Bâtir des bases solides pour la sécurité des conteneurs

Les déploiements conteneurisés gagnent en popularité, et pour cause. Les conteneurs permettent aux développeurs d’aller plus vite et de déployer des applications de manière fiable en les transformant en unités de code autonomes et portables. Toutefois, avec l’adoption des logiciels basés sur des conteneurs, la responsabilité de la sécurité des conteneurs incombe également aux développeurs. L’analyse des conteneurs permet aux développeurs de s’assurer efficacement que leurs conteneurs sont sécurisés.

Examinons de plus près les principes de base de l’analyse des conteneurs et le fonctionnement des outils automatisés d’analyse des conteneurs. Nous aborderons également les types de vulnérabilités que ces outils peuvent détecter et l’incidence des couches d’image sur la sécurité des conteneurs.

Les bases de l’analyse des conteneurs

Les vulnérabilités peuvent être introduites dans les conteneurs de différentes manières : par les logiciels qu’ils hébergent, par la façon dont ils interagissent avec le système d’exploitation hôte et les conteneurs voisins, par les configurations réseau et de stockage, et bien plus encore. Un outil d’analyse des conteneurs est un outil automatisé qui examine ces différents composants afin de détecter les vulnérabilités.

Outre les vulnérabilités introduites directement par le code et les outils que vous ajoutez à une image, des problèmes peuvent provenir d’autres images dont dépendent vos conteneurs. On les appelle des images parentes ou des images de base (bien que le terme « parente » soit techniquement plus exact). En effet, votre image de conteneur peut être basée sur une image accessible au public qui contient des vulnérabilités connues et des logiciels malveillants, surtout si vous ne l’avez pas téléchargée auprès d’un éditeur vérifié et que vous n’avez pas authentifié l’éditeur et le contenu de l’image. Même les images de fournisseurs réputés et de confiance présentent souvent des vulnérabilités. Toutefois, en analysant votre image à la recherche de vulnérabilités et en identifiant vos images parentes ainsi que leurs vulnérabilités, vous pouvez souvent corriger un grand nombre de problèmes en une seule modification.

Les outils d’analyse de sécurité peuvent être intégrés à différentes étapes du développement. Vous pouvez, par exemple, analyser des images parentes potentielles depuis votre ordinateur avant de choisir celle qui servira de base à votre image. Certains outils et plug-ins pour IDE analysent les Dockerfiles et suggèrent des images de remplacement présentant moins de vulnérabilités ou une taille plus réduite. De nombreuses organisations intègrent l’analyse des vulnérabilités des conteneurs à leurs pipelines d’intégration continue et de livraison continue (CI/CD), où les images « réelles » sont souvent créées avant leur déploiement. L’analyse de vos pipelines vous permet d’empêcher le stockage dans vos registres et le déploiement en production d’images de conteneurs présentant trop de problèmes. La plupart des équipes surveillent également les déploiements conteneurisés lorsqu’ils s’exécutent sur Kubernetes ou une autre plateforme. L’analyse de sécurité des conteneurs peut donc considérablement améliorer la sécurité d’une application sans demander beaucoup d’efforts supplémentaires aux développeurs.

L’analyse des registres de conteneurs est également un excellent moyen de réduire le nombre de vulnérabilités dans toutes les images fréquemment utilisées au sein de votre organisation. Par exemple, l’intégration de Snyk à Docker Hub crée une source fiable d’images publiques que les développeurs peuvent utiliser comme base pour les conteneurs qu’ils créent. Vous pouvez aussi surveiller vos images stockées au fil du temps, afin de repérer toute nouvelle vulnérabilité divulguée dans vos images existantes et d’empêcher le déploiement de ces images en production à l’avenir. En outre, vous avez probablement plusieurs images anciennes qui changent rarement, ou des images de tiers stockées dans votre registre de conteneurs. Ces images ne passent pas par vos pipelines CI/CD : les analyser directement dans le registre permet donc de déterminer si elles peuvent être utilisées en toute sécurité. Un outil d’analyse de registre peut ainsi aider les développeurs à utiliser en toute confiance les images destinées aux déploiements conteneurisés.

Quels types de vulnérabilités des conteneurs peut-on détecter ?

Comme indiqué précédemment, les vulnérabilités peuvent être introduites dans un conteneur de différentes manières. Elles peuvent aller d’un code d’application non sécurisé et de configurations incorrectes à l’exécution aux menaces réseau et aux problèmes de contrôle d’accès. Pour vous protéger contre ces menaces, vous devez assurer une surveillance continue des conteneurs et vous tenir au courant des nouvelles vulnérabilités dès leur découverte.

La plupart des solutions d’analyse des conteneurs s’appuient sur des sources publiques d’informations sur les vulnérabilités, comme la National Vulnerability Database (NVD) ou la base de données Common Vulnerabilities & Exposures (CVE). Ces bases de données répertorient les exploits connus afin de faciliter la gestion automatisée des vulnérabilités, l’évaluation de la sécurité et la conformité.

L’équipe de recherche en sécurité de Snyk enrichit les données sur les vulnérabilités des conteneurs pour faciliter la priorisation de ce qui peut sembler être un nombre écrasant de vulnérabilités. Plusieurs facteurs sont pris en compte : l’exécution ou non du conteneur dans un cluster Kubernetes et, le cas échéant, sa configuration ; la disponibilité d’un exploit éprouvé ; les discussions sur les réseaux sociaux ; ainsi que les détails propres aux vulnérabilités des distributions Linux. Snyk Container met ces informations en évidence pour vous aider à déterminer facilement quels problèmes traiter en priorité.

Incidence des couches de conteneur sur la détection des vulnérabilités

Les conteneurs sont les briques des applications modernes, et l’un des avantages de leur utilisation est la possibilité de s’appuyer sur le travail d’autres personnes. Docker a simplifié cette démarche pour les développeurs et le partage d’images de conteneurs via Docker Hub. Docker fournit également ses propres images officielles Docker, qui couvrent un large éventail de langages, de frameworks et d’autres services applicatifs. En créant vos propres images à partir du travail d’autres personnes, vous obtenez des conteneurs composés de plusieurs couches en lecture seule et d’une dernière couche en lecture-écriture.

Chaque nouvelle couche peut introduire de nouvelles vulnérabilités dans le conteneur. Il est donc essentiel que l’outil d’analyse utilisé puisse détecter les problèmes couche par couche. C’est encore mieux s’il relie ces couches aux commandes ou aux instructions du Dockerfile qui les ont créées, car les développeurs connaissent mieux cet emplacement pour apporter une modification. De plus, puisque les images sont presque toujours construites à partir d’autres images (avec la commande FROM d’un Dockerfile, par exemple), un outil d’analyse des vulnérabilités des conteneurs comme Snyk Container, capable d’identifier certaines couches comme des images officielles Docker et de proposer intelligemment des solutions de remplacement qui réduisent les vulnérabilités, est bien plus utile qu’un outil qui se contente de présenter les couches brutes. Un plus grand nombre de couches dans un conteneur correspond généralement à un plus grand nombre de packages installés. Or, plus de packages signifie aussi plus de vulnérabilités et donc davantage de risques. Il est donc recommandé d’utiliser les images les plus légères possible pour répondre aux besoins de votre application.

Une sécurité complète des conteneurs

Comme les conteneurs sont constitués de plusieurs couches, une sécurité complète exige de rechercher les vulnérabilités dans le code personnalisé, les dépendances open source, les conteneurs et les Dockerfiles eux-mêmes, et, dans certains cas, dans les fichiers d’infrastructure as code (IaC). Ces composants sont au cœur des applications cloud natives. Il est donc essentiel d’en tenir compte lors de la mise en place d’un workflow de développement sécurisé.

Snyk propose une suite complète d’outils d’analyse de sécurité pour les applications cloud natives, afin que les équipes de développement puissent facilement détecter et corriger les vulnérabilités dès les premières étapes du développement. Snyk s’intègre parfaitement aux workflows de développement existants, ce qui facilite l’adoption de nouveaux processus de sécurité par les équipes de développement. Les organisations peuvent ainsi intégrer la sécurité dès le début du cycle de développement et protéger leurs conteneurs et applications dès le départ.

Plus précisément, Snyk Container peut analyser vos conteneurs, mais aussi les Dockerfiles eux-mêmes. Il relie les vulnérabilités aux commandes qui les ont introduites et recommande des images parentes moins vulnérables, voire propose des pull requests pour les utiliser. Ce contexte détaillé sur les problèmes de sécurité aide les développeurs à prioriser les correctifs en fonction de leur exploitabilité, afin d’améliorer immédiatement la posture de sécurité des conteneurs et des applications, avec le moins de modifications possible.

FAQ sur l’analyse des conteneurs

Comment fonctionne l’analyse des conteneurs ?

L’analyse des conteneurs à la recherche de vulnérabilités fait généralement appel à un outil de sécurité qui examine une image de conteneur couche par couche afin de détecter les problèmes de sécurité potentiels. La plupart des solutions d’analyse s’appuient sur une base de données de vulnérabilités connues, permettant aux organisations de rester à jour face à l’évolution des menaces. Les applications conteneurisées comprennent également plusieurs composants : code personnalisé, dépendances open source, images, fichiers Dockerfile et bien plus encore. Pour garantir une sécurité complète des conteneurs, il est essentiel de rechercher les vulnérabilités dans tous ces composants.