Le 5 regole di F5 Networks per mettere in sicurezza i container

Negli ultimi anni le infrastrutture IT sono cambiate, e di molto. I server fisici hanno ceduto il passo ad architetture virtualizzate messe in piedi con pochi click grazie ai container come Docker e gestite da un orchestratore, solitamente Kubernets. Per capirci, si è passati da un approccio nel quale i programmatori dovevano installare e gestire i singoli server a installarli come se si trattasse di app per smartphone: basta scaricare il Docker e attivarlo. Questo modus operandi velocizza e semplifica enormemente le operazioni IT ma, dal punto della sicurezza, richiede una certa attenzione.

La sicurezza dei container

Secondo lo studio State of Open Source Security Report 2019 condotto da Snyk, le immagini Docker non sono il massimo della sicurezza: i 10 Docker più popolari contengono come minimo 30 vulnerabilità. Il risultato è che il 60% del campione preso in esame da Snyk nell'ultimo anno ha dichiarato di aver dovuto affrontare problemi di sicurezza relativi proprio ai container. Lascia a bocca aperta il fatto che nel 17% dei casi i responsabili fossero a conoscenza delle vulnerabilità ma per varie questioni (comodità e velocità di implementazione) hanno preferito correre il rischio. 

Lori MacVittie, Principal Technical Evangelist di F5 Networks, ha colto l'occasione per definire 4 fondamentali regole di base per garantire la sicurezza dei container.

Valutare il reale utilizzo
Molte organizzazioni non sono consapevoli di quanto sia pervasivo il loro consumo di immagini/sorgenti open source e di terze parti. Averne la consapevolezza rappresenta un primo passo importante. Non si può pensare di affrontare le vulnerabilità di un software senza nemmeno sapere che lo si sta utilizzando.

Standardizzare
Cercare di identificare un terreno comune tra applicazioni e le operation per standardizzare il minor numero possibile di immagini/componenti del container. Un approccio di questo tipo consente di distribuire l'onere della sicurezza in tutta l'organizzazione e si traduce alla fine in un livello di sicurezza maggiore per tutti.

Controllare la sicurezza del codice tramite review costanti
Nel caso vengano incluse componenti o script di terze parti (cosa che avviene quasi sempre) vanno sempre analizzate e distribuite/costruite a partire da un repository privato.

Promuovere gli audit sulla sicurezza del container.
Quando si consumano immagini di terze parti, è necessario promuovere audit specifici e certificare la loro sicurezza, per poi effettuare la delivery da un repository privato.

Tenersi informati sulle nuove vulnerabilità
Se si fa affidamento su un’immagine o codice sorgente, è necessario iscriversi ai canali dedicati alla sicurezza dei container che comunicano le potenziali vulnerabilità. Dopo tutto, il sapere rappresenta sempre l’arma più potente per vincere ogni battaglia.