Konteynerler harika olabilir, ancak güvenlik kritik

Çoğu BT yöneticisi, konteynerlere en popüler iki örneği de dahil olmak üzere uygulama geliştirme (app-dev) araç seti olarak bakıyor: konteynerleri kontrol etmenin bir yolu olan Docker ve Google’ın konteyner dağıtımını, ölçeklendirmeyi otomatikleştirmek için geliştirdiği açık kaynaklı bir sistem olan Kubernetes, Ve yönetim. Bunlar harika araçlardır, ancak bunları uygulama kapsamı dışında kullanmanın yollarını bulmak, günlük BT işlemlerinde görev alan yöneticiler için zor bir soru olabilir.

Kısa cevap, konteynerlerin Docker ve Kubernetes gibi yönetim katmanlarıyla birlikte BT yöneticisinin altyapı yönetimi işini daha kolay hale getirebileceğidir. Sadece bu değil, aynı zamanda esneklik konusunda büyük bir destek sağlarken uygulamalarınızı daha güvenli hale getirebilirler.

Konteynerlerin tüm bunları yapabilmelerinin sebebi mimarileri. Kaplar sanallaştırma olarak sınıflandırılırken, çoğu BT çalışanının yönetmeye alıştığı sanal makineler (VM) ile aynı şey değildir. Tipik bir VM, tam bir bilgisayarı ve üzerinde çalışan uygulamaları sanallaştırır veya hatta gerçek bir makine olarak iletişim kurar. Öte yandan, bir kapsayıcı genellikle sadece işletim sistemini (OS) sanallaştırır.

Bir kap kullandığınızda, içinde çalışan uygulama aynı makinede çalışan başka bir şey göremez; bu, bazı kişilerin tam bir VM ile karıştırmaya başladığı yerdir. Kapsayıcı, ana işletim sisteminin çekirdeği ve ayrıca aygıt sürücüleri, ağ varlıkları ve bir dosya sistemi dahil olmak üzere uygulamanın çalışması için gereken her şeyi sağlar.

Örneğin konteyner yönetim sistemi, Docker, bir konteyneri başlattığında, onu her birinin kurulumu, incelemesi ve hatta konteyner yöneticisi tarafından özelleştirilmesi gereken bir OS görüntü deposundan yükler. Farklı amaçlar için çok sayıda özelleştirilmiş görüntü olabilir ve hangi iş yükü için hangi görüntünün kullanılacağını belirleyebilirsiniz. Ayrıca, kimlik yönetimi, kullanıcı izinleri veya diğer güvenlik ayarları konusunda endişelendiğinde çok kullanışlı olabilecek bu standart resimlerin yapılandırmasını daha da özelleştirebilirsiniz.

Güvenliği unutma

Konteynerlerin BT operasyonları üzerindeki etkilerini San Jose, Calif merkezli yüksek performanslı analog ve karışık sinyalli entegre devre (IC) çözümleri üreticisi Maxim Integrated'in Baş Siber Risk Sorumlusu Matt Hollcraft ile görüşme şansım oldu.

Hollcraft, “Konteynerlerin ortaya çıkması, BT organizasyonunun organizasyonlarına hizmet verme ve bulut ve diğer altyapıların aşırı yüklenmesini önleme potansiyeline sahip” dedi. “Hizmetleri daha akıcı bir şekilde sunmanıza izin veriyorlar” dedi. Tam bir VM'lerin aksine, konteynerlerin bir konuda bükülüp geri çekilebildiklerinden bir kuruluşun daha hızlı bir şekilde aşağı ve yukarı ölçeklenmelerine izin verdiklerini söyledi. saniye.

Bu, tam bir sanal sunucuyu etkinleştirmek için harcayacağınız zamanın bir bölümü gibi, örneğin bir veritabanı uzantısı gibi iş kolu iş yükünün tam bir örneğini başlatabilir veya durdurabilirsiniz. Bu, BT'nin değişen iş gereksinimlerine yanıt verme süresi, özellikle önceden yapılandırılmış ve özelleştirilmiş standart işletim sistemi görüntüleri kullanarak bu kapları sağlayabileceğinizden, belirgin bir iyileşme göreceği anlamına gelir.

Yine de Hollcraft, güvenliğin konteyner yapılandırma işleminizin standart bir parçası olarak dahil edilmesinin kritik olduğu konusunda uyardı. Çalışmak için güvenlik konteyner kadar çevik olmalıdır. Hollcraft, "Baş özellik çeviklik olmalı, " dedi, çünkü "bir konteyneri korumak için hızlanması gerekiyor."

Konteyner Güvenliği ile İlgili Üçüncü Taraflara Yardım

Hollcraft, kapları başarılı bir şekilde BT aracı olarak kullanmak için gereken çevik güvenlik platformlarını sunmaya başlayan birkaç siber güvenlik kuruluşu olduğunu söyledi. Konteynere özgü güvenliğe sahip olmanın avantajı, BT yöneticilerinin güvenliği ilk konteyner mimarisi sürecinin bir parçası olarak kullanmalarını sağlamasıdır.

Konteyner güvenliğini bu şekilde yapan girişimlerden birine Aqua Güvenlik Yazılımı denir ve özellikle konteyner kullanım durumuna yönelik olarak MicroEnforcer adlı yeni bir ürün sunar. MicroEnforcer, geliştirme veya konfigürasyon işleminin erken aşamalarında kaba yerleştirilir. Ardından, konteyner başlatıldığında, güvenlik onunla birlikte başlar. Bir konteyner yüklendikten sonra değiştirilemediğinden, güvenlik orada kalacak.

Aqua Security Software'in kurucusu ve CTO'su Amir Jerbi, "Bu, güvenlik çalışanlarının sürecin başında gelip güvenlik sağlamalarına olanak sağlıyor" dedi. Konteynırda servis olarak güvenlik sağladığını söyledi. Bu şekilde, MicroEnforcer diğer kaplara da görünürlük sağlayabilir.

Jerbi, "Bir konteynere bakabilir ve kabın tam olarak ne yaptığını, hangi işlemlerin çalıştığını ve ne okuduğunu ve yazdığını görebilirsiniz." Dedi. MicroEnforcer'ın orada olması gerekmeyen bir konteynırdaki aktiviteyi tespit ettiğinde bir uyarı gönderebileceğini ve bu olduğunda konteynırın çalışmasını durdurabileceğini ekledi.

MicroEnforcer'ın arayabileceği etkinlik türüne iyi bir örnek, bir kaba enjekte edilen kötü amaçlı yazılım olabilir. Buna güzel bir örnek, kripto para birimli madencilik yazılımı çalıştıran bir kabın, bir başkası için para kazanırken kaynakları emdiği bir sisteme enjekte edildiği daha yeni konteyner bazlı saldırılardan biri olabilir. MicroEnforcer aynı zamanda bu tip aktiviteleri tespit edip hemen sonlandırabilir.

Kötü amaçlı yazılımla mücadele, içlerinde sağladıkları kolay görünürlük nedeniyle kapların en büyük avantajlarından biridir. Bu, operasyonlarını izlemenin nispeten kolay olduğu ve kötü bir şey olmasını engellemek için nispeten kolay olduğu anlamına gelir.

Konteynerlerin bir süredir Linux için mimari bir öğe olarak mevcut olmasına rağmen, Microsoft Windows'ta da mevcut olduklarını belirtmek gerekir. Aslında, Microsoft, Windows için Docker sürümünü sağlar ve Windows Server ve Windows 10'da kapsayıcı oluşturma hakkında talimatlar sunar.