Contêineres, APIs e a segunda regra de segurança

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

#LockTheDoor de uma vez

A esta altura, você pensaria que nada relacionado à segurança me surpreenderia.

Talvez não seja que eu esteja surpreso, mas sim decepcionado.

Decepcionado com a incapacidade de seguir até mesmo os princípios mais básicos de segurança. Sabe, como trancar a porta.

Um relatório recente da Lacework destacou a necessidade de reiterar uma das principais regras básicas de segurança:

NÃO DEIXARÁS CONSOLES DE ADMINISTRAÇÃO ABERTOS

O relatório, que realizou uma varredura na Internet, descobriu “mais de 21.000 sistemas de orquestração de contêineres e gerenciamento de APIs” acessíveis.

Isso, por si só, não é preocupante, considerando que 95% deles estavam sendo executados na AWS. Se você pretende implantar contêineres e gateways de API na nuvem pública, precisa ser capaz de gerenciá-los. Na maioria das vezes, isso será feito por meio de algum tipo de console operacional.

O que é preocupante é que mais de 300 desses painéis não exigiam absolutamente nenhuma credencial para serem acessados.

Quero destacar que não foi apenas o relatório da Lacework que apontou esse risco existencial. Em maio de 2017, o Relatório de Segurança na Nuvem da RedLock publicou a descoberta de centenas de consoles administrativos do Kubernetes acessíveis pela Internet sem exigir credenciais.

Portanto, isso não é novidade, mas é algo que precisamos tentar prevenir antes que a adoção generalizada aumente ainda mais. Isso porque uma das coisas que os invasores fazem com esses consoles abertos é iniciar seus próprios contêineres para realizar diversas atividades maliciosas, como mineração de bitcoins e execução de bots. Eles não estão necessariamente atrás dos seus dados; querem capacidade computacional gratuita e um novo conjunto de endereços IP que ainda não estejam bloqueados em listas de restrição na Internet.

E eles querem o acesso irrestrito de saída que encontram com tanta frequência nesses ambientes. O relatório mais recente da RedLock constatou que “85% dos recursos associados a grupos de segurança não restringem de forma alguma o tráfego de saída. Isso representa um aumento em relação ao ano anterior, quando esse percentual era de 80%.” Sem restrições ao tráfego de saída, não surpreende que a equipe da RedLock também tenha constatado que cerca de 39% dos hosts implantados na Amazon que ela monitora “apresentam padrões de atividade associados ao comprometimento de instâncias ou ao reconhecimento realizado por invasores.”

Nem deveria ser preciso dizer que, se você estiver executando qualquer tipo de console baseado na Web ou em API, precisará protegê-lo. No mínimo, é necessário exigir credenciais.

Sei que as organizações têm inúmeras regras e listas de verificação de segurança que podem parecer difíceis de administrar. Mas quase todas elas podem ser resumidas nestas três regras fundamentais de segurança:

1. Não confiarás nas entradas fornecidas pelo usuário. Jamais.

2. Não codificarás credenciais diretamente no código. Jamais.

3. Não deixarás consoles administrativos abertos.

Sobre o autor

Lori Mac VittieEngenheiro Emérito e Evangelista-Chefe | F5

Lori MacVittie é engenheira distinta e evangelista-chefe no Escritório do CTO da F5, com ampla experiência em entrega de aplicações, estratégia de automação e infraestrutura. Ela é conhecida por transformar complexidade em clareza, seja definindo diretrizes para agentes de IA, analisando arquiteturas multinuvem frágeis ou investigando os limites de sistemas escaláveis. Ela acumula mais de trinta anos de experiência no setor, abrangendo desenvolvimento de aplicações, arquitetura de TI e operações de redes e sistemas. Antes de ingressar na F5, atuou como editora de tecnologia e recebeu diversos prêmios. MacVittie tem mestrado em Ciência da Computação e é uma autora prolífica, com publicações que abrangem segurança, nuvem e arquitetura empresarial. Ela também é uma entusiasta de jogos de tabuleiro e videogames, além de ter opiniões assumidamente fortes sobre queijos.

Mais publicações de Lori Mac Vittie