Wie man Container nicht nur effizient, sondern auch sicher betreibt

Container haben die Art und Weise revolutioniert, wie man Anwendungen entwickeln und bereitstellen kann. Sie ermöglichen es, Anwendungen in isolierte, portable Umgebungen zu verpacken. So lassen sie sich – plattformagnostisch – einfacher skalieren, verwalten und migrieren.

Bei all diesen Vorteilen sollte man jedoch nicht vergessen: Auch Container müssen abgesichert werden, damit Firmen- und Kundendaten nicht in die Hände von Cyberkriminellen gelangen. Um zu zeigen, wie Container sicher betrieben werden können, veranstalteten Netzmedien, Thales und Red Hat Ende Juni ein gemeinsames Webinar.

Martin Gegenleitner, Thales; Robert Erenberg-Andersen, Red Hat; Coen Kaat, Netzmedien. (v. o. l. n. u., Source: Netzmedien)

Ein wichtiger Ansatz im Bereich Container Security ist die Verschlüsselung, wie die beiden Referenten Martin Gegenleitner, Pre-Sales Consultant bei Thales, und Robert Erenberg-Andersen, Principal Cyber Security Lead bei Red Hat, erklärten. Verschlüsselung kann auf verschiedenen Ebenen im Stack angewendet werden – von der Applikationsebene über die Plattform- und Datenbankebene bis hin zur Hardware-Ebene. Je näher an der Applikation man ansetzt, desto höher ist der Aufwand – aber auch der Sicherheitsgewinn. Vor allem auch, weil der Sicherheitsgewinn top-down funktioniert – verschlüsselt man die Applikation, sollten auch alle Ebenen darunter sicher sein, wie Gegenleitner erklärte.

Sicherheit von Anfang an

Erenberg-Andersen hob die Bedeutung des Konfigurationsmanagements als grundlegenden Schritt in der Infrastruktur-Sicherheit hervor. Dies müsse idealerweise automatisiert und policy-getrieben geschehen. "Ich will keine Standardpasswörter sehen", sagte der Security-Experte von Red Hat. Weshalb das so wichtig ist, erklärte Erenberg-Andersen ebenfalls: Nur 1,7 Prozent der bekannten Schwachstellen werden gemäss Erenberg-Andersen tatsächlich ausgenutzt. 90 Prozent aller Cybervorfälle seien auf Fehlkonfigurationen zurückzuführen. Ein starker Zugriffsschutz nach dem Least-Privilege-Prinzip, die Verwendung von vertrauenswürdigen Quellen für Container-Images und die Integration guter Sicherheitsmassnahmen in die CI/CD-Pipeline seien ebenfalls kritisch.

Auf den drei Säulen Detect, Protect und Respond basiert Container-Sicherheit. (Source: zVg)

Nicht alle Probleme lassen sich vermeiden. Deswegen sollte man auch im Falle eines Zwischenfalls handlungsfähig bleiben und Container isolieren können. "Wenn ich einen Incident in einem Container habe, möchte ich nicht, dass sich dieser auf den Rest meines Clusters ausbreitet. Ich möchte in der Lage sein, diesen Container abzuwürgen und bereinigt neu zu starten."

Verschlüsselung sei aber auch immer eine Abwägung zwischen Implementierungskosten und Risikoreduktion, sagte Gegenleitner. Wer verschlüsselt, muss auch Schlüssel verwalten – dies bringt einen gewissen Aufwand mit sich. Abgesehen von den Implementierungskosten erhöht dies auch die Komplexität von Backup- und Restore-Prozessen. 

Der beste Ort, Schlüssel zu speichern

Das Thema "Secrets-Management" wurde auch in der abschliessenden Q-and-A-Runde des Webinars wieder aufgegriffen. Einer der Teilnehmenden wollte wissen, wie man API-Keys – etwa für den Zugriff auf Rest-APIs – in einer öffentlich zugänglichen Web-Applikation sicher speichern könne.

Erenberg-Andersen empfahl, Schlüssel serverseitig zu speichern und mit API-Requests zu arbeiten, um dem Client die notwendigen Daten bereitzustellen. So vermeidet man, die Schlüssel dort zu lagern, wo Angreifer als erstes danach suchen: im Front-End.

In der Fragerunde ging Gegenleitner auf die Auswirkungen der Verschlüsselung auf die Performance ein. Diese hänge davon ab, wo man im Stack mit der Verschlüsselung beginne. Setze man etwa tief an, auf der Hardware-Ebene, habe die Verschlüsselung fast keine Auswirkung auf die Leistung, erklärte er. "Beim Filesystem muss man mit einer kleinen Einbusse von vielleicht 5 Prozent rechnen." Die Performance-Einbussen würden jedoch auch stark von der verwendeten Verschlüsselungslösung abhängen.

Das ist die empfohlene Timeline für die Implementierung der Commercial National Security Algorithm Suite (CNSA), um sicher ins Post-Quanten-Zeitalter zu starten. (Source: zVg)

Im Rahmen des Webinars blickten die Experten auch in die Zukunft. Ein Thema, das derzeit immer aufkommt, wenn es um die Verschlüsselung geht, sind Quantencomputer. Ein ausreichend fortgeschrittener Quantencomputer ist theoretisch in der Lage, viele derzeit gängigen Verschlüsselungsmethoden obsolet zu machen.

Gegenleitner zeigte sich diesbezüglich jedoch optimistisch. "Container sind sehr agil", sagte er. "Wenn der Tag gekommen ist, an dem das Risiko für die Verschlüsselung durch Quantencomputer gross genug ist, dass man sich wirklich Sorgen machen sollte, ist man mit Containern gut aufgestellt, um darauf reagieren zu können."

Die Präsentations-Slides des Webinars finden Sie hier zum Download (PDF).

Hier finden Sie das gesamte Webinar in einer Videoaufzeichnung auf Youtube:

Das könnte Sie ebenfalls interessieren: Wie und warum man schon jetzt quantensicher verschlüsseln sollte, erfahren Sie hier in diesem Beitrag. Mehr über das Thema Verschlüsselung und wie sich diese von der Antike bis zur modernen Kryptografie entwickelte, lesen Sie hier.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.