Sécurité des conteneurs
Les serveurs Linux constituent souvent une base pour l'exécution des conteneurs Docker et des outils d'orchestration Docker. La fonctionnalité de sécurité des conteneurs fait partie de la protection en temps réel du système de fichiers dans ESET Server Security for Linux.
ESET Server Security for Linux peut détecter des menaces ou une activité suspecte dans un conteneur et les bloquer, mais il ne peut pas les éliminer. Cela signifie que l'exécution d'un script suspect sera bloquée mais que le script ne sera pas supprimé. Vous pourrez le supprimer manuellement.
Protection en temps réel du système de fichiers
La protection en temps réel du système de fichiers d’ESET peut analyser un conteneur dans les phases suivantes :
•processus de création de l’image de conteneur
•déploiement de l’image de conteneur sur une machine protégée par ESSL
L’activité dans le conteneur est également analysée en temps réel pour rechercher un comportement suspect.
|
Cette fonctionnalité ne prend actuellement en charge que les conteneurs s'exécutant sur la technologie Docker. Si la protection en temps réel du système de fichiers détecte un échantillon infecté à l'intérieur du conteneur, les entrées du journal de détection contiennent les informations d'URI de l'objet, indiquant qu'il a été détecté à l'intérieur d'un conteneur à partir d'images spécifiques avec un ID spécifique. |
Exemple d'URI d’objet :
docker://alpine:latest@025098c...70a1fe59004a5ecc23ede60a/eicar.com |
•docker:// représente la technologie de conteneur
•alpine:latest représente l'image du conteneur
•025098c...70a1fe59004a5ecc23ede60a représente la ID de conteneur
•eicar.com représente la Fichier infecté
Exemple d'entrée de détection complète :
05/21/2026 11:01:40 PM,Error,Real-time file system protection,docker://alpine:latest@025098c...70a1fe59004a5ecc23ede60a/eicar.com,Eicar,Test file,Retained,root,/bin/busybox,Event occurred on a newly created file.,,3395856CE81F2B7382DEE72602F798B642F14140,@NAME=Eicar@TYPE=Teststring@SUSP=inf |
Protection de l'accès Web
La protection de l'accès web n'est prise en charge que pour les conteneurs sur le réseau hôte. Les conteneurs sur tout autre type de réseau ne sont pas protégés. Tout le trafic HTTP est analysé automatiquement lorsqu'un conteneur se trouve sur le réseau hôte. Pour activer l'analyse du trafic HTTPS, importez le certificat ESET-SSL-Filter-CA.pem dans le conteneur.
Le certificat se trouve dans :
/etc/ssl/certs/ |
éventuellement
/etc/pki/ca-trust/extracted/pem/ |
Analyses à la demande
Une analyse à la demande peut nettoyer l'infection si le fichier infecté se trouve à un point de montage public et n'est pas caché dans un espace de noms privé.
Kubernetes
Dans Kubernetes avec containerd, le déploiement du conteneur infecté est détecté et le déploiement échoue.
Exemple de détection de fichiers dans les journaux :
09.09.2024 13:56:43,1,Real-time file system protection,file:///var/lib/rancher/k3s/agent/containerd/io.containerd.snapshotter.v1.overlayfs/snapshots/82/fs/eicar.com,Eicar,Test file,Cleaned by deleting,root,/var/lib/rancher/k3s/data/e50868881d9744d0d0027dda983507e867b3787482eb00005d97239d9aa501a5/bin/k3s,Event occurred on a newly created file.,3395856CE81F2B7382DEE72602F798B642F14140,@NAME=Eicar@TYPE=Teststring@SUSP=inf |
Le pod ne peut pas démarrer et enregistre l'erreur d'extraction suivante :
root@userr-kubernetes:~/k8s_test# kubectl describe pods ...
Normal Pulling 7m47s (x4 over 10m) kubelet Pulling image "user/ubuntu_with_eicar:1.0" Warning Failed 7m27s (x4 over 9m48s) kubelet Error: ErrImagePull |
Dans Kubernetes avec CRI-O, le déploiement du conteneur infecté est uniquement détecté, mais n'est pas nettoyé, et un conteneur est démarré.
|
Lorsque l'isolement réseau est actif : •La communication entre les conteneurs sur le réseau du pont est bloquée. •La communication entre les conteneurs du réseau superposé et l'hôte est bloquée. •La protection de l'accès web n'analyse pas les communications des conteneurs. |
Chez ESET, nous avons testé :
•Kubernetes avec containerd
•Kubernetes avec CRI-O