Docker sous l'angle de la sécurité

Docker a connu ces dernières années un développement intense, et quelques mesures de sécurité notables ont été intégrées par défaut dans ce dernier. Cependant, en comprendre la sécurité n’est pas chose aisée, car il y a de nombreux aspects, tant dans les mécanismes de défense au niveau noyau que dans la sécurisation de la distribution des images. Cet article est une première approche pratique de ces différents éléments.

Lorsque l’on approche la question de la sécurité des technologies de conteneurs, il apparaît directement qu’une grande part de cette sécurité repose de fait sur des fonctionnalités du noyau et donc de ses bons usages, et qu’une autre part tient à la structure propre de la technologie choisie. Au travers de cette introduction seront posées quelques questions fondamentales autour de la sécurité d’une solution bien connue : Docker.

Les containers n’existent pas. Enfin, pas en tant que tel. Cet article présente les briques de base des containers Linux que sont les namespaces et les cgroups à travers des exemples concrets. Les lecteurs assidus repartiront avec un module PAM sur mesure pour sandboxer un utilisateur SSH.

À travers les différentes étapes de la construction d’une infrastructure, cet article vise à présenter les bonnes pratiques à adopter lors de l'usage de Docker. Cet article explique comment installer Docker, définir un service, le mettre en œuvre, le faire interagir avec d'autres et plus encore.

Nul besoin aujourd’hui de démontrer les nombreux avantages de Docker pour accélérer la mise à disposition de services numériques. Mais sécurité et agilité sont assez rarement conciliables : soit on veut faire plus rapide, mais moins sécurisé, soit on met plus de sécurité dans les process et donc on les ralentit. Comment peut-on réconcilier le DevOps avec l’aspect sécuritaire grâce à un environnement automatisé avec les conteneurs ?

Ces dernières années, on a pu observer une évolution croissante des environnements conteneurisés et notamment de l’usage de Docker. Les arguments mis en avant lors de son utilisation sont multiples : scalabilité, flexibilité, adaptabilité, gestion des ressources... En tant que consultants sécurité, nous sommes donc de plus en plus confrontés à cet outil. Au travers de cet article, nous souhaitons partager notre expérience et démystifier ce que nous entendons bien trop régulièrement chez les DevOps, à savoir que Docker est sécurisé par défaut.

Metasploit fait partie de ces outils indispensables aux tests d'intrusion, mais dont l'installation et la maintenance peuvent s'avérer épineuses. Nous allons voir comment une technologie en vogue, Docker, peut nous aider à simplifier et pérenniser cette tâche.