Guía de análisis de seguridad de Docker

Docker tiene una enorme base de usuarios en todo el mundo: recientemente superó los 10 millones de usuarios y los 242 mil millones de descargas de imágenes, y cambió la forma de crear aplicaciones.

Con la mayor velocidad de desarrollo que permite la contenerización, los desarrolladores asumen responsabilidades de seguridad adicionales y ahora deben mantener las imágenes de contenedor, además de su código.

¿Qué es Docker?

Docker es un conjunto de productos de plataforma como servicio (PaaS) que se utilizan para ejecutar aplicaciones y servicios en entornos aislados propios, llamados contenedores, mediante la virtualización a nivel del sistema operativo.

Docker te permite instalar en un contenedor todas las dependencias que necesita un servicio, para que no tengas que preocuparte por instalar de forma nativa en tu computadora versiones no deseadas o diferentes del mismo paquete. Esto facilita distribuir el entorno de trabajo completo de una aplicación a otras personas, dentro o fuera de tu equipo.

Puedes subir o enviar fácilmente tus imágenes de Docker a DockerHub, el servicio propio de Docker que ofrece cuentas gratuitas y de pago, o a repositorios de terceros, como Amazon Elastic Container Registry (ECR) o Google Container Registry (GCR).

Pero ¿cómo le indicas a un contenedor qué dependencias o herramientas debe instalar? Dockerfile se diseñó específicamente para este propósito.

¿Qué es un Dockerfile?

Dockerfile le indica a Docker cómo preparar un contenedor. Una vez que escribas todas las instrucciones en Dockerfile, puedes crear una imagen a partir de ese archivo. Para compartir tus imágenes, puedes compartir simplemente el archivo Dockerfile, que permitirá que cualquiera cree la imagen, o compartir las imágenes directamente. La ventaja es que, una vez que compartiste tu imagen, no es necesario volver a crearla.

Explicación del análisis de seguridad de Docker

Snyk Container pone el análisis de seguridad de contenedores, diseñado para desarrolladores, directamente en tus manos. Ahora puedes analizar la imagen de tu contenedor con Snyk CLI y con la extensión de Snyk Container en Docker Desktop (disponible en el Marketplace de extensiones de Docker Desktop). Analizar desde la línea de comandos es sencillo. Puedes empezar aquí:

Analiza tu imagen con Snyk CLI usando este comando:

snyk container test <image-name>

Esto te permite encontrar y corregir vulnerabilidades en las imágenes de contenedor antes de enviarlas a Docker Hub, ECR, GCR, Harbor o cualquier otro registro que uses.

Los análisis de vulnerabilidades con tecnología de Snyk son un poco diferentes a los que quizá conozcas de otras herramientas. Además de enumerar los problemas, Snyk busca orientar a los desarrolladores para que puedan actuar:

• Al incluir el archivo Dockerfile junto con la imagen mediante la opción --file <path/to/Dockerfile>, los resultados de docker scan incluyen detalles para elegir una imagen base más reciente o pequeña, con menos vulnerabilidades.

• Las vulnerabilidades se vinculan con la instrucción de Dockerfile que las introdujo, junto con las dependencias pertinentes para rastrear el problema y corregirlo.

• El comando snyk container monitor revisa continuamente tus contenedores existentes para detectar vulnerabilidades nuevas y te avisa cuando encuentra alguna.

¿Por qué es importante el análisis de seguridad de Docker?

El análisis de seguridad de imágenes de contenedor es importante porque es la principal forma de encontrar y corregir vulnerabilidades en las imágenes antes de enviarlas a Docker Hub, ECR, GCR, Harbor o cualquier otro registro que uses.

Si usas un servicio de orquestación de contenedores como Kubernetes, quizá pienses que estos problemas de seguridad ya están resueltos, pero no necesariamente es así. Aunque Kubernetes tiene políticas de seguridad sobre cómo ejecutar pods (que, en esencia, son contenedores), no ofrece mucha protección para el código o los servicios que se ejecutan dentro de ellos. Esa responsabilidad recae en el usuario. Al configurar tu clúster de Kubernetes, algo que también se hace mediante código, es importante seguir las prácticas recomendadas de seguridad de Kubernetes.

Tipos de análisis de seguridad de Docker

Buscar vulnerabilidades conocidas en los paquetes enumerados en tus imágenes de Docker mediante la base de datos CVE mencionada antes no siempre es suficiente. Las vulnerabilidades de seguridad pueden estar ocultas en muchos lugares. Para abordarlas, hay diversas herramientas y servicios de análisis de seguridad disponibles para contenedores Docker:

• Herramientas de configuración de red: Estas herramientas analizan la configuración de puertos y redes de las imágenes de Docker para identificar y señalar problemas. Algunos ejemplos son Cilium y Sysdig Falco.

• Herramientas de administración de identidades y accesos: Evitar que tu contenedor tenga acceso completo a todos tus recursos es una medida de seguridad importante. Esto implica asignar determinados roles y responsabilidades a los contenedores de Docker. Hay herramientas que facilitan esta tarea y también aplican y supervisan esos roles. Notary es una de ellas.

• Herramientas de políticas definidas por el usuario: Algunas herramientas incluso te permiten definir y aplicar tus propias políticas de seguridad en los contenedores. Grafeas es una herramienta popular de esta categoría.

• Herramientas de código abierto: Hay varias herramientas de análisis de vulnerabilidades de código abierto disponibles. Las herramientas de análisis de código abierto y de generación de SBOM son populares entre los desarrolladores que usan otras herramientas de código abierto, como frameworks, sistemas operativos o IDE. Los expertos en seguridad también prefieren el código abierto porque es fácil de auditar y ofrece mayor visibilidad. Si recién empiezas a usar Docker o contenedores, también querrás saber qué instrucción de Dockerfile está causando problemas de seguridad en tu contenedor; hay herramientas para eso. Snyk Open Source es un excelente ejemplo de herramienta de análisis de seguridad de código abierto (también conocida como herramienta de análisis de composición de software); puedes registrarte y usarla gratis.

• Herramientas de seguridad de aplicaciones: Hay distintos tipos de herramientas para proteger el código que se ejecuta dentro de tus contenedores Docker, incluidas las herramientas SAST, como Snyk Code, que ayuda a los desarrolladores a proteger sus aplicaciones.

Ninguna herramienta de análisis de seguridad puede garantizar que una imagen o un contenedor Docker sea 100 % seguro. Sin embargo, este tipo de herramienta de análisis de seguridad de imágenes Docker puede ayudarte a reducir el riesgo de vulnerabilidades en tu aplicación e infraestructura. Además, algunas herramientas ofrecen supervisión continua de contenedores y alertas, para avisarte si se detecta algún problema. Si sigues las prácticas recomendadas de seguridad de Docker, también puedes reducir el riesgo de introducir vulnerabilidades. Crea y distribuye aplicaciones basadas en contenedores con confianza. Protege tus aplicaciones contenerizadas con el analizador de vulnerabilidades de Docker de Snyk.

Conclusiones clave sobre el análisis de seguridad de Docker

El analizador de línea de comandos de Snyk Container es una herramienta sencilla pero potente para detectar y corregir vulnerabilidades desde las primeras etapas del desarrollo. Puedes ejecutar esta solución inmediatamente después de crear la imagen para resolver los problemas antes de enviarla a tu registro. Si tienes preguntas o se te ocurrió un caso de uso ingenioso, nos encantaría que nos contactaras en el sitio de la comunidad de Snyk.