Publikation von Christoph Puppe
Sicherheit für Container
Agile IT und Container bringen Tempo, aber was dauert und kostet, wird gern vernachlässigt: die Sicherheit. Der Artikel beschreibt, wie DevSecOps und Site Reliability Engineering die Absicherung von Anfang an in die agile Kultur einbauen. Die Grundpfeiler sind Standardisierung und Automatisierung, automatisierte Scans von Code und Images in den Pipelines, IAM und RBAC auch für Prozesse, Separierung sowie die Fähigkeit, jedes Image und jeden Server umgehend zu patchen. Auch das Monitoring hat sich gewandelt: Früher genügte die Frage, ob ein Prozess läuft, heute messen Service Level Indicator und Objective, ob jede Anfrage korrekt und schnell genug beantwortet wird. Der zweite Teil der Überwachung gilt der Compliance: Betriebsumgebungen bestehen aus vielen Schichten mit Hunderten sicherheitsrelevanter Einstellungen, und wer auch Public Clouds nutzt, müsste Dutzende Oberflächen bedienen. Compliance-Management-Werkzeuge sind in größeren Umgebungen die einzige Chance, den Überblick zu behalten; der Abgleich mit den Benchmarks des Center for Internet Security ist praktisch überall enthalten. Kubernetes übernimmt den gesamten RZ-Betrieb, und dort setzen die Multi-Tools an: Netzwerkregeln überwachen, Verhaltensregeln über SECCOMP, AppArmor oder SELinux durchsetzen, Compliance von Servern, Containern und Kubernetes selbst prüfen. Die besseren Produkte beenden verdächtige Prozesse und sammeln bei Vorfällen automatisch Forensikdaten. Den rechtlichen Rahmen liefern PCI, die KRITIS-Verordnung und das Grundschutz-Kompendium des BSI. Das Fazit fällt eindeutig aus: Mit Containern steigt die Komplexität um Größenordnungen, und ohne automatisiertes Compliance-Monitoring ist die Sicherheit nicht zu halten.
iX 10/2020 · PDF · Permalink