Anzeige

Anzeige

VERANSTALTUNGEN

Bitkom | Digital Health Conference
26.11.19 - 26.11.19
In dbb Forum Berlin

IT & Information Security
26.11.19 - 27.11.19
In Titanic Chaussee Hotel, Berlin

Integriertes IT Demand und Portfolio Management
02.12.19 - 04.12.19
In Sofitel Berlin Kurfürstendamm, Germany

IT-Tage 2019
09.12.19 - 12.12.19
In Frankfurt

eoSearchSummit
06.02.20 - 06.02.20
In Würzburg, Congress Centrum

Anzeige

Anzeige

Container

DevOps sind aus der agilen Softwareentwicklung nicht mehr wegzudenken. Dabei kommen in DevOps-Szenarien Docker und andere Container-Technologien immer häufiger zum Einsatz, denn sie bieten zahlreiche Vorteile. 

Da Container als in sich geschlossene Einheiten betrachtet werden können, die jeweils eine ganz bestimmte Funktionalität erfüllen, lassen sich Entwicklungs- und Betriebsprozesse deutlich vereinfachen und die Qualität der Leistungserbringung steigt. Schnellere Rollouts und Updates werden möglich. Zusammengenommen führt dies zur Effizienzsteigerung, was schließlich auch das Hauptziel von DevOps ist.

Unbeachtet bleibt jedoch häufig die Tatsache, dass die Allzweckwaffe Container nicht primär als Sicherheitsfeature entwickelt wurde. Damit Container und die Container-Orchestration keine Einfallstore für IT-gestützte Angriffe schaffen, sollten bei der Nutzung von Docker, Kubernetes und Co unter anderem folgende Faktoren beachtet werden:

1. Container müssen „leicht“ bleiben

Die Sicherheitsrisiken lassen sich gering halten, wenn Container nicht „zweckentfremdet“ werden und ausschließlich der Software vorbehalten bleiben, die tatsächlich benötigt wird. Es gilt: Je mehr Software in einem Container enthalten ist, desto größer ist die potenzielle Angriffsfläche und desto mehr Möglichkeiten hat auch ein Angreifer.

2. So viele Rechte wie nötig – so wenige Rechte wie möglich

Container sollten stets mit minimalen Rechten laufen. Die notwendigen Rechte für jede beteiligte Person zu bestimmen, ist oft zeitaufwendig und nicht einfach. Der Aufwand ist jedoch notwendig und lohnt sich. Denn nur so kann man ausschließen, dass ein Angreifer jede zusätzlich vergebene Berechtigung erlangen kann, sollte es ihm gelingen, einen Container zu übernehmen.

3. Netzsegmentierung ist auch bei Container-Orchestration Pflicht

Ein flaches, nicht segmentiertes Netzwerk klingt verlockend und ist einfach umzusetzen. Jedoch erleichtert ein solches Netzwerk einem Angreifer, Seitwärtsbewegungen innerhalb des Netzwerks durchzuführen. Eine Netzwerksegmentierung, also die Aufteilung der Netzwerke in getrennte, logische Bereiche, erschwert es einem Angreifer, Zugriff auf weitere Systeme zu erhalten. Eine durchdachte Netzsegmentierung ist somit nicht nur in klassischen Netzwerken, sondern auch bei der der Container-Orchestration Pflicht.

Fazit

Fällt die Entscheidung, Container- sowie Orchestrations-Technologien für Softwareentwicklung und -betrieb einzusetzen, sollten Sicherheitsaspekte bereits vor der Einführung beachtet werden. Eine gute Planung ist hier unerlässlich. Zusätzlich muss die Sicherheit während des gesamten Lebenszyklus der Container aufrechterhalten und verbessert werden. Dazu müssen alle Beteiligten wissen, welche Anforderungen zu beachten sind und über das entsprechende Know-how verfügen, diese Anforderungen auch umsetzen zu können. Da sich nicht nur die Anwendungen und die genutzten Technologien ständig weiterentwickeln, sondern auch die Angriffstechniken, ist es notwendig, die Sicherheitsanforderungen stetig an die neuen Gegebenheiten anzupassen.

msg ist auch in diesem Jahr auf der it-sa – In Halle 10.0, Stand 202 

www.msg.group

GRID LIST
Tb W190 H80 Crop Int 9b015b24c2811e65f1a8f3a34499a66b

Schwachstellen kennen ist nur die halbe Miete

Zumindest nach außen hin sagen viele Unternehmen, dass der Schwerpunkt ihrer…
Tb W190 H80 Crop Int 391a76a85a3fec197190e2d4a9ad5432

Neue NIST-Richtlinien zur Zero-Trust-Architektur

Vor wenigen Wochen veröffentlichte das National Institute for Standards and Technology…
Psychologie Kopf

Psychologie trifft IT-Sicherheit

Psychologische Erkenntnisse aus den Kognitionswissenschaften lassen sich auf den…
Budgethilfe

Kostenfreies Tool für IT-Security Budget-Check

Bei jeweils mehr als der Hälfte der mittelständischen (65 Prozent) und großer (68…
Marriott Hotel

Ein Jahr nach dem Marriott-Breach

Ein Jahr danach: Die Lehren aus dem Marriott-Breach. Ein Experten-Kommentar von Klaus…
Security

Application Security - Sicherheit für externe Anwendungen

Mitarbeiter schätzen ihre vielen kleinen digitalen Helferlein und ahnen nicht, welche…