin çevreye akışını kontrol etmek için başka bir seçenek de imaj imzalama veya parmak izi almaktır. Bu, konteynerların ve konteyner imajlarının bütünlüğünü doğrulamanıza olanak tanıyan bir gözetim zinciri sağlayabilir. Herhangi bir imajı kayıt defterine göndermeden önce, kapsayıcı geliştirme tamamlandıktan sonra son bir değerlendirme olarak konteynerlar üzerinde bir güvenlik açığı taraması yapmak çok önemlidir.

En az ayrıcalık, Azure konteynerlarına da uygulanması gereken temel bir güvenlik en iyi uygulamasıdır. İmajlar veya çekirdekler aracılığıyla bir güvenlik açığından yararlanıldığında bu, saldırgana birkaç küme ve bölgeye erişim ve hatta potansiyel olarak ayrıcalıklar verir. Konteynerların, işin yapılması için gereken en düşük ayrıcalıklarla ve erişimle çalışmasını sağlamak, riske maruz kalmayı azaltır.

Bir çalışanın işleri devretmesi veya şirketten ayrılması durumunda, gereksiz ayrıcalıkları kaldırarak, konteynerlara karşı meydana gelebilecek saldırı yüzeyini azaltırsınız. Ayrıca konteyner çalışma zamanından gereksiz veya kullanılmayan ayrıcalıkları veya işlemleri kaldırarak olası saldırı yüzeyini azaltabilirsiniz.

Azure konteynerları, genel veya özel bir kayıt defterinde depolanan imajlardan oluşturulur. Genel kayıtlardan imajları almak daha kolay görünse de güvenliği garanti etmez. Yukarıda bahsedildiği gibi, kapsayıcı görüntüleri birden çok yazılım katmanına sahiptir ve her katmanın güvenlik açıkları olabilir.

Genel bir kayıt defterindeki imajlara, özel bir kayıt defterindeki imajlara göre kötü amaçlı yazılım eklenmiş olma olasılığı daha yüksektir. Özel kayıtlardaki imajların uygun şekilde taranması daha olasıdır ve daha az risk oluşturur. Özel kayıtlar yönetilir ve daha fazla yönetişim ve güvenlik sağlayan rol tabanlı erişim kontrolleri içerir. Özel konteyner imaj kayıtlarının bazı örnekleri arasında Azure Container Registry, Docker Trusted Registry veya Cloud Native Computing Foundation'dan açık kaynaklı Harbour projesi yer alır.

Tüm bilgisayarlar donanım parçalarının üzerine inşa edilmiştir. İşletim sistemine gömülü bir yazılım parçası olan çekirdek, donanımın ve sistemin geri kalanının etkileşime girebilmesi için bir köprü görevi görür. Konteynerlar, sanal makinelerin aksine, paylaşılan bir çekirdeğe ek olarak hizmetler genelinde açık ağ trafiğine sahiptir. Ana bilgisayar işletim sistemi çekirdeğini paylaşma yeteneği, konteynerların en büyük avantajlarından biridir. Bununla birlikte, aynı zamanda büyük bir güvenlik endişesi kaynağıdır.

Çalışma zamanı sırasında çekirdek ve konteynerlar arasında çok fazla yalıtım yoktur. Bu, paylaşılan işletim sistemi çekirdeğinde bulunan bir güvenlik açığının daha sonra konteynerlardan yararlanmak veya bunlara erişim sağlamak için kullanılabileceği anlamına gelir. Saldırganlar, yalnızca bellek içi çekirdek verilerini değiştirerek herhangi bir kötü amaçlı kod enjekte etmeden işletim sisteminin çalışma davranışlarını değiştirebilir.