Publikation von Christoph Puppe
Sicher am laufenden Band: Docker-Container und -Hosts überwachen
Früher war „Ich werde dich durch ein Shell-Script ersetzen" eine freundliche Drohung gegenüber Administratoren, heute ist es Arbeitsrealität. DevSecOps erweitert DevOps um die Sicherheit, und der Artikel vergleicht vier Produkte und ein Framework, die Docker-Container und -Hosts über den gesamten Lebenszyklus auf Schwachstellen und Konfigurationsfehler prüfen, mindestens gegen den CIS Benchmark. Entscheidend ist die Einbettung über RESTful APIs, denn das Ziel bleibt, keine manuellen Schritte im Betrieb zu benötigen. Tenable bringt mit fast 20 Jahren Nessus die größte Erfahrung mit, verlangt für den vollen Funktionsumfang aber Agenten auf den Hosts, und die On-Premises-Variante ist stark eingeschränkt. Aqua Security verwaltet signierte Images, erstellt im Lernmodus Firewall-Profile aus dem Netzverkehr und unterbindet Port-Scans und Fork-Bombs; die behaupteten 5 Millionen Schwachstellensignaturen erscheinen allerdings hoch, Erkennungsqualität braucht viele Jahre Einsatz auf vielen Systemen. Twistlock überwacht als einziges Produkt die Kernel-API-Nutzung der Container und kann abweichende Container isolieren, lässt aber die Überwachung der Host-Konfiguration aus. NeuVector konzentriert sich auf Netzwerkverkehr und dynamische Firewall-Regeln auch für den Ost-West-Verkehr, bietet dafür weniger CI/CD-Integration. Wer Chef, Ansible oder Puppet betreibt, kann mit InSpec und dem CIS-Docker-Profil von dev-sec.io Compliance as Code umsetzen. Das Fazit: ein guter Start in die Automatisierung der Sicherheit im automatisierten Betrieb; die Nachfrage trägt mehrere Hersteller, und die großen Namen des Schwachstellenmanagements wie Qualys werden das Segment für sich entdecken.