Publikation von Christoph Puppe
Virtualisierung: Tools zur Absicherung von Containern
Kernel-Exploits, Denial of Service, Breakouts: Container sind praktisch, bieten aber auch Angriffsfläche. Der klassische Sysadmin-Werkzeugkoffer kennt klare Kategorien wie Firewall und Virenscanner; bei Containern verschwimmen diese Grenzen, weil sich die Funktionen der Produkte stark überschneiden. Der Artikel sortiert den Markt in Image Assurance, Netzwerkwerkzeuge, IAM, Container-Härtung und Compliance-Checks, mit Vergleichstabellen. Grundlage jeder Bewertung ist das Zusammenspiel mit Kubernetes: Nur die Orchestrierung entscheidet, ob ein Image startet, weshalb Scanner idealerweise als Admission Controller andocken; eine Break-Glass-Funktion für den Notfall ist Pflicht. Zu den Image-Scannern zählen Anchore, CoreOS Clair, Grafeas mit Kritis und OpenSCAP; der Abgleich läuft gegen die öffentlichen CVE-Datenbanken, und die Malware-Suche einiger Produkte ist mit Vorsicht zu genießen, da die Erkennungsraten nicht an klassische Virenscanner heranreichen. Bei den Netzwerk-Plug-ins reicht die Spanne von Istio, das als Service Mesh mit mTLS nur authentifizierte Verbindungen zulässt, aber nur HTTP behandelt, über Calico mit BGP-Routing und Cilium mit BPF-Filtern bis zu VMwares NSX-T mit verteilter Firewall und echter Mandantenfähigkeit, dafür Closed Source. Gegen Zugangsdaten im Code helfen Secrets-Manager wie HashiCorp Vault oder CyberArk. Die kommerziellen Multitools TwistLock, AquaSec und NeuVector kombinieren Konfigurationsprüfung, Firewall und Image-Scan und lernen Profile selbsttätig. Das Fazit: Eine gut abgesicherte Umgebung braucht für jede Kategorie ein Produkt. Die eine Lösung für alles gibt es nicht; die beste Absicherung liefert die Kombination.
heise online · iX 4/2019 · PDF · Permalink