Auch Container-basierte-Systeme können angreifbar sein – deswegen gibt es vom "Bundesamt für Sicherheit in der Informationstechnik" (BSI) inzwischen einen eigenen Baustein zu diesem Thema. Für einen Kunden haben zwei Container-Experten, Markus Fensterer und Ferdinand Eckhard, der x-cellent dazu einen Workshop aufgebaut.
x-cellent-Expert-Talk-7_3

Als Basis dient der Baustein des BSI, wir betrachten das Thema aber noch wesentlich tiefer und geben Umsetzungshinweise. Dieser Workshop ist eine Beitragsreihe über die IT-Sicherheit in Container Umgebungen anhand unserer Schulung und zeigt die folgenden Bereiche auf:

  1. Intro
  2. Awareness
  3. IT-Grundschutz
  4. Gefährdungen
  5. Anforderungen
  6. Tools

Starten wollen wir mit der wichtigen Frage: Was ist bei der Security eine Besonderheit bei den Containern?
Fangen wir hier aber erst einmal mit den Gemeinsamkeiten zu anderen IT-Systemen an: Dadurch, dass der selbe Kernel für alle im Verbund betriebenen Container verwendet wird, bilden sich auch dessen Schwachstellen in die Container hinein ab. Wird Code verwendet, der nicht vertrauenswürdig ist, ist es auch in Containern möglich, Schwachstellen in einem System auszunutzen. Außerdem gibt es die gleichen Hardware-Schwachstellen, wie auf allen anderen Server-Systemen, natürlich bei Container-Systemen leider auch: Meltdown und Spectre sind hier die geläufigsten Beispiele.

Bei Containern besonders: Auch die Software zum Container-Betrieb (Docker) hat Schwachstellen - wenn auch vergleichsweise wenige. Ein weiteres Risiko entsteht durch die zwingende Verwendung von Root-Rechten für den Docker-Daemon - da dieser zum Beispiel Verzeichnisse mounten muss. An eine Lösung hierfür wird aber bereits gearbeitet. Der Container ansich kann dann wieder ohne Root-Rechte betrieben werden, und ist bei sauberer Rechteverwaltung aus dieser Richtung nicht angreifbar. Ebenfalls ist es wichtig die Richtlinien zu betrachten, die die Interaktion zwischen Container und Host beeinflussen. Wird eine Anwendung in einen Container gepackt, ist sie weiter von den Diensten des Betriebssystems abhängig. Dieses wird allerdings häufig in einer virtuellen Host-Umgebung ausgeführt, die Applikation liegt im Container. An der Schnittstelle zwischen Container und Host-Betriebssystem kann es zu Sicherheitsproblemen kommen, wenn die entsprechenden Security Policies nicht verwendet oder Leitlinien aus Security Benchmarks verletzt werden. Auch hierbei geht es wieder um die Vertrauenswürdigkeit. Die Repositories, mit denen den Entwicklungsteams Code zur Verfügung gestellt wird, um daraus Container Images zu erstellen, sind nur dann sicher, wenn sie vertrauenswürdig sind.

Mehrwert der Schulung
Da es sich bei dem Baustein SYS.1.6. Container derzeit noch um die Community Draft Version handelt, fehlen noch einige punkte für die Vollständigkeit. Deswegen haben wir den Baustein als Basis genommen für unsere Schulung ergänzt um diesen zu vervollständigen. Zusätzlich dazu haben wir unser Wissen aus Kundenprojekten genutzt, um einen starken Bezug zum Alltag zu schaffen. Desweiteren haben zeigen wir Ihnen die nötigen Tools und deren Einsatzgebiete, sowie Funktionsweisen. Unter anderem haben wir folgende Mehrwerte geschaffen:

  • Konkrete Angriffsszenarien
  • Intro und Aufbau des BSI IT-Grundschutz
  • Konkrete Maßnahmen zu den Anforderungen
  • Beispiele für das Verständnis der Texte
  • Integration der Maßnahmen in die CI-Prozesse (DevOps)
  • Konkrete Tools für die Umsetzung

Im nächsten Artikel werden wir Ihnen konkrete Angriffs-Szenarien zeigen - auch zum selber machen.