Навчання з безпеки
хмари та контейнерів

Навчання з безпеки хмари вчить інженерів ставитися до акаунта та образу як до меж безпеки, які налаштовують свідомо, а не як до інфраструктури, що заодно щось ізолює.

Ці вправи охоплюють те, що справді ламається в продакшні: бакет, який відповідає на анонімні запити, політику з wildcard на ролі, яку ніхто не вважав важливою, ключ, що витік місяці тому й досі працює, облікові дані, записані в шар збірки, і контейнер, запущений із більшим доступом до хоста, ніж потрібно робочому навантаженню.

Курс «Безпека хмарної інфраструктури» побудовано на AWS: публічні бакети сховища, надмірні права IAM і підвищення привілеїв через передавання ролі, довгострокові ключі доступу, зловживання метаданими інстансу, групи безпеки, відкриті в інтернет, захоплення субдомену, прогалини в журналах аудиту, надмірні права serverless-функцій і міжакаунтна довіра із service control policies.

Курс «Безпека контейнерів і образів» покриває рівень нижче: шари образів, демон, реєстри, базові образи та мережу контейнерів.

Бо хмарні облікові дані — це не ключ від однієї кімнати. Це ключ до всього, куди їм дозволено дотягнутися, а хмарний API може створювати, читати й видаляти саму інфраструктуру, на якій працює застосунок.

Політика з wildcard на агенті збірки, функція з адміністративною роллю чи роль, яка довіряє цілому акаунту, кожна перетворює маленьку точку опори на доступ до всього акаунта без жодного експлойта.

За замовчуванням ні. Ізоляція контейнера — це набір функцій ядра, і розгортання може вимкнути майже всі з них так, що зовні нічого не виглядатиме зламаним.

Root усередині контейнера — це root у ядрі хоста, тож прапорець privileged разом із монтуванням хоста перетворює виконання коду в малоцінному сервісі на контроль над машиною під ним. Межу ви налаштовуєте, а не отримуєте.

Шари образу лише додаються. Облікові дані, передані в одній команді RUN, записуються в цей шар, а наступна RUN, яка видаляє файл, лише кладе новий шар зверху.

Кожен, хто завантажить образ, отримає всі шари, тож значення досі читається. Саме ротація відрізає доступ, а багатоетапна збірка чи секретне монтування BuildKit не дають цьому повторитися.

Хмарним і платформним інженерам, які тримають облікові дані акаунтів, DevOps-інженерам і SRE, що відповідають за пайплайн збірки та інфраструктуру, яку він розгортає, а також розробникам, які пишуть Dockerfile або постачають serverless-функції.

Більшість виправлень тут — узагалі не код застосунку. Це політики IAM, налаштування бакетів, правила груп безпеки, політики довіри, закріплення базових образів і конфігурація демона, тож вправи корисні тим, хто відповідає за ці налаштування, не менше, ніж тим, хто пише сервіс.

Так. Кожна вправа працює у вашому браузері без реєстрації.

Корпоративні можливості, як-от аналітика завершення, пакування у SCORM та LTI для вашої LMS, SSO і власний контент, доступні в платних тарифах.