Container für die Anwendungsentwicklung und -bereitstellung sind in Cloud-Umgebungen gut dokumentiert, und moderne Unternehmen verlagern sich zunehmend auf cloudzentrierte Architekturen. Container-Scanning ist ein Teilbereich der Containersicherheit und eine grundlegende Sicherheitsmaßnahme zum Schutz containerisierter DevOps-Workflows.
Nicht alle Container sind gleich, und viele Images können aus nicht vertrauenswürdigen Quellen und öffentlichen Repositories stammen. Sie können neue Bedrohungsvektoren hinzufügen, bösartige Komponenten enthalten und unbekannte Risiken darstellen.
In diesem Blog werden die Grundlagen des Container-Scannings und dessen Bedeutung für die Containersicherheit erläutert. Außerdem werden gängige Container-Schwachstellen und verschiedene Methoden des Container-Scannings behandelt sowie Anwender durch die Implementierung geführt. Lassen Sie uns eintauchen.
Was ist Container-Scanning (Container Image Scanning)?
Container-Scanning nutzt moderne Sicherheitstools zur Analyse der verschiedenen Komponenten von Container-Images Schicht für Schicht, um potenzielle Bedrohungen zu erkennen.
Container-Scanning-Lösungen identifizieren Schwachstellen und prüfen auf Gefahren, indem sie globale Datenbanken nutzen. Sie erkennen Exploits in Cloud-nativen Anwendungen und stellen sicher, dass Entwicklungsteams Schwachstellen frühzeitig finden und beheben können, bevor sie ausgenutzt werden. Diese Lösungen ermöglichen Shift-Left-Sicherheitsmaßnahmen von Anfang an, führen Analysen durch und geben Empfehlungen zur Behebung von Schwachstellen.
Warum Container-Scanning?
Container enthalten mehrere Images, die Schwachstellen von Basis-Images erben, einschließlich aller möglichen Fehlkonfigurationen, Malware und anderer Sicherheitsmängel. Die Durchsetzung von Shift-Left-Sicherheit beginnt mit der Analyse von Abhängigkeiten und Paketen innerhalb von Container-Images, um Bedrohungen zu eliminieren und deren Einsatz in der Produktionspipeline zu verhindern.
Es ist unerlässlich, einen Container-Scanner zu verwenden, um Schwachstellen in Container-Images zu identifizieren und zu beheben, bevor sie eskalieren und schwerwiegende Probleme verursachen. Das Auslassen von ordnungsgemäßen Container-Scans kann zum Verlust sensibler Zugangsdaten, zu Datenpannen und anderen Sicherheitskompromittierungen führen.
Was sind häufige Container-Schwachstellen?
Container verändern die Art und Weise, wie Unternehmen Anwendungen entwickeln, bereitstellen und nutzen. Sie erhöhen die Effizienz und Portabilität und ermöglichen es Anwendern, Software auszuführen, ohne sich um passende Betriebssysteme, Einstellungen oder Produktionsumgebungen sorgen zu müssen. Container sind standardmäßig sicher, sind jedoch wie jede andere Sicherheitslösung bestimmten Risiken ausgesetzt.
Die häufigsten Schwachstellen bei der Containersicherheit sind:
- Nicht vertrauenswürdige Container – Nicht vertrauenswürdige Container bestehen hauptsächlich aus Containern, die Software aus nicht vertrauenswürdigen oder nicht verifizierten Quellen ausführen. Diese Container können bösartigen Code enthalten und in öffentliche Repositories hochladen, wodurch Angreifer unbefugten Zugriff auf Netzwerke erhalten können.
- Unsichere Konfigurationen – Maschinen, die Container ausführen, können anfällig für Angriffe auf Betriebssystemebene sein, daher ist das ordnungsgemäße Aktualisieren und Konfigurieren des Host-Betriebssystems essenziell. Unsichere Designs umfassen auch Privilegieneskalationsangriffe und fehlkonfigurierte Containerisierungsschichten.
- Secrets Management – Container, die Geheimnisse nicht schützen, sind auf allen Ebenen anfällig für Angriffe. Unsichere API-Schlüssel und Tokens sind die Hauptursachen für Schwächen im Secrets Management. Das Nicht-Rotieren privater Schlüssel kann dazu führen, dass Angreifer Zugangsdaten herausfinden und auf Ressourcen zugreifen, für die sie nicht autorisiert sind.
Arten des Container-Security-Scannings
Container-Images können aus verschiedenen Quellen stammen, weshalb die Vertrauenswürdigkeit von Images entscheidend ist. Um vollständige Sicherheit während des gesamten Lebenszyklus Ihrer Anwendung vor Bereitstellung und Produktion zu gewährleisten, ist es wichtig, Container-Scanning in den folgenden drei Bereichen zu implementieren:
1. Container Registry Scanning-Container-Registries speichern Tausende von Images, die aus unterschiedlichen Quellen erstellt wurden. Die Registry umfasst Drittanbieter-Quellen; eine einzige Bedrohung kann die gesamte Anwendung betreffen. Das kontinuierliche Scannen der Container-Registry auf Änderungen und Schwachstellen ist entscheidend für die Aufrechterhaltung der Containersicherheit. Dies muss automatisiert erfolgen, und jedes Image muss überprüft werden, um potenzielle Bedrohungen zu identifizieren.
2. Runtime Scanning-Das Scannen von Containern zur Laufzeit identifiziert neue CVEs, erkennt neue Schwachstellen und meldet diese sofort an Sicherheitsteams. Automatisiertes Runtime-Scanning kann Risiken in Container-Umgebungen priorisieren und den Schutz zur Laufzeit insgesamt verbessern. Es hält Container in sicheren Zuständen und mindert Anomalien durch die Festlegung von Baselines.
3. Vulnerability Scanning-Vulnerability Scanning analysiert alle Komponenten von Containern während des gesamten Lebenszyklus von Anwendungen. Es ist eine gute DevSecOps-Praxis, und Sicherheitsteams sollten das Scannen von Container-Images in CI/CD-Pipelines integrieren, um Bedrohungen effektiv zu erkennen und zu beheben. Vulnerability Scanning erkennt Schwachstellen im Code, bevor dieser in Container gelangt, und blockiert diese, um den Schutz zu maximieren.
Wie implementiert man Container-Scanning?
Container-Security-Scanning entwickelt sich zu einem standardisierten Workflow zur Überwachung und zum Schutz von Cloud-nativen Umgebungen und Anwendungen. Die meisten Entwickler bevorzugen es, die Ausführungsumgebung beim Ausführen von Container-Scans mit internen Tools zu trennen.
Es gibt drei Hauptschritte beim Container-Scanning, die wie folgt lauten:
- Schritt 1 – Anwendungscode absichern
- Schritt 2 – Container-Image scannen
- Schritt 3 – Konnektivitätsschichten scannen
Schritt 1 – Anwendungscode absichern
Container-Anwendungscode und -entwicklung helfen dabei, Schwachstellen und Abhängigkeiten im Container-Code zu scannen und zu verfolgen. Dies unterstützt das frühzeitige Erkennen von Fehlern während des Entwicklungszyklus, noch vor der Containerisierung, Integration und Bereitstellung. Der erste Anwendungscode-Scan kann durchgeführt werden, nachdem der Code in den Container eingefügt wurde.
Schritt 2 – Container-Image scannen
Es stehen viele Tools zum Scannen von Container-Images zur Verfügung, die digitale Signaturen analysieren, um die Qualität des Images und verschiedene Schwachstellen zu bewerten. Das Scannen von Container-Images prüft Quellen und verifiziert Herausgeber, wodurch die Integrität und Authentizität dieser Images sichergestellt wird.
Schritt 3 – Konnektivitätsschichten scannen
Die mittleren Schichten von Containern enthalten die meisten Sicherheitslücken. Container-Images können durch Minimierung der Anzahl der Schichten angepasst werden.
Best Practices für Container-Security-Scanning
Die folgenden Best Practices gelten für das Container-Security-Scanning:
- CLI-Lokales Scanning
- Integriertes automatisiertes Scanning in die CI/CD-Pipeline
- Inline-Image-Scanning einsetzen
- Image-Versionen festlegen
- Nach Secrets scannen
- Drifts erkennen
1. CLI-Lokales Scanning
CLI-Lokales Scanning umfasst das Docker-Scanning und erleichtert das sofortige Scannen lokaler Container-Images nach deren Erstellung. Sie können einen CLI-Scan mit dem Befehl docker scan durchführen, was einer der ersten Schritte zur Umsetzung der besten Container-Sicherheitspraktiken ist.
2. Integriertes automatisiertes Scanning in die CI/CD-Pipeline
Der nächste Schritt ist die Integration des automatisierten Scannings in die CI/CD-Pipeline und die kontinuierliche Analyse von Container-Images während ihrer Erstellung. Dies hilft, kritische Sicherheitsvorfälle zu vermeiden, fehlgeschlagene Builds zu melden und Schwachstellen zu identifizieren.
3. Inline-Image-Scanning einsetzen
Inline-Image-Scanning hilft, den Datenschutz zu überwachen und Image-Zugangsdaten zu sichern. Es ist nicht erforderlich, öffentliche Repositories zu stagen; lediglich das Scan-Metadaten-Tool wird benötigt. Inline-Scanning kann in GitLab, AWS Codepipeline, Jenkins, Tekton und vielen anderen CI/CD-Tools implementiert werden.
4. Image-Versionen festlegen
Manchmal kann es vorkommen, dass das falsche Image gescannt wird, da Container unterschiedliche Versionen haben, die aus demselben Image bereitgestellt werden können. Dies kann zu Problemen beim Debugging führen, und wenn Sie veränderliche Tags verwenden, besteht die Gefahr, dass die Scan-Ergebnisse ungültig werden, da diese Tags ständigen Updates und neuen Versionen unterliegen.
Es ist wichtig, unveränderliche Tags durchzusetzen und Image-Versionen festzulegen, damit regelmäßige Änderungen diese nicht beeinflussen. Eine Kombination aus Container-Image-Scanning, der OPA-Engine und dem Kubernetes Admission Controller kann diesen Prozess unterstützen.
5. Nach Secrets scannen
Secrets-Scanning kann Passwörter, Benutzernamen und private Schlüssel schützen. Das Scannen von Secrets vor der Bereitstellung von Images ist eine gute Praxis, und Anwender können die Image-Quellen verifizieren. Secrets-Scanning verhindert Leaks und macht Informationen für gesicherte und containerisierte Workloads zugänglich. Es erleichtert auch die Container-Wartung, und viele Workflows sind darauf ausgelegt, Kubernetes-Cluster mit internen Tools zu überwachen. Einige Anwender bevorzugen separate Ausführungsumgebungen zur Analyse unterschiedlicher Konfigurationen.
6. Drifts erkennen
Machen Sie Ihre Container-Bereitstellungen von Anfang an unveränderlich. Es ist wichtig, die neuesten Sicherheitspatches und Konfigurationsupdates anzuwenden und neue Container-Images so bereitzustellen, dass Konfigurationsabweichungen minimiert werden. Verwenden Sie Binary Drift Detection, um die Einführung nicht autorisierter ausführbarer Dateien oder unerwünschter Änderungen zu erkennen. Sie können Drift Detection in CI/CD-Pipelines integrieren, und es wird empfohlen, das Laufzeitverhalten mit Laufzeitsicherheits-Tools zu überwachen. Verwenden Sie Container-Sicherheitsplattformen, die integrierte Drift Detection, Container-Image-Scanning, Richtliniendurchsetzung und Container-Runtime-Schutz bieten.
Warum SentinelOne für Container-Security-Scanning?
SentinelOne bietet branchenführende Containersicherheit durch die Kombination aus umfassender Transparenz, automatisierter Bedrohungserkennung und Posture Management für Kubernetes, Container und Cloud-native Workloads. SentinelOne Singularity™ Cloud Native Security (CNS) ermöglicht agentenloses Container-Scanning, sodass Sicherheitsteams Schwachstellen, Fehlkonfigurationen und exponierte Secrets in Container-Images erkennen können, bevor diese bereitgestellt werden. Mit Unterstützung für das Scannen von über 750 Secret-Typen hilft SentinelOne Unternehmen, Credential-Leaks zu verhindern und eine robuste Code-Hygiene in GitHub, GitLab, BitBucket und anderen CI/CD-Repositories aufrechtzuerhalten.
Die Plattform umfasst Kubernetes Security Posture Management (KSPM), das es Unternehmen ermöglicht, Sicherheitsbest-Practices in Kubernetes-Clustern kontinuierlich zu überwachen und durchzusetzen. SentinelOne erkennt Konfigurationsabweichungen und bietet über 2.000 integrierte Regelwerke für wichtige Compliance-Standards wie NIST, CIS und MITRE, sodass Teams Fehlkonfigurationen und Compliance-Lücken in Echtzeit beheben können. CNS lässt sich nahtlos in DevOps-Pipelines integrieren, um die Richtliniendurchsetzung zu automatisieren und umsetzbare Erkenntnisse mit minimaler Beeinträchtigung bestehender Workflows bereitzustellen.
SentinelOne’s Singularity™ Cloud Workload Security (CWS) erweitert den Schutz auf containerisierte Workloads zur Laufzeit und nutzt KI-gestützte Erkennung, um Angriffe – einschließlich Ransomware, Cryptojacking und Zero-Days – in Maschinen-Geschwindigkeit zu stoppen. Durch die Kombination von statischer Analyse, dynamischer Bedrohungserkennung und automatisierter Reaktion ermöglicht SentinelOne Unternehmen, jede Angriffsfläche – VMs, Container und Kubernetes – in Multi-Cloud-Umgebungen über ein zentrales Dashboard zu schützen.
Mit seiner agentenlosen CNAPP-Architektur ermöglicht SentinelOne Sicherheitsteams, sich auf besonders relevante Warnungen und verifizierte Exploit-Pfade zu konzentrieren, wodurch Fehlalarme und operativer Aufwand reduziert werden. Automatisiertes Onboarding, sofortige Abdeckung und einheitliches Richtlinienmanagement machen SentinelOne zur idealen Lösung für die Absicherung von Containern während des gesamten Entwicklungszyklus – vom Build bis zur Laufzeit.
KI-gestützter Cloud Workload-Schutz (CWPP) für Server, VMs und Container, der Laufzeitbedrohungen in Echtzeit erkennt und stoppt.
Fazit
Best Practices wie das Scannen von Container-Images in CI/CD-Pipelines und das Scannen auf Betriebssystem-Schwachstellen können Images sicher halten und deren Ausnutzung verhindern. Die Durchsetzung der besten Containersicherheit ist ein kontinuierlicher Prozess und folgt einem iterativen Ansatz vom Beginn des Builds bis zum Abschluss.
Es ist wichtig, in allen Phasen des Lebenszyklus der Container-Anwendungsentwicklung auf Bedrohungen zu überwachen und sich auf neue Sicherheitsrisiken vorzubereiten. Das Scannen von Containern deckt versteckte Exploits auf, beseitigt Schwachstellen und gewährleistet optimale Sicherheit, indem containerisierte Anwendungen auf Verhaltensänderungen oder bösartige Ereignisse überwacht werden. SentinelOne bietet Out-of-the-Box-Funktionen wie Audit-Logging, Berechtigungsmanagement, Unterstützung für IaC-Vorlagen und mehr, wodurch Container-Scanning zu einer nahtlosen Erfahrung wird.
SentinelOne in Aktion sehen
Entdecken Sie in einer persönlichen Demo mit einem SentinelOne-Produktexperten, wie KI-gestützte Cloud-Sicherheit Ihr Unternehmen schützen kann.
Demo anfordernHäufig gestellte Fragen zum Container Scanning
Container Scanning ist der Prozess der Analyse von Container-Images und laufenden Containern, um Sicherheitslücken, Fehlkonfigurationen und Compliance-Probleme zu identifizieren. Es ist ein Sicherheitscheck für Ihre containerisierten Anwendungen.
Dabei wird alles vom Basisbetriebssystem bis zu den Anwendungsabhängigkeiten untersucht und mit Schwachstellendatenbanken wie der National Vulnerability Database abgeglichen. So können Sicherheitsprobleme erkannt werden, bevor sie in die Produktion gelangen.
Container Scanning erkennt Betriebssystem-Schwachstellen in Basis-Images, anfällige Anwendungsabhängigkeiten und Konfigurationsfehler wie zu großzügige Benutzerrechte oder offene Ports. Es findet außerdem fest codierte Geheimnisse wie API-Schlüssel und Passwörter, Malware sowie Verstöße gegen Compliance-Standards wie CIS-Benchmarks.
Die Scanner prüfen auf veraltete Bibliotheken, Fehlkonfigurationen in Dockerfiles und übermäßige Berechtigungen, die von Angreifern ausgenutzt werden könnten.
Sie sollten das Scannen in Ihre CI/CD-Pipelines integrieren, um Schwachstellen vor der Bereitstellung zu erkennen. Verwenden Sie minimale Basis-Images aus vertrauenswürdigen Quellen und scannen Sie sowohl zur Build-Zeit als auch zur Laufzeit für eine umfassende Abdeckung.
Richten Sie automatisiertes Scannen mit geeigneten Alarm-Schwellenwerten ein und aktualisieren Sie regelmäßig Ihre Schwachstellendatenbanken. Implementieren Sie außerdem Richtlinien, die Bereitstellungen blockieren, wenn kritische Schwachstellen gefunden werden.
Container-Scanner rufen zunächst Images ab und zerlegen sie in ihre einzelnen Schichten, um jede Komponente separat zu analysieren. Sie verwenden signaturbasiertes Scannen, um Komponenten mit bekannten Schwachstellendatenbanken wie CVE zu vergleichen, sowie verhaltensbasiertes Scannen, um anomale Aktivitäten zur Laufzeit zu erkennen.
Der Scanner untersucht Basis-Images, Anwendungscode, Abhängigkeiten und Konfigurationen und markiert anschließend alle Sicherheitsprobleme zur Behebung.
