美國國家標準與技術研究院（The National Institute of Standards and Technology，NIST）日前針對應用Container這項新興技術，公告了一份安全性指導方針，列出採用Container值得注意安全性挑戰，報告總結二個安全性弱點，以及六大環節的安全對策。
高機動性是Container的優勢之一，靈活的在不同執行環境與基礎架構中移動，但這個特性也成為了安全的破口之一。通常同一個Container映像檔會在不同的環境下使用，像是開發、測試到正式上線的環境，不過在實際上情況可能會因為應用程式的可移植性以及持續交付等環境，產生不可預期的執行情境，而安全性工具將無法預測這些可能產生的安全問題的可能性。
第二個安全破口在於，Container仰賴映像檔作為建立的藍圖，當有新的映像檔版本產生時，舊的Container會被消滅，而新的Container會依造新的映像檔被建立，因此建立映像檔在管理Container工作上背負重大的責任，不過因為Container這樣的運作模式，某部分安全性的責任會落到不擅長維運的開發部門上，像是作業系統更新的補丁，或是應用程式的版本更新，開發部門都需要頻繁的重新產生映像檔，但執行環境相關的安全性議題在維運團隊通常有較豐富的經驗與專業，當執行環境與程式開發綑綁在一起，便容易產生被人忽視的安全死角。
針對這兩個因為Container特性而產生的安全性議題，NIST對可能產生安全漏洞的六環節發表安全對策建議，包括映像檔、註冊、Orchestrator、Container、Host OS以及硬體。
映像檔產生的漏洞可能來自於已知或未知的作業系統漏洞、設定上的疏忽或是惡意軟體，甚至是明碼儲存敏感資訊，然而很大的部分也來自開發團隊沒有意識到應負起安全性的責任，像是在Docker Hub上多數的基底映像檔都存在高優先度安全漏洞，如果開發團隊沒有留意，很容易將系統暴露在易受攻擊的環境中。
註冊相關的議題，可能因為過時的映像檔、不安全的連線或是權限設定不夠周延。
Orchestrators則是控制著Container的生命週期，但可能因為網路連線的品質問題，產生臭蟲或是設定未能及時產生效果，導致未預期的存取發生。
至於Container本身可能遭遇的問題，需要注意Container內惡意程式碼會突破Container的限制，感染其他Container。而每一個Host OS都有其受攻擊的弱點面，Host OS確保Container執行不受外界影響，最底層的硬體更是安全環節的最根本。
from iThome 新聞 http://ift.tt/2A6pV3Q
沒有留言:
張貼留言