Die Verwendung von virtualisierten Containern mit Funktionen liegt im Trend. Zur Verwaltung der Container kommen Orchestrierungslösungen, wie beispielsweise Kubernetes, zum Einsatz. Ist diese Lösung aber kompromittiert, betrifft dies alle verwalteten Container. Es stellt sich daher die Frage nach der Sicherheit von Kubernetes und welche Fallstricke es gibt. Ich habe einige Information dazu von Check Point erhalten, die ich hier mal einstelle.
Anzeige
Immer mehr Entwickler setzen für ihre Projekte auf die Containerisierung von Anwendungen. Um diese Container anschließend optimal verwalten zu können, helfen Orchestrierungslösungen, wie beispielsweise Kubernetes, die Dinge wie Bereitstellung, Verwaltung und Skalierung unterstützen oder gar automatisieren können. Aktuelle Berichte sprechen, laut Christine Schoenig, Regional Director Security Engineering CER, Office of the CTO, bei Check Point Software Technologies GmbH, von rund 5,6 Millionen Entwicklern, die mittlerweile mit Kubernetes arbeiten. Das entspricht einem Anstieg von rund 67 Prozent im Vergleich zum Vorjahr.
Große Hürde Sicherheit
Die größte Hürde, mit der sich selbige Entwickler konfrontiert sehen, ist laut Red Hat's State of Kubernetes Security–Bericht nach wie vor das Thema Sicherheit. Laut eigenen Angaben hatten 94 Prozent der Befragten in den vorangegangenen 12 Monaten mit mindestens einem Zwischenfall zu kämpfen. Doch wo genau liegen die größten Probleme?
1. Fehlkonfigurationen
Wie bei vielen anderen Security-Themen spielt auch bei Kubernetes das menschliche Element eine große Rolle. Durch die ansteigende Nutzung und oftmals noch kurze Adaptionszeit in der Entwicklung kommt es oftmals zu Fehlkonfigurationen, die Einfallstore für potenzielle Angreifer öffnen.
2. Versteckte Elemente
Manche Fehler oder gar versteckte Malware kann vor der Bereitstellung und ohne Laufzeit nicht rechtzeitig gefunden werden und entzieht sich so lange der Entdeckung, bis es zu spät sein kann.
3. Neue Schwachstellen
Anzeige
Die breitere Adaption in der Entwicklung zieht ebenfalls ein gesteigertes Interesse von Cyberkriminellen mit sich – daher entsteht ein Wettlauf in der Suche nach möglichen Schwachstellen, die gestärkt oder ausgenutzt werden könnten.
4. Datensicherheit
Welche Daten wie in Kubernetes zu sichern sind, stellt nach wie vor viele Unternehmen und deren Entwickler vor Fragezeichen. Mit dem gesteigerten öffentlichen Interesse, Datenschutzgesetzen und Verordnungen (Bsp. DSGVO) und dem Anstieg an Klagen durch Betroffene ist Datensicherheit allerdings ein Kernthema, das adressiert werden muss.
Wie Unternehmen sich richtig schützen
Neben den Fallstricken, mit denen sich Unternehmen im Zusammenhang mit Containern und Kubernetes konfrontiert sehen, gibt es auch Mittel und Wege, um die Technologie so sicher wie möglich zu nutzen.
1. Sicherheit in der Entwicklung
Entwickler müssen realisieren, dass Agilität und Sicherheit in ihrer Arbeit keine Gegensätze sein müssen: Der DevSecOps-Ansatz erlaubt, die beiden Paradigmen miteinander zu verheiraten. Frühzeitige Automation und Sicherheitsüberprüfungen helfen dabei, Fehler im Code und Artefakte frühzeitig aufzudecken.
2. Überprüfung der eigenen Einstellungen
Neben der Möglichkeit, die eigenen Einstellungen manuell zu überprüfen, gibt es mittlerweile KI-gestützte Hilfen, die Entwickler dabei unterstützen können, kritische Fehlkonfigurationen zu ermitteln und zu beheben, bevor Schaden entstehen kann.
3. Kubernetes Secrets
Eine Möglichkeit, um unerlaubten Zugriff auf die eigenen Anwendungen zu verhindern, ist die Implementierung von Kubernetes Secrets: Spezielle Container-Objekte, die dafür genutzt werden, um sensible Inhalte wie Credentials und Schlüssel zu speichern und zu den Pods zu liefern, bei denen sie gebraucht werden.
Sicherheit muss zur Priorität werden
Neben den genannten Mitteln, um die eigene Container-Entwicklung und anschließende Bereitstellung sicherer zu gestalten, müssen Unternehmen, die das volle Potenzial von Containern und Kubernetes nutzen wollen, auch realisieren, dass Sicherheit zum Standard werden muss. Das bedeutet auch, dass man bereit sein muss, in das notwendige Werkzeug zu investieren, um die Anwendungen resilienter zu machen. Wer das versäumt, der droht sich in den Fallstricken der Technologie zu verheddern, meint Christine Schoenig.
2015
