Definition Containersicherheit Was ist Container-Sicherheit?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

FAST LTA GmbH

FTAPI Software GmbH

Container-Sicherheit ist die Praxis der Absicherung containerisierter Anwendungen und ihrer zur Ausführung benötigten Umgebung. Container inklusive ihrer Bereitstellungsinfrastruktur, Laufzeitumgebung und Liefer­kette werden über ihren kompletten Lebenszyklus vor Schwachstellen und potenziellen Bedrohungen wie Malware geschützt.

Container-Sicherheit ist ein Begriff aus dem Bereich der Anwendungsentwicklung und des Anwendungsbetriebs. Er bezieht sich auf containerisierte Anwendungen, das heißt auf Anwendungen, die in Software-Containern laufen. Unter Container-Sicherheit versteht man den Prozess und die Praxis der Absicherung solcher Anwendungen und ihrer zur Ausführung benötigten Infrastruktur. Sie sollen vor Schwachstellen und potenziellen Bedrohungen wie Malware oder Cyberangriffen geschützt werden. Die Sicherheitsmaßnahmen umfassen den kompletten Lebenszyklus der containerisierten Anwendungen inklusive ihrer Bereitstellungs­infrastruktur, der Softwarelieferketten, der Laufzeitumgebungen und aller weiteren für die Ausführung der Container-Anwendungen relevanten Komponenten und Bereiche. Bei der Container-Sicherheit handelt es sich um einen kontinuierlichen Prozess, der eng mit den Entwicklungs-, Bereitstellungs- und Betriebsprozessen für containerisierte Anwendungen verknüpft ist. Der Prozess umfasst sowohl technische Kontrollen und Verfahren als auch Richtlinien und organisatorische Abläufe. Zur Unterstützung der Herstellung der Container-Sicherheit und der Umsetzung der Sicherheitsrichtlinien existieren verschiedene Arten von Softwaretools und Container-Überwachungs­lösungen wie Container-Sicherheitsscanner, Container-Runtime-Sicherheitstools oder Container-Netzwerk-Sicherheitstools. Darüber hinaus bietet die Container-Orchestrierungsplattform Kubernetes integrierte Funktionen zur Verbesserung der Container-Sicherheit.

Containerisierung auf Nummer Sicher

Schotten dicht um Docker

Warum Container-Sicherheit wichtig ist

Microservice-basierte, containerisierte Anwendungsarchitekturen erfreuen sich hoher Beliebtheit und bieten gegenüber herkömmlichen monolithischen Anwendungen zahlreiche Vorteile. Viele Unternehmen nutzen mittlerweile Container-Technologien und Container-Plattformen wie Docker oder Kubernetes, um von den Vorteilen containerisierter Anwendungen und Services zu profitieren. Container bestehen aus Softwareprogrammen mit all ihren Abhängigkeiten. Sie trennen die Anwendungen von den zugrundeliegenden Betriebssystemen, bieten vollständige und gleichzeitig leichtgewichtige Laufzeitumgebungen und ermöglichen ein einfaches Verschieben von Anwendungen zwischen verschiedenen Computing-Umgebungen. Anwendungen können dank der Container-Technologie flexibel und effizient bereitgestellt und betrieben werden. Mit der zunehmenden Beliebtheit der Container-Technologie gewinnt aber auch die Container-Sicherheit an Bedeutung. Denn containerisierte Anwendungsarchitekturen bringen zwar viele Vorteile mit sich, sind aber hinsichtlich der Anwendungssicherheit mit einigen Herausforderungen verbunden. Container-Infrastrukturen eröffnen neue Angriffsflächen, beispielsweise durch die gemeinsame Nutzung von Ressourcen, die Kurzlebigkeit der Container, die Komplexität der Container-Umgebungen und die dynamischen Deployments. Auch bei der Konfiguration der Container-Umgebungen oder dem Bezug von Container-Images über Repositories können sich Fehler und Schwachstellen einschleichen, die unter Umständen von Angreifern ausnutzbar sind. Ohne ausreichende Sicherheitsmaßnahmen kann es in produktiven Umgebungen schnell zu Bedrohungen mit enormem Schadenspotenzial kommen. Container-Sicherheit ist daher unverzichtbar, um Container und die darin enthaltenen Anwendungen und Daten zu schützen und die Geschäftskontinuität aufrechtzuerhalten. Sie minimiert das Risiko von Sicherheitsverletzungen, unbefugten Zugriffen, Datenlecks und anderen Sicherheitsbedrohungen.

Backup in flüchtigen Umgebungen

Daten in Docker-Containern wiederherstellen

Typische Bedrohungen und Schwachstellen der Container-Sicherheit

Typische Bedrohungen und Schwachstellen der Container-Sicherheit sind zum Beispiel:

• unsichere oder kompromittierte Container-Images mit nicht aktueller Software, veralteten Abhängigkeiten, Schwachstellen, Malware oder Backdoors

• unsichere oder kompromittierte Build- und Deployment-Pipelines

• Lieferkettenangriffe beispielsweise durch den Bezug von Container-Images aus nicht vertrauenswürdigen oder nicht geschützten Repositories

• mangelhafte Isolation der Container

• fehlende Laufzeitüberwachung

• fehlende Zugriffskontrollen und falsch konfigurierte Zugriffsberechtigungen für Benutzer und Dienste

• exponierte Secrets oder Umgebungsvariablen

• Ausbruch von Anwendungen aus dem Container und unbefugter Zugriff auf Host-Ressourcen

• unerwünschte oder unkontrollierte Container-Prozesse

• Schwachstellen durch Fehlkonfigurationen der Container und der Container-Umgebung

• Distributed-Denial-of-Service-Angriffe auf containerisierte Anwendungsumgebungen

Welche Bereiche umfasst die Container-Sicherheit und was sind mögliche Sicherheitsmaßnahmen?

Container-Sicherheit erfordert einen mehrschichtigen Ansatz, der alle Komponenten und den kompletten Lebenszyklus containerisierter Anwendungen von der Entwicklung bis zum Betrieb umfasst. Die Sicherheitsrichtlinien und Maßnahmen der Container-Sicherheit beziehen sich dementsprechend auf verschiedene Bereiche. Zu den Schlüsselbereichen der Container-Sicherheit zählen:

• der Schutz der Container-Images und Container-Repositories

• der Schutz der Container-Laufzeitumgebungen

• der Schutz der Container-Infrastrukturen

Container-Security

Schutz in der Build-Phase reicht nicht

Für jeden Bereich sind spezielle Sicherheitsrichtlinien zu definieren und Maßnahmen umzusetzen, um den Schutz der containerisierten Anwendungen und ihrer Umgebungen sicherzustellen.

Der Schutz der Container-Images beinhaltet beispielsweise die Anwendung von Sicherheitsrichtlinien bei der Image-Erstellung, das Signieren von Images oder die Prüfung beziehungsweise das Scannen von Images auf Schwachstellen oder Manipulationen. Die Sicherheitsmaßnahmen schließen die komplette Softwarelieferkette und die Container-Repositories mit ein. Es ist auf die Verwendung von verifizierten Images aus vertrauenswürdigen und sicheren Quellen zu achten. Regelmäßige, automatisierte Sicherheitskontrollen und Sicherheitsscans können direkt in die CI/CD-Pipeline integriert werden.

Zu den Maßnahmen zum Schutz der Container-Laufzeitumgebungen zählen beispielsweise die Anwendung von Zugriffskontrollen, die Erfassung aller in Containern ablaufenden Aktivitäten und Ereignisse, das Monitoring der genutzten Computing-, Speicher- und Netzwerkressourcen und die Überwachung auf abnormale, unerwünschte oder schädliche Verhaltensweisen mit einer entsprechenden Reaktion auf erkannte Vorfälle.

Der Schutz der Container-Infrastruktur umfasst alle zugrundeliegenden Systeme, die zur Ausführung der Container benötigt werden, wie die Hosts, Container-Plattformen, Container-Deployment-Umgebungen, Container-Orchestratoren und Netzwerke. Maßnahmen in diesem Bereich sind beispielsweise das Absichern der Container-Hosts und das Beschränken des Container-Zugriffs auf Host-Ressourcen, regelmäßiges Patchen und Aktualisieren der Software und Betriebssysteme, Validierung der Container-Umgebungskonfigurationen, die Sicherstellung der Isolation der Host-Betriebssysteme von der Container-Runtime, das Durchsetzen einer starken Authentifizierung und wirkungsvollen Zugriffssteuerung auf Container- und deren Orchestrierungs­plattformen, die Netzwerksegmentierung und Durchsetzung von Zero-Trust-Richtlinien und Least-Privilege-Prinzipien im Netzwerkverkehr. Auch die Sicherung der außerhalb von Containern gespeicherten zustandsbehafteten Daten und ihrer Storage-Plattformen zählt zu den Schutzmaßnahmen der Container-Infrastruktur.

Container-Workloads schützen

Container-Sicherheit unter Kubernetes

Container-Sicherheit und Kubernetes

Kubernetes, auch als K8s bezeichnet, ist eine Open-Source-Plattform zur Orchestrierung und Verwaltung der technischen Infrastruktur von Container-Anwendungen. Sie automatisiert deren Bereitstellung, Skalierung und Verwaltung. Kubernetes ist weit verbreitet und hat sich für die Container-Orchestrierung in der Private und Public Cloud zu einer Art De-facto-Standard entwickelt. Da Kubernetes neben der Automatisierung des Deployments und der Verwaltung von Containern auch integrierte Sicherheitsfunktionen bereitstellt, spielt die Orchestrierungs­plattform eine wichtige Rolle für die Container-Sicherheit. Zu den Sicherheitsfeatures von Kubernetes zählen beispielsweise Kubernetes-Netzwerkrichtlinien zur Steuerung der Pod-to-Pod-Kommunikation, starke Authentifizierungsmechanismen, rollenbasierte Zugriffskontrollen (RBAC), Schreibschutz für Dateisysteme von Containern, Sandboxing für eine optimierte Prozessisolierung, Definition und Durchsetzung spezifischer Regeln für die Workload-Einstellungen und vieles mehr.

(ID:50453817)