Container-Security Schutz in der Build-Phase reicht nicht

Anbieter zum Thema

TREND MICRO Deutschland GmbH

SEPPmail - Deutschland GmbH

Während der Einsatz von Containern zunimmt, wächst auch die Angriffsfläche. Risiken lauern in der Build- und der Runtime-Phase. Daher ist ein ganzheitlicher Ansatz gefragt, um Container während ihres kompletten Lebenszyklus zuverlässig abzusichern.

Die Vorteile von Containern liegen auf der Hand: Im Vergleich zu virtuellen Maschinen verbrauchen sie erheblich weniger Ressourcen und starten in Sekundenschnelle. Da in einem Container sämtliche Komponenten und Abhängigkeiten einer Applikation gebündelt sind, lassen sich Anwendungen problemlos zwischen verschiedenen Umgebungen verschieben. Unternehmensweite Anpassungen sind jederzeit schnell möglich, indem man ein neues Image verteilt. Container-Technologie eignet sich hervorragend für Microservice-basierte Architekturen und cloudnative Entwicklungen. In Kombination mit DevOps kann sie Prozesse von der Entwicklung bis zur Bereitstellung erheblich beschleunigen.

Doch je weiter der Einsatz von Containern zunimmt, desto stärker rücken diese auch in den Fokus von Cyberkriminellen. Während wir in der Vergangenheit vorwiegend Kryptomining-Vorfälle gesehen haben, sind Unternehmen heute mit einer Vielzahl von Angriffsszenarien konfrontiert. Cyberkriminelle nutzen Container zum Beispiel als Sprungbrett, um in die Unternehmensinfrastruktur vorzudringen, und nachgelagerte Attacken durchzuführen. Gerade containerisierte Legacy-Software und ungeprüfte Open-Source-Komponenten haben ein erhöhtes Risiko für Schwachstellen. Hinzu kommt, dass Container meist noch nicht so gut geschützt sind wie andere Bereiche der IT-Umgebung. Das macht sie zum bevorzugten Ziel für Cyberkriminelle, die am liebsten dort zuschlagen, wo sie mit wenig Aufwand viel erreichen. Was können Unternehmen tun, um Container über ihren gesamten Lebenszyklus hinweg besser abzusichern?

Security-Maßnahmen in der Build-Phase

Die meisten Unternehmen haben heute bereits Prozesse etabliert, um Software während der Entwicklungsphase auf Schwachstellen zu scannen. Trotzdem kann es passieren, dass sich ein ungeprüfter Code in den Container-Image-Build-Prozess einschleicht. Nur selten beginnen Entwickler mit einer neuen Applikation bei null. Sie nutzen häufig Bausteine aus Open-Source-Repositories wie GitHub oder Docker Hub und passen diese individuell an. In der Vergangenheit ist es Cyberkriminellen allerdings schon mehrfach gelungen, sich Zugriff auf die Inhalte der Repositories zu verschaffen. Unternehmen müssen also immer damit rechnen, dass Dateien kompromittiert sein könnten. Wer Container aus der Public Cloud herunterlädt und ungeprüft in den eigenen Cluster pusht, läuft Gefahr, Schadcode einzuschleusen. Neben kontinuierlichen Security-Scans ist es daher wichtig, genau nachzuvollziehen, woher ein Container sowie die darin enthaltenen Komponenten stammen und wer darauf Zugriff hat.

Auch auf Container-Ebene selbst ist ein sorgfältiges Rechtemanagement nach dem Least-Privilege-Prinzip erforderlich. Gerade im Bereich des Monitorings sind zum Beispiel häufig überprivilegierte Container anzutreffen, bei denen die Grenzen zum Host-System verschwimmen. Wenn es Cyberkriminellen gelingt, solche Container zu übernehmen, können sie erheblichen Schaden anrichten. Weitere Risiken sind versehentlich zurückgelassene Geheimnisse in Container-Images, etwa API-Schlüssel oder Tokens, sowie die ungeprüfte Übernahme von Standardeinstellungen. Außerdem müssen Unternehmen auch die Container-Registry schützen. Denn Angriffe auf diesen zentralen Pool zur Image-Speicherung und Bereitstellung könnten zu einer weiten Verbreitung kompromittierter Inhalte führen.

Risiken in der Laufzeit-Phase

Selbst wenn ein Container bis zur Bereitstellung sicher war, heißt das nicht, das er das auch bleibt. Denn die Bedrohungslandschaft verändert sich schnell. Was passiert zum Beispiel, wenn eine neue Schwachstelle veröffentlicht wird? Dann müssen Unternehmen in der Lage sein, zeitnah zu prüfen, ob sie davon betroffen sind. Vielleicht erweist sich auch eine bisher als vertrauenswürdig erachtete Komponente plötzlich als unsicher, oder Cyberkriminelle haben über eine Hintertür Code kompromittiert. Dazu kommt, dass Unternehmen Risiken abwägen, und manchmal auch mit Schwachstellen leben müssen. Bei Legacy-Anwendungen kann es zum Beispiel schwierig sein, eine alte Bibliothek durch eine neue zu ersetzen, weil sonst die Funktionalität aufgrund der vielen Abhängigkeiten beeinträchtigt wird. Umso wichtiger ist es, risikobehaftete Container während der Laufzeit sorgfältig zu überwachen.

So funktioniert Runtime Security

Ein kontinuierliches Monitoring und kontinuierliche Schwachstellen-Scans sind während der Runtime unverzichtbar, um das Risiko für Cyberangriffe auf Container zu mindern. Im ersten Schritt erfolgt eine Inventarisierung: Unternehmen brauchen umfassende Transparenz, welche Komponenten sie in welchem Container und in welcher Umgebung im Einsatz haben. Nur so können sie schnell ermitteln, ob sie von einer neu veröffentlichten Schwachstelle betroffen sind, und die richtigen Stellen patchen.

Kontinuierliches Echtzeit-Monitoring wiederum dient dazu, Anzeichen für Cyberangriffe frühzeitig aufzudecken, und sicherheitsrelevantes Verhalten zu identifizieren. Darunter fallen zum Beispiel Änderungen an den Inhalten laufender Container, Zugriffe aus dem Container auf die Infrastruktur, Remote-Code-Ausführungen oder unerlaubte Dateizugriffe.

Welches Verhalten akzeptabel ist oder nicht, können Unternehmen in Policies definieren. Playbooks ermöglichen es dann, automatisiert Reaktionen zu triggern. So lässt sich zum Beispiel sicherstellen, dass ungeprüfte Container gar nicht erst in einer Kubernetes-Umgebung gestartet werden. Pods, die sich zur Laufzeit verdächtig verhalten, können automatisiert terminiert oder isoliert werden.

Informationen im Zusammenhang betrachten

Für die Angriffserkennung ist es wichtig, die Security-Informationen aus der Container-Umgebung nicht isoliert zu betrachten, sondern in Zusammenhang mit anderen Vektoren der IT-Landschaft zu setzen. So wird zum Beispiel offensichtlich, ob ein Angreifer bereits über die Container-Grenzen hinweg in andere Bereiche vorgedrungen ist, oder ob parallel weitere Angriffe stattfinden. Zur Bewältigung von Sicherheitsvorfällen benötigt das Security-Team jederzeit schnellen Zugriff auf möglichst umfangreiche Daten. Daher empfiehlt es sich, Container Security mithilfe einer ganzheitlichen Plattform umzusetzen, die auch XDR (Extended Detection and Response) ermöglicht. Dazu werden Telemetriedaten aus der gesamten IT-Umgebung gesammelt, analysiert und korreliert. Gleichzeitig vereinfacht ein Plattform-Ansatz, der die wichtigsten Sicherheitsfunktionen bündelt, das Security-Management und reduziert Komplexität.

Fazit

Cyberkriminelle greifen bevorzugt am schwächsten Glied der Kette an. Daher ist es wichtig, sich der Risiken von Container-Umgebungen bewusst zu werden, und diese möglichst umfassend zu adressieren. Kontinuierliche Security-Scans, Echtzeitmonitoring während der Run-Phase sowie eine Absicherung der Registry sind dafür Pflicht. Eine integrierte Sicherheitsplattform ermöglicht es, Container Security effizient umzusetzen, und in ein ganzheitliches Security-Konzept einzubinden.

(ID:50270196)