Loncat ke konten utama
Kembali ke Pertanyaan

Apa Itu Keamanan Kontainer?

Keamanan kontainer adalah penggunaan alat dan kebijakan keamanan untuk melindungi kontainer, aplikasi, dan kinerjanya termasuk infrastruktur, rantai pasokan perangkat lunak, alat sistem, perpustakaan sistem, dan runtime dari ancaman keamanan siber.

Apa saja tantangan Keamanan Kontainer?

Kontainer berada dalam sebuah ekosistem-kontainer tidak digunakan secara mandiri di dalam perusahaan. Beban kerja kontainer digunakan sebagai bagian dari arsitektur yang dapat mencakup cloud Publik (AWS, GCP, Azure), cloud Privat (VMware), dan cloud Hibrida yang diintegrasikan dengan beban kerja tradisional yang terdiri atas server dan VM, serta komponen tanpa server di sisi komputasi. Perusahaan-perusahaan ini mungkin juga menggunakan layanan infrastructure-as-a-service (IaaS) dan platform-as-a-service (PaaS) seperti S3 bucket atau RDS. Oleh karena itu, beban kerja kontainer perlu diamankan sebagai bagian dari ekosistem perusahaan.

Kontainer bersifat sementara: Siklus hidup kontainer sering kali diukur dalam hitungan detik, tetapi ada juga tingkat variabilitas yang tinggi yang membuat generalisasi menjadi sulit. Tim keamanan perlu memperhitungkan keamanan dan integritas kontainer yang mungkin hanya online selama beberapa detik, dan kontainer lain yang mungkin online selama berminggu-minggu.

Kontainer dibangun dan digunakan dalam CI/CD DevOps Pipelines. Beban kerja kontainer cenderung dipimpin oleh pengembang. Tantangan untuk keamanan adalah memberdayakan pengembang untuk menghasilkan aplikasi yang BornSecure.

Manajemen Postur Keamanan Cloud (CSPM)

CSPM untuk Wadah

Skyhigh Security dapat menyediakan pemindaian benchmark CIS dan evaluasi praktik terbaik lainnya untuk waktu pengoperasian kontainer, sistem orkestrasi (seperti Kubernetes), infrastruktur IaaS yang menjalankan beban kerja kontainer, konfigurasi penyimpanan, konfigurasi jaringan, pengaturan/peran IAM, dll. Ini membantu:

  • Memastikan bahwa konfigurasi lingkungan bukan merupakan sumber risiko (CSPM)
  • Pastikan bahwa konfigurasi lingkungan tidak berubah-ubah dari waktu ke waktu, sehingga menimbulkan risiko yang tidak disengaja

Pemindaian Kerentanan untuk Kontainer

Kontainer secara signifikan memanfaatkan komponen pihak ketiga. Semua komponen kontainer harus dievaluasi untuk mengetahui kelemahan yang diketahui atau dapat dieksploitasi.

Pemindaian kerentanan mengevaluasi komponen yang tertanam dalam kontainer pada saat pembuatan dan dipindai secara berkala untuk memastikan bahwa risiko yang diketahui telah diekspos dan dimitigasi untuk mengurangi risiko pelaku jahat yang masuk ke dalam beban kerja kontainer.

Segmentasi Nano

Temukan komunikasi antar-kontainer berdasarkan konfigurasi yang diketahui baik untuk mengamankan perilaku beban kerja yang kompleks dan dinamis:

  • Temukan dan pantau perilaku komunikasi jaringan di antara proses kontainer dengan cara yang dapat menangani sifat kontainer yang fana, dan tidak bergantung pada faktor eksternal seperti alamat IP.
  • Mendeteksi komunikasi yang tidak normal dan memberitahukan atau memblokir berdasarkan preferensi pengguna.
  • Mendeteksi perubahan pola komunikasi antara versi kontainer seiring dengan perkembangan aplikasi dari waktu ke waktu.
  • Manfaatkan konfigurasi yang sudah diketahui baik sebagai cara untuk mengamankan beban kerja, dan bukannya mengikuti konfigurasi yang sudah diketahui buruk.

Skyhigh Security solusi yang dipetakan ke siklus hidup kontainer

Keamanan seharusnya tidak memperlambat pengembang atau adopsi arsitektur yang ramah terhadap cloud seperti container. Skyhigh Security menyediakan platform keamanan yang terintegrasi dengan mulus yang terintegrasi dengan alat yang dipilih pengembang untuk digunakan untuk memelihara aplikasi mereka. Keamanan kontainer dapat memberikan pertahanan yang mendalam dengan memastikan infrastruktur dan mesin orkestrasi yang dikonfigurasi dengan benar, mengevaluasi risiko eksploitasi untuk kode yang tertanam di dalam kontainer, dan metode yang ditentukan perangkat lunak yang fleksibel untuk mengesahkan perilaku jaringan yang baik yang diketahui yang dapat menangani lingkungan yang berubah dengan cepat dari beban kerja kontainer di seluruh siklus hidupnya.

Geser ke Kiri: DevOps ke DevSecOps

Kontainer adalah jenis beban kerja yang sangat berpusat pada pengembang. Mengingat bahwa pengembang mendapatkan kontrol yang jauh lebih langsung atas arsitektur dan layanan yang digunakan, tim keamanan membutuhkan cara asinkron untuk menetapkan kebijakan, mengevaluasi penerapan terhadap praktik terbaik, dan memantau pergeseran tak terelakkan yang terjadi di lingkungan apa pun. Dengan kontainer dan arsitektur layanan mikro, jumlah variabel dan laju perubahan telah meningkat secara substansial dari sebelumnya yang dikontrol dengan ketat oleh perangkat keras atau penerapan berbasis VM. Siklus hidup kontainer sering kali diukur dalam hitungan detik, tetapi ada juga tingkat variabilitas yang tinggi yang membuat generalisasi berpotensi berbahaya. Tim keamanan perlu memperhitungkan keamanan dan integritas kontainer yang mungkin hanya online selama beberapa detik, dan yang lainnya mungkin online selama berminggu-minggu secara terus menerus. Skyhigh Security menawarkan BornSecure Containers yang mencakup:

  • Cloud Security Posture Management untuk memindai lingkungan cloud secara terus menerus untuk mendeteksi risiko dari drift yang terintegrasi ke dalam pipeline DevOps (Shift Left) untuk memastikan bahwa risiko tersebut telah teratasi sebelum diterapkan.
  • Penilaian kerentanan terhadap komponen di dalam kontainer itu sendiri untuk memastikan bahwa perusahaan tidak menggunakan kode dengan eksploitasi yang telah diketahui yang terintegrasi ke dalam pipeline DevOps (Shift Left). Skyhigh Security juga menyertakan pemindaian ulang artefak kontainer secara berkala untuk mendeteksi ketika kerentanan baru memengaruhi kontainer yang telah dibangun dan mungkin berjalan dalam produksi.

Proses DevOps tradisional: Secara tradisional, keamanan tidak diperhitungkan atau diverifikasi hingga setelah aplikasi diterapkan ke lingkungan produksi.

Saat ini, aplikasi cloud-native membutuhkan BornSecure Containers: Keamanan tertanam dalam pipeline DevOps yang memberikan umpan balik keamanan kepada pengembang saat aplikasi dibangun atau saat kode dimasukkan.

Keamanan Kontainer 101 - Daftar istilah

KS Enterprise Container Platform S/W Suite untuk Azure berdasarkan k8s. Docker Sebuah perusahaan dan nama alat yang mereka rancang untuk mempermudah pembuatan, penyebaran, dan menjalankan aplikasi dengan menggunakan kontainer. Segmentasi nano Segmentasi yang fleksibel dan berbutir halus yang didasarkan pada perilaku yang diamati.
Anomali Sesuatu yang menyimpang dari apa yang standar, normal, atau yang diharapkan. Penyimpangan Akumulasi perubahan konfigurasi atau tindakan administratif dari waktu ke waktu yang dapat menimbulkan risiko dan penyimpangan dari konfigurasi yang diketahui baik. Permukaan Serangan Jaringan Permukaan serangan terdiri dari totalitas lingkungan yang dapat dieksploitasi oleh penyerang untuk melakukan serangan yang berhasil, termasuk semua protokol, antarmuka, perangkat lunak yang digunakan, dan layanan.
Build Pembangunan sesuatu yang memiliki hasil yang dapat diamati dan nyata. Build adalah proses mengubah file kode sumber menjadi artefak perangkat lunak mandiri yang dapat dijalankan di komputer. EKS Enterprise Container Platform S/W Suite untuk Amazon berdasarkan k8s. Pipeline Serangkaian proses otomatis yang memungkinkan para pengembang dan profesional DevOps untuk mengkompilasi, membangun, dan menyebarkan kode mereka secara andal dan efisien ke platform komputasi produksi.
CICD Gabungan praktik integrasi berkelanjutan dan pengiriman berkelanjutan. ECS Enterprise Container Platform S/W Suite untuk Amazon menggunakan orkestrasi eksklusif yang mendahului adopsi k8 secara luas. Hak istimewa Konsep yang hanya mengizinkan pengguna untuk melakukan aktivitas tertentu. Sebagai contoh, pengguna biasa biasanya dicegah untuk mengubah file sistem operasi, sementara administrator sistem biasanya diizinkan untuk melakukannya.
Benchmark CIS Praktik terbaik untuk konfigurasi aman sistem target termasuk kontainer dan Kubernetes. Tolok ukur ini dikembangkan oleh organisasi nirlaba bernama Center for Internet Security (CIS) melalui konsensus para pakar keamanan siber. Properti Ephemeral digunakan untuk mendefinisikan kontainer. Karena kontainer berumur pendek, dengan masa pakai rata-rata dalam hitungan jam, maka kontainer dikatakan fana. Repositori (repo) Repositori citra kontainer adalah kumpulan citra kontainer yang terkait, biasanya menyediakan versi berbeda dari aplikasi atau layanan yang sama.
Container Unit standar perangkat lunak yang mengemas kode dan semua ketergantungannya, sehingga aplikasi berjalan dengan cepat dan andal dari satu lingkungan komputasi ke lingkungan komputasi lainnya. Container image adalah paket perangkat lunak yang ringan, mandiri, dan dapat dieksekusi yang mencakup semua yang diperlukan untuk menjalankan aplikasi: kode, runtime, alat bantu sistem, pustaka sistem, dan pengaturan. Sidik jari Kemampuan untuk melacak artefak serta perilaku artefak, sehingga pengguna dapat melihat apa yang terjadi pada sebuah build dan bagaimana serta di mana build tersebut digunakan.

Forensik Analisis postmortem untuk memahami dan mengatasi dampak pelanggaran keamanan.

 Geser ke Kiri Integrasi konfigurasi keamanan dan pemeriksaan kerentanan ke dalam pipeline DevOps. Keamanan diperkenalkan saat kode diperiksa atau dibangun, bukan menunggu sistem berjalan. Hal ini membawa keamanan ke kiri (sebelum) lingkungan produksi, tempat keamanan dilakukan secara tradisional.
Container Registry Tempat penyimpanan untuk menyimpan citra kontainer. Sebuah citra kontainer terdiri dari banyak file, yang mengenkapsulasi aplikasi. Pengembang, penguji, dan sistem CI/CD perlu menggunakan registri untuk menyimpan image yang dibuat selama proses pengembangan aplikasi. Gambar kontainer yang ditempatkan di registri dapat digunakan dalam berbagai fase pengembangan. GKE Enterprise Container Platform S/W Suite untuk Google berdasarkan k8s.

Immutable Properti yang digunakan untuk mendefinisikan kontainer. Kontainer individual tidak berubah di seluruh siklus hidup, setelah dibuat.

 Virtual Machine (VM) Lingkungan virtual yang berfungsi sebagai sistem komputer virtual dengan CPU, memori, antarmuka jaringan, dan penyimpanannya sendiri, yang dibuat di atas sistem perangkat keras fisik. Perangkat lunak yang disebut hypervisor memisahkan sumber daya mesin dari perangkat keras dan mendistribusikannya dengan tepat sehingga dapat digunakan oleh VM.
Container Runtime Perangkat lunak yang mengeksekusi kontainer dan mengelola citra kontainer pada sebuah simpul. misalnya Docker Engine. k8s Kubernetes terkadang disebut k8s (K - delapan karakter - S). Beban Kerja Kemampuan diskrit atau jumlah pekerjaan yang ingin Anda jalankan pada instance cloud.
DevOps Seperangkat praktik yang menggabungkan pengembangan perangkat lunak (Dev) dan operasi teknologi informasi (Ops) yang bertujuan untuk memperpendek siklus hidup pengembangan sistem dan menyediakan pengiriman berkelanjutan dengan kualitas perangkat lunak yang tinggi. Kubernetes (k8s) Sistem orkestrasi kontainer sumber terbuka. Sistem ini menyediakan platform untuk mengotomatiskan penerapan, penskalaan, dan pengoperasian kontainer aplikasi di seluruh cluster host. Zero-Trust Tidak Pernah Percaya Kecuali Verifikasi. Keamanan tanpa kepercayaan berarti tidak ada yang dipercaya secara default dari dalam atau luar jaringan dan verifikasi diperlukan dari semua orang yang mencoba mendapatkan akses ke sumber daya di jaringan.
DevSecOps DevSecOps adalah praktik mengintegrasikan praktik keamanan dalam proses DevOps. Perangkat lunak mikrosegmentasi mikrosegmentasi menggunakan teknologi virtualisasi jaringan untuk menciptakan zona keamanan yang sangat terperinci di pusat data dan penerapan cloud, yang mengisolasi setiap beban kerja dan mengamankannya secara terpisah.

Mata Pelajaran Lain

Pengantar Manajemen Postur Keamanan Data (DSPM)

Apa yang dimaksud dengan Proksi?

Tokenisasi vs Enkripsi

Panduan Langkah-demi-Langkah untuk Praktik Terbaik Keamanan Cloud

Apa yang dimaksud dengan Cloud Workload Protection Platform (CWPP)?

Masalah Keamanan Komputasi Awan

Apa yang dimaksud dengan Isolasi Peramban?

Apa yang dimaksud dengan Keamanan Cloud?