O documento discute introdução à segurança de containers, abordando tópicos como Dockerfile, imagens, variáveis de ambiente, escolha de imagens base seguras, soluções de varredura de vulnerabilidades, orquestradores como Kubernetes e suas configurações padrão inseguras, e opções para melhorar a segurança de ambientes containerizados.

1. Introdução à Segurança de
Containers

2. Alexandre Sieira
• Empreendedor em segurança de informação
• Fundador da Tenchi Security
• Gerente do time de Product Management de
todos os serviços de detecção do MSS da
Verizon
• Co-Fundador e CTO da Niddel
• Co-Fundador e Principal do MLSec Project
• Co-Fundador e CTO da CIPHER

6. • Dockerfile é parte do código;
• Imagem base especificada no FROM
que vem de um registry;
• Especificação de pacotes e
configuração do “sistema
operacional”;
• Cópia de arquivos de código,
configuração e ou dados;
• Segredos e configurações em
variáveis de environment;
• Roda como root por default
(https://engineering.bitnami.com/articles/why-non-root-
containers-are-important-for-security.html)

7. https://blog.trailofbits.com/2019/07/19/understanding-docker-container-escapes/

8. https://blog.aquasec.com/threat-alert-kinsing-malware-container-vulnerability
https://docs.docker.com/engine/security/https/

9. https://www.zdnet.com/article/docker-hub-hack-exposed-data-of-190000-users/
Soluções de CI/CD e
repositórios de imagens
são concentradores de
risco!

10. https://www.kennasecurity.com/blog/one-fifth-of-the-most-used-docker-containers-have-at-least-one-critical-vulnerability/

11. https://vulnerablecontainers.org/

12. https://vulnerablecontainers.org/
Escolher boas imagens como base faz muita diferença…

13. Trivy: (https://github.com/aquasecurity/trivy)

14. https://github.com/mlsecproject/gglsbl-rest

15. https://aws.amazon.com/about-aws/whats-new/2019/10/announcing-image-scanning-for-amazon-ecr/

16. https://cloud.google.com/container-registry/pricing

17. https://docs.microsoft.com/en-us/azure/security-center/container-security

18. • Kubernetes é o padrão de
mercado.
• Especificação em arquivos
YAML.
• Inseguro por default, segurança
vêm melhorando aos poucos.
• Complexo de operar.

19. https://www.microsoft.com/security/blog/2020/04/02/attack-matrix-kubernetes/
Orquestradores
representam
uma superfície
de ataque
bastante
importante.

21. A Pod Security Policy is a
cluster-level resource that
controls security sensitive
aspects of the pod
specification.
The PodSecurityPolicy objects
define a set of conditions
that a pod must run with in
order to be accepted into the
system, as well as defaults for
the related fields. They allow
an administrator to control
the following:
https://kubernetes.io/docs/concepts/policy/pod-security-policy/

22. https://github.com/aquasecurity/kube-bench
Variedade de soluções open
source e comerciais (CWPP)
disponíveis para implementar
segurança para ambientes
containerizados.

24. The Path Less Traveled: Abusing Kubernetes Defaults
Black Hat 2019
https://youtu.be/HmoVSmTIOxM
Ian Coldwater (@IanColdwater) e Duffie Cooley (@mauilion)

25. 25