Docker is een van de meest gebruikte containerisatieplatforms en is zeer geliefd bij software-engineers. Het wordt geleverd met een krachtige CLI-tool voor het beheren van Docker-containers en andere gerelateerde taken.
Standaard heb je rootrechten nodig om Docker-gerelateerde opdrachten op Linux uit te voeren. Natuurlijk kunt u dit voor het gemak wijzigen en Docker-opdrachten uitvoeren zonder rootrechten, maar u moet zich bewust zijn van de beveiligingsimplicaties.
Wat is het Docker-aanvalsoppervlak?
Een aanvalsoppervlak is het aantal aanvalspunten, meer zoals het aantal vensters, dat een kwaadwillende gebruiker kan gebruiken om toegang te krijgen tot uw systeem en ravage aan te richten. Als vuistregel geldt dat IT-systemen een minimaal aanvalsoppervlak moeten hebben om beveiligingsrisico's te verminderen.
Over het algemeen is het aanvalsoppervlak van Docker zeer minimaal. Containers draaien in een veilige, geïsoleerde omgeving en hebben geen invloed op het besturingssysteem van de host, tenzij anders. Bovendien draaien Docker-containers slechts minimale services, wat het veiliger maakt.
U kunt uw Linux-systeem configureren om Docker te besturen zonder sudo-privileges. Dit kan handig zijn in ontwikkelomgevingen, maar kan een ernstig beveiligingsprobleem vormen in productiesystemen. En hier is waarom je Docker nooit zonder sudo zou moeten gebruiken.
1. Mogelijkheid om Docker-containers te besturen
Zonder de sudo-privileges kan iedereen die toegang heeft tot uw systeem of server elk aspect van Docker beheren. Ze hebben toegang tot uw Docker-logbestanden en kunnen naar believen of per ongeluk containers stoppen en verwijderen. U kunt ook kritieke gegevens verliezen die essentieel zijn voor de bedrijfscontinuïteit.
Als u Docker-containers in productieomgevingen gebruikt, leidt downtime tot verlies van zaken en vertrouwen.
2. Krijg controle over de Host OS-mappen
Docker Volumes is een krachtige service waarmee u containergegevens kunt delen en behouden door deze naar een opgegeven map op het host-besturingssysteem te schrijven.
Een van de grootste bedreigingen die het uitvoeren van Docker zonder sudo met zich meebrengt, is dat iedereen op uw systeem controle kan krijgen over de mappen van het host-besturingssysteem, inclusief de hoofdmap.
Het enige dat u hoeft te doen, is een Linux Docker-image uitvoeren, bijvoorbeeld de Ubuntu-image, en deze in de hoofdmap koppelen met behulp van de volgende opdracht:
docker run -ti -v /:/hostproot ubuntu bashEn aangezien Linux Docker-containers als rootgebruiker worden uitgevoerd, betekent dit in wezen dat u toegang hebt tot de volledige rootmap.
De bovengenoemde opdracht downloadt en voert de nieuwste Ubuntu-afbeelding uit en koppelt deze aan de hoofdmap.
Ga op de Docker containerterminal naar de /hostproot directory gebruiken het cd-commando:
CD /hostprootDe inhoud van deze map weergeven met de opdracht ls toont alle bestanden van het host-besturingssysteem die nu beschikbaar zijn in uw container. Nu kunt u bestanden manipuleren, geheime bestanden bekijken, bestanden verbergen en weer zichtbaar maken, machtigingen wijzigen, enz.
3. Installeer schadelijke software
Een goed gemaakte Docker-image kan op de achtergrond worden uitgevoerd en uw systeem manipuleren of gevoelige gegevens verzamelen. Erger nog, een kwaadwillende gebruiker kan via Docker-containers schadelijke code op uw netwerk verspreiden.
Er zijn verschillende praktische use-cases van Docker-containers, en bij elke toepassing hoort een andere reeks beveiligingsbedreigingen.
Beveilig uw Docker-containers op Linux
Docker is een krachtig en veilig platform. Docker uitvoeren zonder sudo verhoogt uw aanvalsoppervlak en maakt uw systeem kwetsbaar. In productieomgevingen wordt het ten zeerste aanbevolen om sudo met Docker te gebruiken.
Met zoveel gebruikers op een systeem wordt het buitengewoon moeilijk om machtigingen aan elke gebruiker toe te wijzen. In dergelijke gevallen kan het volgen van de beste praktijken voor toegangscontrole u helpen de veiligheid van uw systeem te behouden.