Zero Touch Productionとは何か
GoogleのSREとSecurityによるBuilding Secure Reliable Systems という本の中で「Zero Touch Production (ZTP) 」という考え方が紹介されていた．これはインフラの権限管理やインフラの構築そのものの指針となる概念であり，自分がそうあるべきだとずっと思ってきた考え方でもある．これはどのような考え方なのか?をこれまでの歴史を踏まえて具体的なツールや事例とともにまとめておく． Zero Touch Production Building Secure Reliable Systems においてZero Touch Production (ZTP) は以下のように定義されている． The SRE organization at Google is working to build upon the concept of least
DockerとSELinux - Qiita
はじめに Dockerなどのコンテナを使っていると「SELinuxを有効にしておけ」と言われますが、 実際に起動していないとどうなのか検証してみたことと、 色々なところでも紹介されているものですが、自身のメモとして投稿しました。 今回の検証環境 VirtualBox 6.0 CentOS 7.3 Docker 19.03.05 SELinuxが無効な場合 まず、SELinuxを無効にします。 # vi /etc/selinux/config (以下にパラメータを変更) SELINUX=disabled # enforcingからdisabledに変更 # reboot ※ SELinuxの状態 Enforcing : SELinuxが有効 Permissive ： SELinuxのラベリングはしているけど、無効な状態 Disabled ： SELinuxが無効 再起動後、SELinuxの
Dockerセキュリティ: 今すぐ役に立つテクニックから，次世代技術まで
乗っ取れコンテナ！！開発者から見たコンテナセキュリティの考え方（CloudNative Days Tokyo 2021 発表資料）
root権限無しでKubernetesを動かす
user namespaceを用いて，Kubelet及びCRI・OCIランタイムを非rootユーザで動作させることにより，Kubernetesのセキュリティを強化する手法をご紹介します． https://k8sjp.connpass.com/event/120074/
9 Kubernetes security best practices everyone must follow | Cloud Native Computing Foundation
By Connor Gilbert, product manager at StackRox Last month, the Kubernetes ecosystem was shaken by the discovery of the first major security flaw in Kubernetes, the world’s most popular container orchestrator. The vulnerability – CVE-2018-1002105 – enables attackers to compromise clusters via the Kubernetes API server, allowing them run code to perform malicious activity such as installing malware,
Aqua Integrates with Google’s Cloud Security Command Center
Good news for those of you running container workloads on GCP - we now provide a nice integration with Google's Cloud Security Command Center. The Cloud SCC provides a centralized, single-pane-of-glass view of all security data for GCP applications, and providing actionable insights. It includes things like access control monitoring, asset inventory, vulnerability assessment data, anomaly detectio
GitHub - quay/clair: Vulnerability Static Analysis for Containers
Note: The main branch may be in an unstable or even broken state during development. Please use releases instead of the main branch in order to get stable binaries. Clair is an open source project for the static analysis of vulnerabilities in application containers (currently including OCI and docker). Clients use the Clair API to index their container images and can then match it against known vu
Dockerとセキュアなマイクロサービス - Aaron Grattafiori氏のDockerCon 2016での講演より
米国シアトルで開催されたDockerCon 2016でAaron Grattafiori氏が，“The Golden Ticket: Docker and High Security Microservices”と題したプレゼンテーションを行なった。コンテナベースのマイクロサービスのセキュアな運用のために氏が強く推奨したのは，ユーザネームスペースの有効化，アプリケーション固有のAppArmorあるいはSELinuxの設定，アプリケーションの特性に合わせたseccompホワイトリストの使用，ホストシステムの強化(ミニマルOSの実行を含む)，ホストアクセスの制限，ネットワークセキュリティの考慮などだ。 NCC Groupでテクニカルディレクタを務め，“Understanding and Hardening Linux Containers” (PDF)の著者でもあるGrattafiori氏の講
Dockerコンテナ内からホストマシンのルートを取る具体的な方法（あるいは/var/run/docker.sockを晒すことへの注意喚起） | 48JIGEN *Reloaded*
Dockerコンテナ内からホストマシンのルートを取る具体的な方法（あるいは/var/run/docker.sockを晒すことへの注意喚起） 2015/11/04 dockerの -v オプションを使ってホストマシンのディレクトリをマウントするときは、マウントする範囲に注意が必要（特に/var/run/docker.sockをマウントしてはならない）という話を書きます。 元ネタは@lvhが書いてるDon't expose the Docker socket (not even to a container)という記事で、1ヶ月前くらいにHacker Newsで話題になってて知りました。 この元記事で紹介されているいくつかの危険なマウントのパターンに関する情報が、最近dockerを使い始めた自分に有用な情報だったので、自戒も込めて要点を書いておきます。 TL;DR /var/run/docke
Dockerでホストを乗っ取られた - Qiita
注意 本件記事ですが、私の不適切な行動（拾ったスクリプトを検証なく走らせる）が原因です。「dockerは（特に何もしなくとも）危険」との誤解を皆様に与えた点、ご迷惑をおかけいたしました。申し訳ございません。 拡散されている記事を削除するのはさらなる誤解を招きかねないと思いましたので、冒頭に注意を付記しております。以下の記事は、「自分が何してるかをきちんと検証できないとセキュリティホールを生み出す」という意味で参考にして頂ければ幸いです。 追記 Twitterやはてブで言及いただきました皆様、ありがとうございます。 本件はpullしてきたイメージが悪意ある開発者によるものかどうかにかぎらず、不適切な設定をしていると起こり得ます。 ※コメント欄に質問への回答という形で、私がそのときに走らせていたイメージの一覧を挙げておりますが、どのイメージも評判あるものだと思います。 皆様におかれましては「あ
Docker、Dockerイメージをスキャンし、脆弱性を発見、通知してくれる「Docker Security Scanning」発表
Docker社はDocker Cloudのアドオンサービスとして、リポジトリに保存されたDockerイメージのセキュリティスキャンを行い、脆弱性などを発見してくれる「Docker Security Scanning」を発表しました。 Docker Cloudとは、Dockerイメージのリポジトリ（旧Docker Hub）と、Dockerイメージをデプロイし、運用管理をするサービス（旧Tutum）を緊密に統合したサービスです。 Docker Security Scanningの提供する機能は、次のように説明されています。 Docker Security Scanning conducts binary level scanning of your images before they are deployed, provides a detailed bill of materials (B
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
Secure Apps Across VMs and Containers with Aqua and VMware AppDefense
IBM Cloud Blog
The competitive edge of DevSecOps - Highlight
GitHub - banyanops/collector: A framework for Static Analysis of Docker container images