Noções básicas de segurança de contêineres: introdução

O que realmente significa segurança de contêineres?

A adoção de contêineres continua se acelerando. Isso fica evidente em pesquisas realizadas em todas as áreas de TI afetadas — ou seja, praticamente todas. É indiscutível que as cargas de trabalho em contêineres continuarão ganhando espaço entre as cargas de trabalho corporativas, tanto em ambientes locais quanto na nuvem.

Quase todas (94%) as organizações que usam contêineres em produção estão moderadamente ou muito preocupadas com a segurança de contêineres. Segundo o relatório State of Container Security 2019, da Tripwire, mais da metade (60%) sofreu um incidente de segurança envolvendo contêineres nos 12 meses anteriores. Mais da metade (54%) dos entrevistados apontou o “conhecimento insuficiente das equipes sobre segurança de contêineres” como sua maior preocupação de segurança.

Isso pode muito bem ocorrer porque a conteinerização não se resume apenas a um formato de empacotamento. Por si só, os contêineres oferecem pouquíssimos benefícios às organizações. O ponto forte dos contêineres está na capacidade de implantá-los e gerenciá-los por meio de sistemas de orquestração. É por isso que eles existem há várias décadas, mas só passaram a ser realmente adotados quando surgiram as soluções de orquestração.

A adoção se acelerou quando ficou claro que os contêineres e a orquestração se encaixavam naturalmente em abordagens como Agile e DevOps, que promovem a agilidade por meio do uso de pipelines automatizados de entrega e implantação.

Portanto, é razoável supor que, se alguém estiver implantando cargas de trabalho em contêineres, também estará implantando um sistema de orquestração que faz parte de um pipeline de entrega (CI/CD).

Portanto, há três sistemas distintos que devem ser considerados quando começamos a falar sobre segurança de contêineres: pipeline, orquestração e carga de trabalho.

Sua estratégia de segurança para contêineres também deve incluir os três. Deixar qualquer um deles sem avaliação expõe você a diversos riscos, muitos dos quais podem colocar seu nome em uma lista na qual você não gostaria de estar ou, pior ainda, em uma manchete que você não gostaria de ler. Isso certamente torna mais difícil para as organizações garantir que as equipes tenham o conhecimento adequado e necessário sobre segurança.

É por isso que me juntei a Jordan Zebor, engenheiro sênior de testes de segurança de plataforma, para apresentar uma série de posts que ajudarão você a conhecer os conceitos básicos e, assim, formular uma estratégia eficaz de segurança de contêineres. Para isso, vamos nos aprofundar em cada um dos três componentes da segurança de contêineres:

1. Segurança do pipeline
   Seu pipeline é o conjunto de ferramentas usadas para automatizar a entrega de cargas de trabalho em contêineres ao sistema de orquestração. Ele pode incluir scripts Python personalizados, Jenkins, GitHub, GitLab e muito mais.
   
   
2. Segurança da orquestração
   O sistema de orquestração é usado para gerenciar e dimensionar cargas de trabalho. Na maioria das vezes, trata-se do Kubernetes, mas também pode ser um sistema baseado em Kubernetes, como RedHat OpenShift, AWS, Azure, Google ou Mesos, ou, em alguns poucos casos, um sistema personalizado. Nesta série, vamos nos concentrar no Kubernetes, pois ele é atualmente a opção de orquestração mais utilizada.
   
   
3. Segurança da carga de trabalho
   A segurança da carga de trabalho que está sendo implantada. Toda carga de trabalho é um software, comunica-se com outras cargas de trabalho e pode estar acessível ao público. Cada vez mais, isso inclui infraestrutura e middleware.

Leia o próximo artigo da série:
Noções básicas de segurança de contêineres: pipeline