Los contenedores optimizan la experiencia del desarrollador. La creación de aplicaciones en contenedores permite a los desarrolladores ejecutar apps sin problemas en cualquier hardware, infraestructura o entorno cloud. El tiempo de ejecución del contenedor elimina los problemas que pueden surgir de las diferencias en el sistema operativo (OS) y la infraestructura subyacente. Sin embargo, como con cualquier tecnología, puede haber compensaciones en el uso de contenedores. La complejidad de la infraestructura de contenedores, si no se tiene en cuenta adecuadamente, puede plantear graves riesgos de seguridad. Las amenazas a los contenedores existen en cada etapa del proceso de desarrollo.
Para minimizar los riesgos al construir en contenedores, Trend Micro recomienda seguir a los desarrolladores los siguientes seis pasos:
1. Asegurar el host del contenedor
• Los contenedores deben estar alojados en un sistema operativo centrado en contenedores. La superficie de ataque general se reducirá si se eliminan los servicios que no son necesarios para alojar sus cargas de trabajo de contenedor.
• Se deben agregar herramientas de monitorización para proporcionar visibilidad sobre la salud de los hosts.
• Para proteger los sistemas host de los contenedores, se debe utilizar un conjunto sólido de controles de seguridad, como los disponibles en la solución Trend Micro Deep Security. La integridad de estos sistemas, que se encargan de todas las cargas de trabajo de los contenedores, estará garantizada si están debidamente protegidos.
2. Asegurar el entorno de red
• Aprovechar los controles como un sistema de prevención de intrusiones (IPS) y el filtrado web para el tráfico que se desplaza de norte a sur, y de ida y vuelta a Internet, con el fin de detener los ataques y filtrar el contenido malicioso.
• Para monitorizar el tráfico entre contenedores, también debe desplegarse un IPS. La monitorización del tráfico interno es fundamental para su defensa, pues los atacantes que ya se han afianzado en una red pueden desplazarse rápidamente de forma lateral para ampliar su alcance.
3. Proteger el stack de gestión
• El registro de contenedores debe estar debidamente protegido y monitorizado.
• La instalación de Kubernetes debe ser bloqueada. Además, se deben aprovechar las funciones como Pod y las políticas de red para hacer cumplir los estándares de seguridad y desarrollo de la organización.
• Se deben utilizar herramientas de seguridad como Trend Micro Deep Security Smart Check para escanear y validar la configuración de cada contenedor a medida que se añade al registro de contenedores. Esto garantiza que solo se desplieguen contenedores que cumplan con los estándares de desarrollo y seguridad del equipo.
4. Construir sobre una base segura
• Revisar y observar las comunicaciones de los equipos de proyecto sobre las dependencias utilizadas en las aplicaciones. Cuando una pieza de software es parcheada, esos cambios necesitan ser integrados en la aplicación para reducir los riesgos.
• Asegurarse de que los contenedores estén libres de malware o vulnerabilidades conocidas y no tengan secretos expuestos utilizando un escáner de imágenes de contenedores como Deep Security Smart Check. Esto también permitirá buscar indicadores de compromiso personalizados (IoCs). Mediante el uso de un escáner de imágenes de contenedor, se pueden mitigar los riesgos antes de un desarrollo mayor o del despliegue en producción.
5. Proteger el ciclo de construcción
• Las estaciones de trabajo de los desarrolladores deben instalarse con controles de endpoints potentes, como los que se encuentran en la solución Trend Micro Apex One. Esto ayuda a prevenir el malware, las visitas a sitios web maliciosos y otros problemas de seguridad y amenazas en los contenedores.
• Se debe implementar un esquema de control de acceso que sea exhaustivo y consistente. Un paso crítico para salvaguardar la integridad del pipeline es garantizar de que solo los usuarios autorizados puedan acceder a los repositorios de código, integrar sucursales y lanzar compilaciones que se envían a producción.
• Los servidores que ejecutan dichas herramientas también deben estar protegidos. El uso de herramientas de seguridad como Trend Micro Deep Security puede proporcionar un conjunto de controles sólidos con un mínimo de sobrecarga, lo que ayuda a su equipo a cumplir los objetivos y estándares de seguridad.
6. Asegurar su aplicación
• El código debe seguir las mejores prácticas para mejorar su calidad. Después de todo, simples errores o malas elecciones de diseño pueden provocar muchas vulnerabilidades de seguridad. Invertir tiempo y esfuerzo en asegurar la calidad del código siempre se traduce en dividendos de seguridad.
• Los controles de autoprotección en tiempo de ejecución deben utilizarse para ayudar a conectar los puntos entre las vulnerabilidades de seguridad y los problemas en líneas de código específicas. Esto cierra la brecha durante el análisis de la causa raíz y permite lograr mejores resultados de seguridad.
