Özet

Konteyner Güvenliği, konteynerleştirilmiş uygulamaları (Docker veya Kubernetes üzerinde çalışan) tüm yaşam döngüleri boyunca, derlemeden çalışma zamanına kadar koruma sürecidir.

Konteyner görüntülerini, kayıt defterlerini, çalışma zamanı ortamlarını ve orkestrasyon katmanlarını güvenlik açıklarına, yanlış yapılandırmalara ve yetkisiz erişime karşı korumaya odaklanır.

Konteyner Nedir

Bir konteyner, uygulamanın çalışması için gereken bağımlılıkları, kütüphaneleri, kodu ve yapılandırmayı içeren bağımsız bir yazılım paketidir. Uygulamayı altta yatan sistemden izole eder, böylece farklı ortamlarda, bir geliştirici dizüstü bilgisayarından bir test sunucusuna ve üretim için buluta kadar tutarlı bir şekilde çalışır.

Konteynerler verimlidir çünkü ana işletim sisteminin çekirdeğini paylaşırlar ve tam bir misafir işletim sistemi gerektirmezler, bu da onları sanal makinelerden daha hızlı ve kaynak açısından daha verimli hale getirir.

Konteyner platformlarına örnekler:

• Docker
• Kubernetes
• Containerd
• Podman

Konteynerler aynı ana işletim sistemini paylaştıkları için, tek bir yanlış yapılandırma birden fazla konteyneri etkileyebilir, bu da konteyner güvenliğini önemli hale getirir.

Konteyner Güvenliği Nedir

Konteyner Güvenliği, yazılım konteynerlerini ve çalıştıkları sistemleri korumak için kullanılan süreç, araçlar ve politikalardır.

Konteynerler uygulamayı ve bağımlılıklarını birlikte izole ettikleri için, onları güvenlik açıklarından, yanlış yapılandırmalardan ve yetkisiz erişimden korumak önemlidir.

Konteyner güvenliği, konteyner görüntülerini, çalışma zamanını, orkestrasyon araçlarını ve temel altyapıyı koruyarak konteynerleştirilmiş uygulamaların bütünlüğünü, gizliliğini ve erişilebilirliğini sürdürmeyi içerir.

Amaç, aşağıdaki gibi güvenlik risklerini önlemektir:

• Güvenlik açığı bulunan veya tehlikeye atılmış konteyner görüntüleri
• Yanlış yapılandırılmış Docker veya Kubernetes ayarları
• Konteynerler içinde ayrıcalık yükseltme
• Çalışma zamanı saldırıları ve yetkisiz erişim
• Tehlikeye atılmış konteyner kayıtları
• Taban görüntülerden kaynaklanan tedarik zinciri sorunları

Örnek :

Bir Docker görüntüsü, bilinen güvenlik açıklarına sahip savunmasız bir Apache Struts kütüphanesi içeriyorsa, saldırganlar bunu istismar edebilir (örneğin, Equifax ihlali 2017). Konteyner güvenliği, bu tür güvenlik açıklarının dağıtımdan önce tespit edilmesini sağlar.

Konteyner Güvenliği Neden Önemlidir

Konteynerler her yerde kullanılır: bulut uygulamaları, mikro hizmetler, CI/CD ve SaaS platformları çünkü daha hızlı sürüm çıkarmayı sağlarlar. Ancak, aynı zamanda saldırganlar için saldırı yüzeyini de artırırlar.

1. Paylaşılan host = paylaşılan risk

   Bir tehlikeye açık konteyner tüm düğümü açığa çıkarabilir.

2. Halka açık görüntüler tehlikeli olabilir.

   Docker Hub görüntüleri, eski veya kötü amaçlı kütüphaneler içerebilir.

3. Kubernetes yanlış yapılandırması

   Zayıf RBAC veya açık bir kontrol paneli, birçok bulut ihlaline yol açmıştır.

4. Saldırganlar konteynerleri doğrudan hedef alır.

   Örnek: Tesla’nın Kubernetes ihlali (2018), saldırganlar yanlış yapılandırılmış bir konteyneri kullanarak kripto madenciliği iş yüklerini çalıştırdı.

5. Uyumluluk güçlü kontroller gerektirir.

   SOC 2, PCI DSS, HIPAA gibi güvenlik düzenlemelerine uymak için konteynerleri güvence altına alın.

Konteyner Güvenliği Nasıl Çalışır

Konteyner güvenliği, konteyner yaşam döngüsünün her aşamasını korur, görüntünün oluşturulmasından üretimde çalıştırılmasına kadar. İşte sürecin nasıl çalıştığı:

1. Oluşturma Aşamasını Güvence Altına Alın

Bu aşama, konteyner görüntülerinin oluşturulduğu yerdir.

• Temel görüntüleri tarayın (örneğin, eski kütüphaneler) için güvenlik açıkları
• Dockerfile’ları kontrol edin (örneğin, root hesap olarak çalıştırma, gereksiz portları açma) için güvensiz talimatlar
• Gizli bilgileri tespit edin kaynak kodu veya ortam dosyaları içinde, görüntüye dahil edilmeden önce.
• Güvenilir kayıt defterlerini kullanın tehlikeye açık görüntüleri kullanmaktan kaçınmak için.

Amaç: Güvensiz bileşenlerin konteyner görüntünüze girmesini önlemek

2. Konteyner Kayıt Defterlerini Tarayın ve Koruyun

Görüntüler oluşturulduktan sonra Docker Hub, ECR, GCR gibi kayıt defterlerinde saklanır.

• Sürekli yeniden tarama yeni CVE’ler ortaya çıktığında görüntüleri.
• Riskli görüntüleri engelle üretime çekilmesini.
• Görüntü imzalamayı zorunlu kıl böylece sadece doğrulanmış görüntüler üretimde kullanılacak.

Amaç : Sadece güvenli görüntülerin dağıtılması sağlanır

3. Dağıtım Sırasında Güvenlik Kontrollerini Uygula

Dağıtım sırasında, konteynerler Kubernetes gibi bir platform tarafından orkestre edilir.

• En az ayrıcalığı zorunlu kıl, konteynerleri root olarak çalıştırmaktan kaçının.
• Ağ politikalarını uygulayın hizmetler arasındaki iletişimi kontrol etmek için.
• Kabul denetleyicilerini kullanın güvensiz dağıtımları otomatik olarak reddetmek için.
• Gizli yönetimini etkinleştirin Kubernetes Secrets, Vault, vb. gibi.

Amaç : Konteynerlerin doğru güvenlik politikasıyla başlamasını sağla

4. Çalışma Zamanında Konteynerleri İzle

Dağıtımdan sonra, konteynerler üretimde aktif hale gelir ve saldırganlar, açıkları bulurlarsa bunları istismar edebilir.

• Olağandışı davranışları tespit et, örneğin kripto madenciliği, ayrıcalık yükseltme.
• Sistem çağrılarını izleyin şüpheli eylemleri yakalamak için.
• Sapmayı önleyin, çalışan konteynerlerin ekibinizden gelen orijinal görüntüyle eşleşmesini sağlayın.
• Çalışma zamanı yapılandırmasını koruyun ağ ayarları, monte edilmiş hacimler veya ayrıcalık bayrakları gibi.

Amaç: Saldırıları yayılmadan önce yakala

5. Kubernetes’i Güvenli Hale Getir (kullanılıyorsa)

Kubernetes, konteynerleri ölçekli olarak orkestre etmek için güçlüdür. Ancak aynı zamanda riskler de getirebilir.

• API sunucusunu RBAC ile güvenli hale getir.
• etcd’yi güçlendir (dinlenme sırasında şifrele, erişimi kısıtla).
• Denetim günlüğünü etkinleştir tüm kullanıcı eylemlerini ve olayları izlemek için.
• CIS Kubernetes Benchmark’larını uygula en iyi uygulama için.

Amaç: Orkestrasyon katmanının güvenliğini sağlamak

6. Sürekli Denetim ve Otomasyon

Konteyner ortamları hızlı hareket eder ve otomasyon, konteynerlerin güvenliğini sağlamak için anahtardır.

• Güvenlik açığı taramalarını CI/CD boru hatlarında otomatikleştirin
• Yapılandırmaları sürekli olarak güvenlik temel çizgisine karşı doğrulayın.
• SOC 2, ISO 27001, PCI DSS gibi standartlar için uyumluluk raporları oluşturun.
• Dağıtılmış görüntüleri etkileyen yeni güvenlik açıkları olduğunda ekipleri uyarın.

Amaç: Otomasyon ve görünürlük ile uzun vadeli güvenliği sürdürmek.

Konteyner Güvenliğinin Anahtar Yetenekleri

1. Görüntü Tarama

Dağıtımdan önce güvenlik açıklarını, kötü amaçlı yazılımları, sırları ve güvensiz kütüphaneleri tespit edin.

Örnek: CI/CD sırasında bir temel görüntü içinde Log4j’i tanımlamak

2. Kayıt Güvenliği

Özel kayıtları (örneğin, ECR, GCR, Harbor) kimlik doğrulama ve sürekli tarama ile koruyun.

3. Çalışma Zamanı Savunması

Aşağıdaki gibi olağandışı davranışlar için konteynerleri izleyin:

• Beklenmedik bir kabuk oluşturma
• Kripto madenciliği girişimleri
• Ayrıcalık yükseltme

4. Kubernetes + Orkestrasyon Güvenliği

Küme güvenliğini güçlendirin:

• RBAC
• Ağ Politikaları
• Pod Güvenlik Standartları
• Sır şifreleme
• Ayrıcalıklı konteynerleri devre dışı bırakma

5. Ana Bilgisayar Güvenliği

Konteynerlerden kaçmayı önlemek için temel işletim sistemini güçlendirin.

6. Uyumluluk ve Politika Uygulaması

Docker ve Kubernetes için CIS ölçütlerini uygulayın.

Uygulamada Örnek

Bir SaaS şirketi Kubernetes’te yüzlerce mikro hizmet çalıştırıyor. Konteyner güvenlik incelemesi sırasında, ekip şunları buldu

• Bazı konteynerler root kullanıcılar olarak çalışır.
• Ad alanı sınırsız ağ erişimine izin verir.
• Bir imajda hardcoded API anahtarları bulunur.

Bunu düzeltmek için, ekip:

• CI/CD’de imaj tarama entegrasyonu ekler.
• Kubernetes RBAC ve ağ politikalarını uygular.
• Çalışma zamanı izleme dağıtır.
• Gizli bilgileri kaldırır ve Vault/KMS kullanır.

Sonuç:

Saldırı yüzeyini azaltıldı, üretime ulaşan güvenlik açıkları önlendi ve güvenlik denetimi hazırlığı iyileştirildi.

Popüler Konteyner Güvenlik Araçları

• Plexicus Container Security – Birleşik tarama, konteyner içgörüleri, IaC kontrolleri
• Aqua Security
• Prisma Cloud (Palo Alto Networks)
• Sysdig Secure
• Falco
• Anchore
• Trivy

Konteyner Güvenliği için En İyi Uygulamalar

• Minimal taban imajları kullanın (örneğin, distroless, Alpine)
• İmajları kayıt defterine göndermeden önce tarayın.
• Root olmayan konteynerler kullanın
• Konteyner yeteneklerini sınırlayın (ayrıcalıklı mod yok)
• Kubernetes RBAC uygulayın
• Ağ segmentasyonu uygulayın
• Gizli bilgileri güvenli bir şekilde saklayın (Vault, KMS, Kubernetes Secrets)
• Çalışma zamanı davranışını sürekli izleyin.

İlgili Terimler

• Kubernetes Güvenliği
• Cloud Security Posture Management (CSPM)
• Cloud Workload Protection Platform (CWPP)
• RBAC
• DevSecOps