Bagaimana Imej Docker Berniat Jahat Masuk ke Dipercayai PipelineTidak disedari
Daftar Docker ialah teras bagi sebarang aliran kerja kontena. Ia menyimpan, mengedarkan dan mensaj imej. Tetapi jika dibiarkan terdedah atau dikawal secara longgar, penyerang boleh menyuntik imej Docker yang berniat jahat terus ke dalam pipelines.
Bagaimana ia berlaku:
- Dasar tarik terbuka: A pipeline menarik myorg/base: terkini tanpa mengesahkan sumber atau integriti
- Akaun terjejasPenyerang mendapat akses kepada pendaftaran kontena dan menggantikan imej yang dipercayai
- Typosquatting: Pemaju tersilap menarik myorg-base bukan myorg/base
Contoh dalam kerja GitLab CI:
Di sini, nod:terkini boleh berubah dalam sekelip mata. Jika penyerang berjaya menerbitkan diracun Terkini gambar, ia ditarik secara automatik. Versi selamat:
Mengunci imej kepada versi tertentu menghalang hanyutan senyap. Imej Docker yang berniat jahat hanya boleh masuk jika anda mempercayai "terkini" secara membuta tuli.
Mengapa Tidak Semua Pendaftaran Docker Selamat Secara Lalai
Bukan semua pendaftaran Docker menguatkuasakan tetapan lalai yang kuat. Pembangun sering mempercayai sumber awam tanpa mengesahkan asal usulnya. Risiko termasuk:
- Tarikan yang tidak disahkan daripada daftar kontena awam
- Imej yang tidak ditandatangani tanpa bukti siapa yang membinanya
- Pendaftaran pihak ketiga dengan dasar yang lemah, yang membawa kepada imej asas yang diubah suai
Contoh tingkah laku tidak selamat:
Bahaya: Anda tidak tahu siapa yang membinanya, bila, atau apa yang ada di dalamnya. Pendekatan yang lebih selamat:
Sentiasa sahkan penerbit, semak integriti kriptografi dan lebih suka daftar rasmi yang dipercayai. Dengan mengandaikan setiap daftar Docker selamat secara lalai, ia akan mewujudkan titik buta rantaian bekalan.
Menguatkuasakan Asal-usul Imej dengan Tandatangan dan Kawalan Akses
Untuk mencegah imej Docker yang berniat jahat, pasukan DevSecOps mesti menguatkuasakan asal-usul imej. Ini bermakna mengesahkan kesahihan sebelum sebarang imej memasuki pembangunan, pementasan atau pengeluaran. Amalan terbaik termasuk:
- Tandatangan imejGunakan Docker Content Trust atau Sigstore untuk menandatangani imej
- Dasar-dasar RBAC: Hadkan siapa yang boleh menolak atau menarik daripada daftar kontena
PengakuanMemerlukan metadata yang membuktikan bagaimana dan di mana imej dibina. Contoh dengan Docker Content Trust:
Dengan kepercayaan diaktifkan, imej yang tidak ditandatangani akan ditolak. Digabungkan dengan RBAC, ini menghalang pengguna penyangak daripada memasukkan binaan beracun ke dalam pendaftaran Docker anda.
Mengautomasikan Semakan Keselamatan Imej dalam CI/CD Pipelines
Pengesahan manual tidak boleh diskala. Pemeriksaan keselamatan mesti diautomasikan untuk menyekat imej Docker yang berniat jahat sebelum ia merebak.
Teknik:
- Enjin dasarAlat seperti OPA Gatekeeper menguatkuasakan pendaftaran dan tag yang dibenarkan
- Pengimbas kerentanan: Analisis imej secara automatik untuk CVE yang diketahui
- Pipeline pengawalBlok akan digunakan jika imej tidak memenuhi keperluan tandatangan atau imbasan.
CI/CD Contoh
Senarai Semak Mini untuk Pembangun (CI/CD Keselamatan Pendaftaran)
- Jangan sekali-kali menggunakan Terkini tag dalam pengeluaran pipelines
- Tarik hanya daripada pendaftaran Docker yang dipercayai
- Kuatkuasakan tandatangan kriptografi untuk setiap imej
- Imbas imej semasa bina dan gunakan
- Sekat imej yang tidak ditandatangani atau tidak diimbas secara automatik
Pemeriksaan automatik memastikan penyerang tidak dapat menyelinap masuk imej Docker yang berniat jahat sementara pembangun sedang giat membuat pengekodan.
Membina Strategi Pendaftaran Docker Selamat dengan Prinsip DevSecOps
Daftar Docker yang diperkeras adalah lebih daripada sekadar sistem storan; ia adalah sebahagian daripada sempadan keselamatan anda. Amalan teras:
- Hadkan operasi tolak/tarik kepada akaun yang dipercayai sahaja
- Segmen daftar mengikut persekitaran (pembangunan, pementasan, produk)
- Dayakan pembalakan audit untuk setiap tindakan pendaftaran
- Bersihkan imej yang tidak digunakan secara berkala untuk mengurangkan permukaan serangan
Daftar kontena yang diselaraskan dengan Prinsip DevSecOps memastikan setiap imej bergerak melalui pipeline dikawal, boleh dikesan dan dijamin keselamatannya.
Penyelesaian seperti Xygeni meningkatkannya dengan memantau pendaftaran dan pipelines untuk imej yang tidak dibenarkan atau diusik. Mereka menguatkuasakan guardrails jadi hanya imej yang disahkan sahaja yang akan digunakan untuk pelaksanaan.
Mengunci Pendaftaran Docker Anda
Daftar Docker anda adalah sebahagian daripada permukaan serangan anda. Jika penyerang menyelinap masuk imej Docker yang berniat jahat, CI/CD pipeline boleh menjadi sistem penghantaran untuk muatan mereka. Kesimpulan untuk pembangun adalah jelas:
- Jangan percaya tetapan lalai: sahkan setiap sumber imej
- Pin versi dan elakkan Terkini
- Automatikkan imbasan dan kuatkuasakan dasar tandatangan
- Anggap pendaftaran kontena anda sebagai infrastruktur kritikal
Mengintegrasikan keselamatan pendaftaran ke dalam aliran kerja DevSecOps anda mengurangkan risiko binaan beracun yang merebak secara senyap melalui persekitaran. Alat seperti Xygeni menjadikan ini praktikal dengan memberikan keterlihatan ke dalam risiko pendaftaran tersembunyi, menguatkuasakan dasar dan mengesan imej yang diubah suai sebelum ia disiarkan secara langsung. Mengunci pendaftaran Docker anda bukan sekadar tentang storan; ia juga tentang mengawal keseluruhan rantaian bekalan kontena anda. Pembangun yang menganggap pendaftaran sebagai sempadan keselamatan akan menghentikan penyerang sebelum ia mencapai masa jalan.
