Top 5 des bonnes pratiques de sécurité Docker pour protéger vos applications

La sécurité Docker commence avant même qu'un conteneur ne s'exécute. Votre image peut inclure des packages vulnérables, votre conteneur peut s'exécuter avec plus de privilèges que nécessaire, ou votre socket Docker peut donner à un attaquant un chemin direct vers l'hôte.

Ces cinq bonnes pratiques de sécurité Docker se concentrent sur les contrôles qui font la plus grande différence au quotidien : des images de confiance, de petites surfaces d'exécution, des processus non root, un accès réseau limité et un démon protégé.

1. Scannez régulièrement les images Docker pour détecter les vulnérabilités

L'une des étapes les plus critiques de la sécurité Docker est de s'assurer que les images de conteneurs que vous déployez sont exemptes de vulnérabilités connues. Les images sont les éléments de base de vos conteneurs, et si une image contient du code malveillant ou des logiciels obsolètes et vulnérables, votre application hérite de ces risques.

Pourquoi le scan d'images est crucial

Identifier les exploits connus : Les scanners d'images peuvent détecter les vulnérabilités publiquement connues (CVE) dans les packages du système d'exploitation et les dépendances applicatives au sein de vos images.
Prévenir les attaques de la chaîne d'approvisionnement : Assurez-vous que les images de base que vous utilisez n'ont pas été falsifiées ou ne contiennent pas de charges utiles malveillantes.
Maintenir la conformité : De nombreux cadres réglementaires exigent une analyse régulière des vulnérabilités des composants logiciels.

Outils et techniques

Plusieurs outils peuvent vous aider à scanner vos images Docker :

Docker Scout : L'outil d'analyse d'images de Docker, disponible via les produits Docker et les workflows CLI selon votre configuration.
Trivy : Un scanner open-source et facile à utiliser qui trouve les vulnérabilités dans les images de conteneurs, les dépôts Git, et plus encore.
Clair : Un autre outil open-source d'analyse statique des vulnérabilités pour les conteneurs.
Trivy CLI :
```
trivy image votre-image-docker:tag
```

Bonne pratique : Intégrez l'analyse d'images dans votre pipeline d'intégration continue/déploiement continu (CI/CD). Cela garantit que les images sont scannées avant d'être déployées en production, empêchant ainsi les images vulnérables d'atteindre les environnements en direct.

2. Minimisez la surface d'attaque des conteneurs en utilisant des images de base minimales

Le principe du moindre privilège s'étend aux images de conteneurs. Plus votre image de base est petite et ciblée, moins elle contiendra de vulnérabilités potentielles et plus il sera difficile pour un attaquant de l'exploiter.

Pourquoi les images minimales sont importantes

Nombre réduit de vulnérabilités : Moins de packages signifie moins de points d'entrée potentiels pour les attaquants.
Empreinte plus petite : Les images minimales entraînent des téléchargements et des déploiements plus rapides, et consomment moins de stockage.
Maintenance plus facile : Moins de logiciels à corriger et à gérer.

Choisir des images de base minimales

alpine Linux : Petite et populaire, mais testez la compatibilité car elle utilise musl libc plutôt que glibc.
Images Distroless : Elles contiennent votre application et ses dépendances d'exécution sans shell ni gestionnaire de packages. Elles réduisent ce qu'un attaquant peut utiliser après une compromission, mais peuvent rendre le débogage plus difficile.

Exemple : Utiliser Alpine comme image de base

Au lieu de :

FROM ubuntu:latest
RUN apt-get update && apt-get install -y --no-install-recommends votre-app

Considérez :

FROM alpine:latest
RUN apk add --no-cache votre-app

Astuce : Installez uniquement les packages et dépendances dont votre application a absolument besoin. Évitez d'installer des outils de développement, des shells ou des utilitaires inutiles dans les images de production.

3. Exécutez les conteneurs en tant qu'utilisateurs non root

À moins que l'image ne spécifie un autre utilisateur, les processus à l'intérieur d'un conteneur Docker s'exécutent en tant que root. Si un attaquant obtient l'exécution de code dans ce conteneur, root à l'intérieur du conteneur lui donne plus de marge pour modifier des fichiers, abuser des volumes montés, ou combiner la compromission avec une mauvaise configuration de Docker ou du noyau.

Les risques de l'exécution en tant que root

Escalade de privilèges : Si un conteneur est compromis, l'attaquant a un accès root complet dans le conteneur. Si le conteneur a des privilèges excessifs sur l'hôte, cela peut conduire à une compromission de l'hôte.
Altération des données : Les utilisateurs root peuvent modifier n'importe quel fichier dans le système de fichiers du conteneur.

Mettre en œuvre l'exécution non root

Créez un utilisateur dédié : Dans votre Dockerfile, créez un utilisateur et un groupe non root, puis basculez vers cet utilisateur avant d'exécuter votre application.
Définissez les permissions des fichiers : Assurez-vous que les fichiers et répertoires de l'application appartiennent à l'utilisateur non root.

Extrait d'exemple de Dockerfile :

# Créer un utilisateur et un groupe non root
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

# Copier les fichiers de l'application et définir la propriété
COPY --chown=appuser:appgroup /app /app

# Basculer vers l'utilisateur non root
USER appuser

# Définir le répertoire de travail
WORKDIR /app

# Commande pour exécuter votre application
CMD ["votre-executable-app"]

Avertissement : Assurez-vous que l'utilisateur sous lequel votre application s'exécute dispose des permissions de fichiers nécessaires pour accéder et écrire dans les répertoires ou fichiers requis. Sinon, votre application pourrait ne pas démarrer ou fonctionner correctement.

4. Mettez en œuvre la segmentation réseau et le moindre privilège pour la communication entre conteneurs

La mise en réseau est un aspect critique de la sécurité des conteneurs. Les conteneurs peuvent communiquer lorsqu'ils partagent un réseau Docker et que le service cible écoute. Traitez chaque réseau Docker comme une limite de confiance. Un conteneur web compromis ne devrait pas automatiquement atteindre votre base de données, votre cache, votre interface d'administration ou vos tâches internes.

Avantages de la segmentation réseau

Limiter le rayon d'explosion : Si un conteneur est compromis, la segmentation réseau peut l'empêcher d'accéder à d'autres conteneurs ou services sensibles.
Contrôler le flux de trafic : Définissez précisément quels conteneurs peuvent communiquer entre eux et sur quels ports.
Améliorer la posture de sécurité : Appliquez le principe du moindre privilège pour l'accès réseau.

Bonnes pratiques réseau Docker

Utilisez des réseaux définis par l'utilisateur : Au lieu de vous fier au réseau bridge par défaut, créez des réseaux personnalisés pour chaque application ou niveau. Les réseaux bridge définis par l'utilisateur offrent également une découverte de services intégrée basée sur DNS par nom de conteneur.
```
docker network create mon-reseau-app
docker run --network mon-reseau-app ...
```
Limitez l'accès aux conteneurs : Si un frontend n'a besoin que d'appeler une API, placez ces deux services sur un réseau et gardez la base de données sur un réseau backend séparé partagé uniquement avec l'API.
Utilisez des règles de pare-feu (niveau hôte) : Mettez en œuvre des règles de pare-feu au niveau de l'hôte (par exemple, iptables) pour restreindre davantage le trafic réseau vers et depuis les conteneurs.
Envisagez des plugins réseau : Pour des politiques et une segmentation réseau plus avancées, explorez les plugins réseau Docker ou les plateformes d'orchestration de conteneurs comme Kubernetes, qui offrent des politiques réseau sophistiquées.

Astuce : Révisez régulièrement vos configurations réseau de conteneurs et vos listes de contrôle d'accès pour vous assurer qu'elles correspondent à vos exigences de sécurité et au principe du moindre privilège.

5. Sécurisez votre démon Docker et votre hôte

Le démon Docker lui-même est un composant puissant qui interagit directement avec le système d'exploitation hôte. Si le démon Docker est compromis, un attaquant pourrait obtenir un contrôle significatif sur l'ensemble de votre environnement Docker, y compris la machine hôte.

Sécuriser le démon Docker

Restreignez l'accès au démon : Assurez-vous que le socket du démon Docker (/var/run/docker.sock) n'est pas exposé à des utilisateurs ou applications non fiables. Accordez l'accès uniquement aux utilisateurs autorisés.
Utilisez TLS pour l'accès distant au démon : Si vous exposez l'API Docker via TCP, protégez-la avec TLS et l'authentification du client. Évitez de l'exposer du tout, sauf si vous avez un besoin opérationnel clair.
Privilégiez le mode rootless là où il convient : Docker rootless peut réduire le risque au niveau de l'hôte pour certaines charges de travail, bien qu'il présente des compromis en matière de réseau et de fonctionnalités que vous devez tester.

Sécuriser l'hôte Docker

Maintenez le système d'exploitation hôte à jour : Corrigez et mettez à jour régulièrement le système d'exploitation sous-jacent de votre hôte Docker pour corriger les vulnérabilités de sécurité.
Durcissez l'hôte : Appliquez des configurations de durcissement de sécurité à la machine hôte, comme la désactivation des services inutiles, la configuration de pare-feux et l'application de contrôles d'accès stricts.
Surveillez l'activité de l'hôte : Mettez en œuvre une journalisation et une surveillance robustes pour l'hôte Docker afin de détecter les activités suspectes.
Utilisez des outils de sécurité : Employez la détection d'intrusion basée sur l'hôte, la journalisation d'audit et la surveillance en temps d'exécution là où ils conviennent à votre environnement.
Supprimez les privilèges inutiles : Évitez --privileged, supprimez les capacités Linux dont vous n'avez pas besoin et utilisez des systèmes de fichiers en lecture seule là où votre application le supporte.

Bonne pratique : Auditez régulièrement la configuration de votre démon Docker et la posture de sécurité de vos hôtes Docker. Envisagez d'utiliser des outils d'analyse comparative de sécurité comme CIS Docker Benchmark pour évaluer et améliorer vos paramètres de sécurité.

À retenir

Faites de la sécurité Docker une partie du chemin de livraison normal. Scannez les images dans le CI, gardez les images de production petites, exécutez en tant qu'utilisateur non root, isolez les services par réseau et protégez l'hôte Docker en tant que système de grande valeur. Commencez avec un service, appliquez ces contrôles, puis transformez le modèle en votre modèle par défaut.