Wenn du dein denkst docker-compose.yml ist nur Infrastrukturkleber, denken Sie noch einmal darüber nach. Diese Dateien werden oft unbeabsichtigt zu Speicherorten für Geheimnisse, fest codierte Anmeldeinformationen, API-Token und Umgebungsvariablen, die ihren Weg in die Versionskontrolle finden. Einmal mit GitHub oder einem anderen Repo synchronisiert, können diese Geheimnisse für immer in commit Info.
Entwickler behandeln oft docker-compose.yml als nicht vertrauliche Datei, wobei übersehen wird, dass sie als AngriffsvektorEin kleines Leck kann hier den Zugriff auf private Dienste, interne APIs oder die gesamte Infrastruktur bedeuten. Das sind die Arten von Docker-Compose-Geheimnissen, nach denen Angreifer suchen.
Häufige Wege, auf denen Docker-Compose-Geheimnisse durchsickern Docker-Compose.yml
Hier sind einige alltägliche Fehler, die Entwickler machen:
1. Anmeldeinformationen direkt fest codieren
services:
db:
image: postgres
environment:
POSTGRES_USER: admin
POSTGRES_PASSWORD: supersecret123
Das Passwort in diesem docker-compose.yml ist nun Teil Ihrer Git-Historie. Schlimmer noch, es könnte auch in der Produktion verwendet werden. Dies ist eine der direktesten Formen von Docker-Compose-Geheimnissen Belichtung.
2. Kopieren und Einfügen aus freigegebenen Konfigurationen oder StackOverflow
Schlechte Praktiken verbreiten sich schnell. Das Kopieren unsicherer Beispiele und deren unveränderte Verwendung führt dazu, dass Geheimnisse in jeder Umgebung auftauchen, von der Entwicklung bis zur Produktion.
3. Montage .env Dateien direkt, ohne sie zu sichern
env_file: – .env
.env Dateien enthalten oft API-Schlüssel oder Anmeldeinformationen, und Entwickler vergessen, sie hinzuzufügen .gitignore. Dadurch werden Geheimnisse sichtbar, wenn das Repo öffentlich oder freigegeben ist. Diese werden indirekt zu Docker Compose-Geheimnissen, wenn darauf verwiesen wird.
Die tatsächliche Wirkung von Docker-Compose-Geheimnissen in CI/CD
In CI/CD pipelines, kompromittierte Geheimnisse aus einem docker-compose.yml können:
- Auslösen nicht autorisierter Builds
- Zugriff auf Staging- oder Produktionsdienste beschränkt
- Schadcode in Bereitstellungen einschleusen
- Hintertüren durch laterale Bewegung öffnen
Angreifer scannen öffentliche GitHub-Repos suchen docker-compose.yml Dateien mithilfe von GitHub-Dorks oder automatisierten Tools. Sobald sie Geheimnisse finden, können sie sich als CI-Runner ausgeben, Cloud-Credits missbrauchen oder, schlimmer noch, Ransomware in Lieferketten einsetzen. Diese Docker Compose-Geheimnisse stellen eine ernste und oft übersehene Schwachstelle.
Geheimnisse sicher erkennen und verwalten
Verwenden Sie Scan-Tools:
- TrüffelSchwein, Gitleaksden Xygeni kann Geheimnisse in Ihrem Repo erkennen, einschließlich alter commits.
- Führen Sie Scans in Ihrem CI durch pipeline um PRs mit Geheimnissen zu blockieren.
Ersetzen Sie direkte Geheimnisse durch Umgebungsvariablen:
Leistungen:
App:
Bild: myapp
Umgebung:
DB_PASSWORD: ${DB_PASSWORD}
Verwenden Sie einen Geheimnismanager zum Einfügen DB_PASSWORT zur Laufzeit, halten Sie es aus Ihrem docker-compose.yml. Dieser Ansatz trägt dazu bei, die Risiken der Docker Compose-Geheimnisse zu mindern.
Integrieren Sie geheime Manager:
Tools wie Vault, AWS Secrets Manager oder Doppler handhaben Geheimnisse sicher und stellen Rotationsrichtlinien bereit.
Best Practices für Entwickler in DevSecOps, um die Offenlegung von Docker-Compose-Geheimnissen zu vermeiden
- Niemals Geheimnisse fest kodieren in docker-compose.yml.
- Speichern .env zu .gitignore, immer.
- Arbeiten jederzeit weiterbearbeiten können. Jede Präsentation und jeder KI-Avatar, den Sie von Grund auf neu erstellen oder hochladen, geheime Scan-Tools in Ihrem lokalen Entwickler und CI/CD pipeline.
- Überprüfen von Compose-Dateien als Teil Ihrer Sicherheits-PR-Checkliste.
- Automatisieren Sie die geheime Rotation, insbesondere für Token und Service-Anmeldeinformationen.
- Überprüfen Sie die Kompositionsbeispiele von Drittanbietern bevor Sie sie in Ihre Codebasis kopieren.
- Behandeln Sie alle vertraulichen Daten in diesen Dateien als Docker Compose-Geheimnisse und verwalten Sie sie entsprechend.
Ihre Docker-Compose.yml Könnte Ihr größter Sicherheitsblindpunkt sein
Ihre docker-compose.yml ist mehr als nur Konfiguration; es ist Teil der Angriffsfläche Ihrer Anwendung. Behandeln Sie es wie Code. Geheimnisse, die sich in diesen Dateien verbergen, bergen echte Risiken, insbesondere wenn sie mit der Versionskontrolle synchronisiert und in CI/CD.
Tools wie Xygeni helfen beim Erkennen und Verwalten von Docker Compose-Geheimnissen über Codebasen hinweg und pipelines, wodurch das Risiko von Supply-Chain-Angriffen reduziert wird. Integrieren Sie es in Ihren Workflow, um Transparenz und Kontrolle darüber zu erhalten, was Ihre docker-compose.yml könnte entlarven.
