Como criar uma base sólida para a segurança de contêineres

As implantações em contêineres estão cada vez mais populares — e por bons motivos. Os contêineres permitem que os desenvolvedores trabalhem com mais agilidade e implantem aplicações de forma confiável, transformando-as em unidades de código independentes e portáteis. No entanto, com a adoção de softwares baseados em contêineres, a responsabilidade pela segurança de contêineres também passa a ser dos desenvolvedores. A varredura de contêineres é uma maneira eficiente de garantir que eles estejam seguros.

Vamos conhecer melhor os conceitos básicos da varredura de contêineres e entender como funcionam os scanners automatizados. Também vamos falar sobre os tipos de vulnerabilidades que eles podem detectar e sobre o impacto das camadas de imagem na segurança de contêineres.

Conceitos básicos da varredura de contêineres

As vulnerabilidades podem chegar aos contêineres de várias formas: pelo software dentro do contêiner, pela interação do contêiner com o sistema operacional host e com contêineres próximos, pelas configurações de rede e armazenamento, entre outras. Um scanner de contêineres é uma ferramenta automatizada que analisa esses diversos componentes para detectar vulnerabilidades de segurança.

Além das vulnerabilidades introduzidas diretamente pelo código e pelas ferramentas adicionadas a uma imagem, também podem surgir problemas em outras imagens das quais seus contêineres dependem. Elas são chamadas de imagens pai ou imagens base (embora, tecnicamente, “imagem pai” seja o termo mais correto). Na verdade, sua imagem de contêiner pode se basear em uma imagem pública com vulnerabilidades e malware conhecidos, especialmente se você não a baixou de um publicador verificado nem autenticou o publicador e o conteúdo da imagem. Até mesmo imagens de provedores conhecidos e confiáveis costumam ter vulnerabilidades. Mas, ao fazer a varredura da sua imagem e identificar as imagens pai e suas vulnerabilidades, muitas vezes é possível corrigir vários problemas com uma única alteração.

Os scanners de segurança podem ser integrados a diferentes etapas do desenvolvimento. Por exemplo, você pode fazer a varredura de possíveis imagens pai no seu computador antes de escolher qual usar como base para sua imagem. Algumas ferramentas e extensões de IDE analisam Dockerfiles e indicam imagens alternativas, com menos vulnerabilidades ou menor tamanho. Muitas organizações integram a varredura de vulnerabilidades em contêineres aos pipelines de integração contínua e entrega contínua (CI/CD), onde as imagens “reais” costumam ser criadas antes da implantação. A varredura nos pipelines ajuda a impedir que imagens com muitos problemas sejam armazenadas nos registros ou cheguem à produção. A maioria das equipes também monitora as implantações em contêineres quando elas estão em execução no Kubernetes ou em outra plataforma. Portanto, a varredura de segurança de contêineres pode aumentar significativamente a segurança de uma aplicação, sem exigir muito esforço adicional dos desenvolvedores.

A varredura de registros de contêineres também é uma ótima maneira de reduzir o número de vulnerabilidades nas imagens usadas com frequência em toda a organização. Por exemplo, a integração da Snyk com o Docker Hub cria uma fonte confiável de imagens públicas que os desenvolvedores podem usar como base para os contêineres que criam. Você também pode monitorar as imagens armazenadas ao longo do tempo, identificar vulnerabilidades recém-divulgadas nas imagens existentes e impedir que elas sejam implantadas na produção no futuro. Além disso, provavelmente há imagens antigas que mudam pouco ou imagens de terceiros armazenadas no seu registro de contêineres. Como essas imagens não passam pelos pipelines de CI/CD, fazer a varredura diretamente no registro é uma boa forma de verificar se elas são seguras. Assim, um scanner de registros ajuda os desenvolvedores a usar imagens em implantações de contêineres com confiança.

Que tipos de vulnerabilidades em contêineres podem ser detectados?

Como mencionamos, há várias maneiras de introduzir vulnerabilidades em um contêiner. Elas podem incluir desde código de aplicação inseguro e configurações incorretas em tempo de execução até ameaças à rede e problemas de controle de acesso. Para se proteger contra essas ameaças, é necessário fazer o monitoramento contínuo de contêineres e manter-se atualizado sobre novas vulnerabilidades assim que forem descobertas.

A maioria das soluções de varredura de contêineres usa fontes públicas de informações sobre vulnerabilidades, como o National Vulnerability Database (NVD) ou o banco de dados Common Vulnerabilities & Exposures (CVE). Esses bancos de dados publicam exploits conhecidos para viabilizar o gerenciamento automatizado de vulnerabilidades, a avaliação de segurança e a conformidade.

A equipe de pesquisa de segurança da Snyk enriquece os dados sobre vulnerabilidades em contêineres com informações que facilitam a priorização de um volume que pode parecer enorme. Entre os fatores considerados estão se o contêiner está em execução em um cluster do Kubernetes e, em caso afirmativo, como ele está configurado; a disponibilidade de um exploit maduro; as conversas nas redes sociais; e detalhes sobre vulnerabilidades específicas de distribuições Linux. A Snyk Container apresenta esses fatores para ajudar você a identificar com facilidade os problemas mais importantes a resolver.

Como as camadas de contêiner afetam a detecção de vulnerabilidades

Os contêineres são componentes básicos das aplicações modernas. Uma das vantagens de usá-los é poder aproveitar o trabalho de outras pessoas. O Docker facilitou esse processo para os desenvolvedores e também o compartilhamento de imagens de contêineres pelo Docker Hub. Além disso, o Docker oferece suas próprias Docker Official Images, que abrangem diversas linguagens de programação, frameworks e outros serviços de aplicação. Ao criar suas próprias imagens com base no trabalho de outras pessoas, seus contêineres passam a ter várias camadas somente leitura e uma camada final de leitura e gravação.

Cada nova camada pode introduzir vulnerabilidades no contêiner. Por isso, é fundamental que o scanner usado detecte problemas camada por camada. Melhor ainda se ele relacionar as camadas aos comandos ou às instruções do Dockerfile que as criaram, já que esse é um lugar mais familiar para os desenvolvedores fazerem alterações. Além disso, como as imagens quase sempre são criadas sobre outras imagens — por exemplo, com o comando FROM em um Dockerfile —, um scanner de vulnerabilidades como o Snyk Container, capaz de identificar que determinadas camadas são, na verdade, uma Docker Official Image e sugerir alternativas que reduzam as vulnerabilidades, é ainda melhor do que uma ferramenta que apenas exibe as camadas. Em geral, quanto mais camadas um contêiner tem, mais pacotes são instalados. E, como mais pacotes também significam mais vulnerabilidades e, portanto, mais riscos, é uma boa prática usar as imagens menores possíveis que atendam às necessidades da sua aplicação.

Segurança abrangente de contêineres

Como os contêineres são compostos por várias camadas, uma estratégia de segurança abrangente exige a varredura de vulnerabilidades no código personalizado, nas dependências de código aberto, nos contêineres e nos próprios Dockerfiles e, em alguns casos, nos arquivos de infraestrutura como código (IaC). Esses são componentes das aplicações modernas nativas da nuvem e, por isso, devem ser considerados ao criar um fluxo de trabalho de desenvolvimento seguro.

A Snyk oferece um conjunto abrangente de ferramentas de varredura de segurança para aplicações nativas da nuvem, ajudando as equipes de desenvolvimento a encontrar e corrigir vulnerabilidades com facilidade logo no início do processo. A Snyk se integra perfeitamente aos fluxos de trabalho de desenvolvimento existentes, reduzindo o atrito na adoção de novos processos de segurança pelas equipes. Assim, as organizações podem integrar a segurança desde o início e proteger seus contêineres e aplicações desde o começo.

Mais especificamente, a Snyk Container não só analisa seus contêineres, como também os próprios Dockerfiles. Ela relaciona as vulnerabilidades aos comandos que as introduziram e recomenda imagens pai com menos vulnerabilidades — inclusive por meio de pull requests. Esse contexto detalhado sobre os problemas de segurança ajuda os desenvolvedores a priorizar as correções com base na possibilidade de exploração e a melhorar imediatamente a postura de segurança de contêineres e aplicações, com o mínimo possível de alterações.

Perguntas frequentes sobre varredura de contêineres

Como funciona a varredura de contêineres?

A varredura de contêineres em busca de vulnerabilidades geralmente é feita por uma ferramenta de segurança que analisa cada camada da imagem do contêiner para detectar possíveis problemas. A maioria das soluções de varredura consulta um banco de dados de vulnerabilidades conhecidas, permitindo que as organizações se mantenham atualizadas à medida que o cenário de ameaças evolui. Aplicações em contêineres também são compostas por vários elementos, como código personalizado, dependências de código aberto, imagens, arquivos Docker e muito mais. É essencial procurar vulnerabilidades em todos esses elementos para garantir uma segurança abrangente dos contêineres.