🐳 Как использовать Docker Bench for Security для аудита контейнеров

Одна из самых больших проблем, связанных с развертыванием контейнеров, – это безопасность.

Это проблема в том отнрошении, потому что нужно проверить много движущихся частей.

У вас могут быть манифесты контейнера в полном порядке, но как насчет хоста?

Или, может быть, ваш хост исправен, но ваши файлы YAML пронизаны дырами безопасности.

Что делать?

Тратить часы (или дни) на прочесывание всего, чтобы убедиться, что эти контейнеры безопасны?

Или вы можете использовать доступные инструменты.

Одним из таких инструментов является предварительно созданный контейнер под названием Docker Bench for Security – он отлично справляется с аудитом вашего хоста контейнера и текущих развертываний.

В отличие от многих подобных инструментов, Docker Bench for Security невероятно прост в использовании.

Docker Bench for Security проверяет следующее:

• Общая конфигурация
• Конфигурация Linux хоста
• Конфигурация демона Docker
• Файлы конфигурации демона Docker
• Образы контейнеров и файл сборки
• Рантайм контейнера
• Docker Security Operations
• Конфигурация Docker Swarm
• Конфигурация Docker Enterprise
• Конфигурация доверенного реджестри Docker

Что вам понадобится

Единственное, что вам нужно для этой работы, – это запущенный экземпляр Docker на вашем сервере и пользователь, связанный с группе Docker, который может запускать команды Docker.

Я буду демонстрировать пример на сервере Centos 8, но инструмент будет работать на любой платформе, поддерживающей Docker.

Как установить Docker Bench

Первое, что нам нужно сделать, это клонировать инструмент из GitHub.

Если у вас еще не установлен git, сделайте это с помощью такой команды, как:

Ubutnu/Debian:

sudo apt-get install git -y

sudo yum install git -y

git clone https://github.com/docker/docker-bench-security.git

cd docker-bench-security

sudo vi /etc/docker/daemon.json

В этот файл вставьте следующее:

{
    "icc": false,
    "userns-remap": "default",
    "live-restore": true,
    "userland-proxy": false,
    "no-new-privileges": true
}

sudo apt-get install auditd -y

sudo yum install auditd -y

sudo nano /etc/audit/audit.rules

-w /usr/bin/docker -p wa
-w /var/lib/docker -p wa
-w /etc/docker -p wa
-w /lib/systemd/system/docker.service -p wa
-w /lib/systemd/system/docker.socket -p wa
-w /etc/default/docker -p wa
-w /etc/docker/daemon.json -p wa
-w /usr/bin/docker-containerd -p wa
-w /usr/bin/docker-runc -p wa

sudo systemctl restart auditd

sudo systemctl restart docker

./docker-bench-security.sh