O que é segurança de contêineres?
Segurança de contêineres é a prática de proteger aplicativos em contêineres durante todo o ciclo de vida, desde a criação de imagens e o gerenciamento de registros até a orquestração, o monitoramento em tempo de execução e a resposta a incidentes.
Por que a segurança de contêineres é importante?
Ela é importante porque os contêineres aceleram a entrega de software, mas também podem fazer com que vulnerabilidades, segredos, configurações de risco e privilégios excessivos cheguem rapidamente ao ambiente de produção quando os controles são fracos.
Segurança de contêineres é o mesmo que segurança do Kubernetes?
Não. A segurança de contêineres é mais abrangente. Ela inclui a segurança de imagens, registros e hosts, bem como controles de tempo de execução e orquestração. A segurança do Kubernetes é um subconjunto importante da segurança de contêineres, concentrado na proteção do cluster, das cargas de trabalho, do acesso, das políticas e do comportamento da plataforma.
Quais são os maiores riscos de segurança de contêineres?
Os maiores riscos geralmente incluem imagens vulneráveis, fragilidades na cadeia de suprimentos, segredos expostos, configurações inseguras de cargas de trabalho, permissões excessivas, aplicação ineficaz de políticas, segmentação inadequada e visibilidade insuficiente do ambiente de execução.
A verificação de imagens é suficiente para garantir a segurança de contêineres?
Não. A verificação de imagens é importante, mas não resolve problemas relacionados ao comportamento em tempo de execução, à configuração do cluster, ao controle de admissão, à estrutura do RBAC ou à segmentação da rede. É um controle aplicado nas etapas iniciais, não um programa completo.
O que significa shift-left na segurança de contêineres?
Shift-left significa identificar e corrigir problemas de segurança mais cedo no ciclo de vida da entrega de software, de preferência durante as etapas de compilação e pré-implementação, em vez de após o lançamento. Em ambientes de contêineres, isso geralmente inclui a verificação de imagens, da infraestrutura como código (IaC) e de manifestos, além da aplicação de critérios de qualidade em CI/CD.
Por que o RBAC é tão importante no Kubernetes?
O RBAC controla o que os usuários e as cargas de trabalho podem fazer dentro do cluster. Uma estrutura de RBAC inadequada pode conceder acesso excessivo e aumentar o risco de elevação de privilégios ou comprometimento do cluster.
O que fazem os controladores de admissão?
Os controladores de admissão interceptam as solicitações de implementação antes que os recursos sejam armazenados no Kubernetes. Eles ajudam a aplicar políticas, validar configurações e impedir que cargas de trabalho de risco sejam aceitas no cluster.
Por que o monitoramento em tempo de execução continua sendo importante se fazemos verificações antes da implementação?
Porque nem todos os problemas ficam visíveis durante a compilação. Os contêineres podem se comportar de maneira diferente no ambiente de produção, conectar-se a serviços inesperados, consumir recursos de forma anormal ou mostrar atividades suspeitas de processos após a implementação. O monitoramento em tempo de execução ajuda as equipes a detectar o que não é identificado pela verificação.
O que as equipes de DevSecOps devem priorizar primeiro?
A maioria das equipes deve começar com imagens-base confiáveis, verificação de imagens, detecção de segredos, análise de manifestos e de IaC, RBAC com privilégio mínimo, controle de admissão, visibilidade do ambiente de execução e registros que auxiliem nas investigações.
A segurança de contêineres é relevante apenas para equipes nativas da nuvem?
Não. Ela é relevante sempre que contêineres são usados para empacotar e executar aplicativos, seja na nuvem pública, em infraestruturas privadas, em ambientes híbridos ou em ambientes corporativos regulamentados.
Veja o que o Kaspersky Container Security abrange
A segurança de contêineres vai além da verificação de imagens. O Kaspersky Container Security ajuda a proteger ambientes em contêineres contra vulnerabilidades em imagens e erros de configuração de nós de cluster, além de oferecer monitoramento em tempo de execução, proteção de orquestradores, auditorias de conformidade e inventário de recursos.
Fontes e leituras complementares:
