खतरनाक अभिनेता कंटेनरों पर कैसे हमला करेंगे और उनका उपयोग कैसे करेंगे? यह एक ऐसा प्रश्न है जिसके बारे में मैं लगातार सोचता रहता हूं। मैं इस क्षेत्र में दो दशकों से अधिक समय से काम कर रहा हूं, और मुझे लगता है कि मेरे पास इसका उत्तर होना चाहिए। लेकिन मैं नहीं.
इसके बजाय, मेरे पास बहुत सारे अलग-अलग विचार हैं, जिनमें से किसी को भी मैं वास्तव में सही नहीं बता सकता। इस अनिर्णय का एक कारण यह है कि मैंने अपना सारा समय "विरासत" की दुनिया में सुरक्षा सीखने में बिताया। कंटेनरों का वास्तव में कोई एनालॉग नहीं होता है। निश्चित रूप से, वर्चुअल मशीन (वीएम) को अक्सर कंटेनरों के साथ जोड़ दिया जाता है, लेकिन वे कभी भी कंटेनरों की तरह स्केल करने में सक्षम नहीं थे। इनका उपयोग कंटेनरों की तुलना में पूरी तरह से अलग उद्देश्यों के लिए भी किया जाता है। मेरी सोच को समायोजित करने और यह समझने में थोड़ा समय लगा कि कंटेनर वास्तव में हमले की सतह पर कहाँ फिट होते हैं।
कंटेनरीकृत वातावरणों के विरुद्ध हमलों के सार्वजनिक उदाहरण बहुत सीमित हैं। उल्लंघन लगभग हमेशा क्रिप्टोमाइनिंग से संबंधित होते हैं, जो गंभीर हमले होते हैं, लेकिन मेरे अंदर की घटना का प्रत्युत्तर देने वाला उन्हें कमज़ोर पाता है। एक और समानता यह है कि वे ज्यादातर गलत कॉन्फ़िगरेशन का परिणाम होते हैं, चाहे वह कुबेरनेट्स में हो या क्लाउड खाते में। उद्देश्यों और युक्तियों का संयोजन अब तक बहुत प्रेरणादायक नहीं रहा है।
पुराना रास्ता
रिमोट कोड निष्पादन (आरसीई) कमजोरियाँ लंबे समय से कंप्यूटर सुरक्षा में मुख्य चिंता का विषय रही हैं। वे अभी भी हैं, लेकिन इस तरह की सोच कंटेनरों पर कैसे लागू होती है? प्राथमिक खतरे के रूप में तुरंत आरसीई पर पहुंचना आसान है, लेकिन कंटेनरों तक पहुंचने का यह सही तरीका नहीं लगता है। एक बात के लिए, कंटेनर अक्सर बहुत अल्पकालिक होते हैं - 44% कंटेनर पांच मिनट से भी कम समय तक जीवित रहते हैं - तो एक घुसपैठिए को जल्दी से रहना होगा।
यह दृष्टिकोण यह भी मानता है कि कंटेनर इंटरनेट के संपर्क में है। निश्चित रूप से कुछ कंटेनर इस तरह से स्थापित किए जाते हैं, लेकिन वे अक्सर बहुत सरल होते हैं और एनजीआईएनएक्स जैसी अच्छी तरह से परीक्षण की गई प्रौद्योगिकियों का उपयोग करते हैं। इन अनुप्रयोगों के लिए शून्य दिन हो सकते हैं, लेकिन वे अत्यंत मूल्यवान होंगे और इन्हें प्राप्त करना कठिन होगा। मेरे अनुभव ने मुझे दिखाया है कि बहुत सारे कंटेनर आंतरिक रूप से उपयोग किए जाते हैं और सीधे इंटरनेट से कनेक्ट नहीं होते हैं। उस स्थिति में आरसीई परिदृश्य बहुत अधिक कठिन हो जाता है। मुझे उल्लेख करना चाहिए लॉग4जे, हालाँकि इस प्रकार की कमज़ोरियों का दूर से ही शोषण किए जाने की संभावना होती है, भले ही कमज़ोर प्रणाली किनारे पर न हो।
द न्यू वे
यदि आरसीई कंटेनरों के लिए सबसे बड़ा खतरा नहीं है, तो क्या है? क्या कंटेनर भी धमकी देने वालों के रडार पर हैं? हां, कंटेनर और उनके सहायक बुनियादी ढांचे को नजरअंदाज करना बहुत महत्वपूर्ण है। कंटेनर ऑर्केस्ट्रेशन सॉफ़्टवेयर ने कंटेनरीकृत कार्यभार को अकल्पनीय संख्या तक बढ़ाने की अनुमति दी है। उपयोग की प्रवृत्ति भी बढ़ रही है, इसलिए आप निश्चिंत हो सकते हैं कि वे लक्ष्य होंगे। उन्हें आरसीई कमजोरियों के माध्यम से प्राप्त होने वाले सर्वर की तरह नहीं सोचा जा सकता है।
इसके बजाय, इसका उलटा वास्तव में सत्य है। कंटेनरों पर बाहर से अंदर की ओर हमला करने के बजाय, उन पर अंदर से बाहर की ओर हमला करने की जरूरत है। आपूर्ति शृंखला हमले मूलतः यही करते हैं। जब आप यह समझना शुरू करते हैं कि वे कैसे बनाए जाते हैं तो आपूर्ति श्रृंखला कंटेनरों के खिलाफ एक अत्यंत प्रभावी आक्रमण वेक्टर है। एक कंटेनर एक परिभाषा फ़ाइल से शुरू होता है, जैसे डॉकरफ़ाइल, जो कंटेनर के चलने पर उसमें मौजूद हर चीज़ को परिभाषित करता है। एक बार बनने के बाद इसे एक छवि में बदल दिया जाता है, और वह छवि अनगिनत बार कार्यभार में बदल जाती है। यदि उस परिभाषा फ़ाइल में कुछ भी समझौता किया गया है, तो चलने वाला प्रत्येक कार्यभार समझौता किया गया है।
कंटेनर अक्सर, लेकिन हमेशा नहीं, किसी एप्लिकेशन के उद्देश्य से बनाए जाते हैं जो कुछ करता है और बाहर निकल जाता है। ये एप्लिकेशन लगभग कुछ भी हो सकते हैं - समझने वाली महत्वपूर्ण बात यह है कि अन्य लोगों द्वारा लिखित पुस्तकालयों, बंद स्रोत या खुले स्रोत का उपयोग करके कितना बनाया गया है। GitHub के पास लाखों प्रोजेक्ट हैं, और यह कोड का एकमात्र भंडार नहीं है। जैसा कि हमने सोलरविंड्स के साथ देखा, बंद स्रोत भी आपूर्ति श्रृंखला हमलों के प्रति संवेदनशील है।
आपूर्ति शृंखला पर हमला खतरे के अभिनेताओं के लिए लक्ष्य के कंटेनर वातावरण में पहुंचने का एक शानदार तरीका है। यदि समझौते पर ध्यान नहीं दिया जाता है तो वे ग्राहक के बुनियादी ढांचे को उनके लिए हमले का मौका भी दे सकते हैं। इस प्रकार का परिदृश्य पहले से ही सामने आ रहा है, जैसा कि हमने देखा कोडकोव उल्लंघन. लेकिन यह पता लगाना मुश्किल है क्योंकि यह सब कितना नया है और हमारी सोच अभी भी अतीत की समस्याओं में कैसे निहित है।
एक तरह से आगे
अधिकांश समस्याओं को ठीक करने की तरह, दृश्यता आमतौर पर शुरुआत करने के लिए एक बेहतरीन जगह है। जो आप नहीं देख सकते उसे ठीक करना कठिन है। अपने कंटेनरों को सुरक्षित करने के लिए आपको कंटेनरों के साथ-साथ उन्हें बनाने वाली पूरी पाइपलाइन की भी दृश्यता होनी चाहिए। भेद्यता प्रबंधन एक प्रकार की दृश्यता है जिसे बिल्ड पाइपलाइन में एकीकृत किया जाना चाहिए। मैं अन्य स्थैतिक विश्लेषण उपकरण भी शामिल करूंगा, जैसे कि वे जो लीक हुए रहस्यों की भी तलाश करते हैं। चूंकि आपूर्ति श्रृंखला पर हमला कैसा दिखता है, इसकी वास्तव में भविष्यवाणी नहीं की जा सकती है, रनटाइम निगरानी महत्वपूर्ण हो जाती है ताकि आप जान सकें कि आपके कंटेनर क्या कर रहे हैं।
