दुर्भावनापूर्ण डॉकर इमेजेस विश्वसनीय डेटाबेसमध्ये कशा प्रवेश करतात Pipelineदुर्लक्षित
डॉकर रजिस्ट्री ही कोणत्याही कंटेनरयुक्त कार्यप्रवाहाचा (workflow) गाभा आहे. ती इमेजेस साठवते, वितरित करते आणि त्यांच्या आवृत्त्या (versions) तयार करते. परंतु, जर ती असुरक्षित राहिली किंवा तिच्यावर नियंत्रण ढिसाळ असेल, तर हल्लेखोर थेट तिच्यामध्ये दुर्भावनापूर्ण डॉकर इमेजेस टाकू शकतात. pipelines.
हे कसे होते:
- ओपन पुल पॉलिसी: ए pipeline स्वेटर myorg/base: नवीनतम स्रोत किंवा सत्यतेची पडताळणी न करता
- तडजोड केलेली खातीहल्लेखोर कंटेनर रजिस्ट्रीमध्ये प्रवेश मिळवतात आणि विश्वसनीय इमेजेस बदलतात.
- टायपोस्वॅटिंगडेव्हलपर्स चुकून खेचतात मायऑर्ग-बेस ऐवजी मायऑर्ग/बेस
GitLab CI जॉबमधील उदाहरण:
येथे, नोड:नवीनतम रातोरात बदलू शकते. जर एखाद्या हल्लेखोराने प्रकाशित करण्यात यश मिळवले तर विषबाधा नवीन प्रतिमाते आपोआप खेचले जाते. सुरक्षित आवृत्ती:
इमेजेसना एका विशिष्ट आवृत्तीवर लॉक केल्याने नकळत होणारे बदल टाळता येतात. जर तुम्ही ‘latest’ वर आंधळेपणाने विश्वास ठेवला, तरच एखादी दुर्भावनापूर्ण डॉकर इमेज प्रवेश करू शकते.
सर्व डॉकर रजिस्ट्री मुळातच सुरक्षित का नसतात
प्रत्येक डॉकर रजिस्ट्री कठोर डीफॉल्ट्सची अंमलबजावणी करत नाही. डेव्हलपर्स अनेकदा स्रोताची पडताळणी न करता सार्वजनिक स्त्रोतांवर विश्वास ठेवतात. जोखमींचा समावेश होतो:
- अप्रमाणित खेचणे सार्वजनिक कंटेनर नोंदणींमधून
- स्वाक्षरी नसलेल्या प्रतिमा ते कोणी बांधले याचा कोणताही पुरावा नाही
- तृतीय-पक्ष नोंदणी कमजोर धोरणांमुळे, मूळ प्रतिमांमध्ये फेरफार होतो.
असुरक्षित वर्तनाचे उदाहरण:
धोका हा आहे की, ते कोणी, केव्हा बांधले किंवा त्याच्या आत काय आहे, हे तुम्हाला माहीत नसते. अधिक सुरक्षित पद्धत:
प्रकाशकाची नेहमी पडताळणी करा, क्रिप्टोग्राफिक अखंडता तपासा आणि विश्वसनीय अधिकृत रजिस्ट्रींना प्राधान्य द्या. प्रत्येक डॉकर रजिस्ट्री मुळातच सुरक्षित आहे असे गृहीत धरल्याने पुरवठा साखळीत अंधत्व निर्माण होते.
स्वाक्षरी आणि प्रवेश नियंत्रणाद्वारे प्रतिमेच्या उत्पत्तीची अंमलबजावणी करणे
दुर्भावनापूर्ण डॉकर इमेजेसना प्रतिबंध घालण्यासाठी, DevSecOps टीम्सनी इमेजच्या उत्पत्तीची अंमलबजावणी करणे आवश्यक आहे. याचा अर्थ, कोणतीही इमेज dev, staging, किंवा production मध्ये दाखल होण्यापूर्वी तिची सत्यता पडताळणे. सर्वोत्तम पद्धतींमध्ये हे समाविष्ट आहे:
- प्रतिमा स्वाक्षरीइमेजेसवर सही करण्यासाठी डॉकर कंटेंट ट्रस्ट किंवा सिगस्टोअरचा वापर करा.
- आरबीएसी धोरणेकंटेनर रजिस्ट्रीमधून कोण पुश किंवा पुल करू शकते यावर मर्यादा घाला.
प्रमाणनप्रतिमा कशी आणि कोठे तयार केली गेली हे सिद्ध करणारा मेटाडेटा आवश्यक आहे. डॉकर कंटेंट ट्रस्टचे उदाहरण:
ट्रस्ट सक्षम केल्यावर, स्वाक्षरी नसलेल्या इमेजेस नाकारल्या जातात. RBAC सोबत, हे अनधिकृत वापरकर्त्यांना तुमच्या डॉकर रजिस्ट्रीमध्ये दूषित बिल्ड्स टाकण्यापासून प्रतिबंधित करते.
प्रतिमा सुरक्षा तपासणी स्वयंचलित करणे CI/CD Pipelines
मॅन्युअल पडताळणी मोठ्या प्रमाणावर करता येत नाही. दुर्भावनापूर्ण डॉकर इमेजेस पसरण्यापूर्वीच त्यांना रोखण्यासाठी सुरक्षा तपासण्या स्वयंचलित केल्या पाहिजेत.
तंत्रे:
- धोरण इंजिनOPA गेटकीपर सारखी साधने अनुमत रजिस्ट्री आणि टॅगची अंमलबजावणी करतात.
- भेद्यता स्कॅनरज्ञात CVE साठी प्रतिमांचे स्वयंचलितपणे विश्लेषण करा
- Pipeline रक्षकजर इमेज सिग्नेचर किंवा स्कॅनच्या आवश्यकता पूर्ण करत नसेल, तर डिप्लॉयमेंट ब्लॉक केले जाते.
CI/CD उदाहरण
विकसकांसाठी छोटी तपासणी सूचीCI/CD नोंदणी सुरक्षा)
- कधीही वापरू नका नवीन उत्पादनातील टॅग pipelines
- केवळ विश्वसनीय डॉकर रजिस्ट्रीमधूनच पुल करा.
- प्रत्येक प्रतिमेसाठी क्रिप्टोग्राफिक स्वाक्षरी अनिवार्य करा
- बिल्ड आणि डिप्लॉय करताना इमेजेस स्कॅन करा.
- स्वाक्षरी नसलेल्या किंवा स्कॅन न केलेल्या प्रतिमा आपोआप ब्लॉक करा.
तपासण्या स्वयंचलित केल्याने, डेव्हलपर कोडिंगमध्ये मग्न असताना हल्लेखोर एखादी दुर्भावनापूर्ण डॉकर इमेज घुसडू शकत नाहीत याची खात्री होते.
DevSecOps तत्त्वांसह सुरक्षित डॉकर रजिस्ट्री धोरण तयार करणे
एक सुरक्षित डॉकर रजिस्ट्री ही केवळ एक स्टोरेज सिस्टीम नाही; ती तुमच्या सुरक्षा सीमेचा एक भाग आहे. मुख्य पद्धती:
- पुश/पुल ऑपरेशन्स फक्त विश्वसनीय खात्यांपुरतेच मर्यादित ठेवा
- पर्यावरणानुसार (डेव्ह, स्टेजिंग, प्रॉड) रजिस्ट्रींचे विभाजन करा
- प्रत्येक रजिस्ट्री क्रियेसाठी ऑडिट लॉगिंग सक्षम करा
- हल्ल्याची शक्यता कमी करण्यासाठी न वापरलेल्या प्रतिमा नियमितपणे स्वच्छ करा.
याच्याशी संरेखित कंटेनर रजिस्ट्री डेव्हसेकऑप्स तत्त्वे प्रत्येक हलणाऱ्या प्रतिमेची खात्री करते pipeline नियंत्रित, शोधण्यायोग्य आणि सुरक्षित आहे.
सोल्युशन्स आवडतात झायगेनी नोंदणींचे सतत निरीक्षण करून यात वाढ करा आणि pipelineअनधिकृत किंवा फेरफार केलेल्या प्रतिमांसाठी ते अंमलबजावणी करतात. guardrails त्यामुळे केवळ सत्यापित इमेजेसच डिप्लॉयमेंटमध्ये समाविष्ट होतात.
तुमची डॉकर रजिस्ट्री सुरक्षित करणे
तुमची डॉकर रजिस्ट्री ही तुमच्या हल्ल्याच्या संभाव्य धोक्याचा एक भाग आहे. जर हल्लेखोरांनी दुर्भावनापूर्ण डॉकर इमेजेस घुसडल्या, तर तुमची... CI/CD pipeline त्यांच्या मालवाहतुकीसाठी वितरण प्रणाली बनू शकतात. विकसकांसाठी महत्त्वाचे मुद्दे स्पष्ट आहेत:
- डीफॉल्टवर विश्वास ठेवू नका: प्रत्येक इमेज सोर्सची पडताळणी करा.
- आवृत्त्या पिन करा आणि टाळा नवीन
- स्कॅन स्वयंचलित करा आणि स्वाक्षरी धोरणे लागू करा
- तुमच्या कंटेनर रजिस्ट्रीला महत्त्वपूर्ण पायाभूत सुविधा माना.
तुमच्या DevSecOps वर्कफ्लोमध्ये रजिस्ट्री सुरक्षेचा समावेश केल्याने, दूषित बिल्ड्स पर्यावरणांमध्ये नकळतपणे पसरण्याचा धोका कमी होतो. Xygeni सारखी साधने लपलेल्या रजिस्ट्री धोक्यांची माहिती देऊन, धोरणांची अंमलबजावणी करून आणि छेडछाड केलेल्या इमेजेस लाइव्ह होण्यापूर्वीच शोधून हे शक्य करतात. तुमची डॉकर रजिस्ट्री सुरक्षित करणे हे केवळ स्टोरेजपुरते मर्यादित नाही; तर ते तुमच्या संपूर्ण कंटेनर पुरवठा साखळीवर नियंत्रण ठेवण्याबद्दल आहे. जे डेव्हलपर्स रजिस्ट्रीला एक सुरक्षा सीमा मानतात, ते हल्लेखोरांना रनटाइमपर्यंत पोहोचण्यापूर्वीच रोखतात.
