Wat is container-runtime-beveiliging?

De meeste securityteams hebben één gemeenschappelijke en voortdurende uitdaging – het beveiligen van containerapplicaties tijdens runtime. Juist in deze fase zijn uw containers het meest kwetsbaar voor aanvallen zoals privilege-escalaties en zero-day exploits. Uit een recent onderzoek blijkt zelfs dat 85% van de organisaties die containers gebruiken in 2023 te maken kreeg met cybersecurity-incidenten, waarvan 32% tijdens runtime plaatsvond.

Wat gebeurt er als er één fout over het hoofd wordt gezien? U krijgt te maken met ernstige datalekken, operationele verstoringen en downtime – een uitkomst die u absoluut wilt voorkomen voor uw organisatie. In dit artikel bieden we praktische inzichten, dreigingen en bewezen strategieën om uw container runtime-beveiliging te verbeteren.

Wat is container runtime-beveiliging?

Container runtime-beveiliging is het beschermen van containers terwijl ze actief draaien in een productieomgeving. Dit omvat real-time monitoring en dreigingsdetectie om kwetsbaarheden die tijdens de uitvoering ontstaan te identificeren en te mitigeren. Het doel is het voorkomen van kwaadaardige activiteiten, ongeautoriseerde toegang en misconfiguraties door continu het gedrag van containers te monitoren en passende beveiligingsmaatregelen af te dwingen.

Belang van container runtime-beveiliging

Containers zijn het meest kwetsbaar wanneer ze draaien. In tegenstelling tot statische analyses of controles vóór implementatie, pakt runtime-beveiliging realtime dreigingen aan die zwakke plekken kunnen uitbuiten tijdens de uitvoering. Container runtime-bescherming waarborgt de integriteit van uw applicaties, ondersteunt en handhaaft compliance en beschermt gevoelige data.

De verborgen kosten van het niet beveiligen van uw container runtime

Container runtime-beveiliging is geen optie, het is sine qua non – onmisbaar voor uw organisatie. Het niet onderkennen van het belang ervan kan u duur komen te staan. We hebben er een aantal voor u op een rij gezet:

Datalekken: De meeste containers bevatten gevoelige en vertrouwelijke informatie – vaak van uw klanten. Elke nalatigheid in het waarborgen van de integriteit van deze data kan worden gezien als een vertrouwensbreuk en uw reputatie ernstig schaden. U verliest dus niet alleen de data, maar ook uw geloofwaardigheid en loopt het risico op dure rechtszaken.
Operationele downtime: Het succes van uw organisatie hangt af van een soepele werking. Een beveiligingsincident werkt als een spaak in het wiel – waardoor uw hele operatie tot stilstand komt en u onnodige en kostbare onderbrekingen ervaart. Eén enkel beveiligingsincident kan uw productiviteit en winstgevendheid aantasten.
Verlies van intellectueel eigendom: Uw containers bevatten ook waardevolle interne data zoals eigen algoritmes, handelsgeheimen en unieke code. Als aanvallers toegang krijgen tot deze data, kan het zijn dat u bepaalde producten en diensten volledig moet stopzetten. In het ergste geval krijgt de concurrentie toegang tot uw IP; u verliest uw concurrentievoordeel en mogelijk uw klantenbestand.
Hogere verzekeringspremies: Wist u dat bedrijven hun cybersecurity verzekeren? Dit doen ze vooral als investering en om kosten van beveiligingsincidenten te dekken. Maar na een incident stijgt uw premie. Afhankelijk van de ernst van het incident en uw herstelmaatregelen kan dekking zelfs volledig geweigerd worden.
Hoge herstelkosten: Het herstellen van een container na een incident is een kostbare aangelegenheid – en u moet bovendien veel middelen inzetten om alles weer operationeel te krijgen. U moet kwetsbaarheden patchen, configuraties bijwerken en gecompromitteerde systemen herstellen. Maar dat is niet alles. U moet ook het vertrouwen van uw klanten terugwinnen, bijvoorbeeld door uw beveiligingsprotocollen opnieuw te auditen en te verbeteren. Al deze maatregelen brengen aanzienlijke kosten met zich mee.
Compliance-problemen: Financiële en zorginstellingen lopen extra risico – zij krijgen boetes voor het compromitteren van gevoelige klantinformatie en het niet naleven van regelgeving. Daarnaast staan ze onder streng toezicht van toezichthouders.

Hoe werkt container runtime-beveiliging?

Container runtime-beveiliging werkt in een continue cyclus; het houdt toezicht op en analyseert het gedrag van containers gedurende de hele uitvoering. Het bestaat uit verschillende belangrijke componenten:

Realtime dreigingsdetectie: Een van de basis- maar zeer belangrijke functies van runtime-beveiliging is het detecteren van dreigingen op het moment dat ze zich voordoen. Hiervoor worden geavanceerde beveiligingstools ingezet die containeractiviteiten nauwlettend volgen. Er wordt gelet op verdacht gedrag zoals ongeautoriseerde systeemaanroepen, ongebruikelijke netwerkverbindingen of pogingen tot privilege-escalatie. Als een container probeert toegang te krijgen tot een bestand buiten zijn rechten of verbinding maakt met een extern IP-adres, wordt dit direct gemarkeerd. Vroege waarschuwingen aan securityteams maken snelle schadebeperking mogelijk.
Beleidshandhaving: Container runtime-beveiliging gaat verder dan alleen monitoring; het helpt ook bij het definiëren van wat een container mag doen via regels en beleidsmaatregelen. Deze vooraf ingestelde grenzen bepalen de toegang van een container tot resources, netwerken, databases en meer. Ook het onderlinge verkeer tussen containers wordt bewaakt en afwijkingen van de regels worden geblokkeerd.
Incidentrespons: Zodra runtime-beveiliging een dreiging detecteert in de container, worden direct maatregelen genomen zoals het isoleren van de getroffen container en het waarschuwen van securityteams. Het incident wordt gelogd voor forensisch onderzoek en toekomstige verbeteringen. Het is belangrijk te vermelden dat menselijke tussenkomst nodig is om de dreiging te mitigeren.
Continue monitoring: Door containers continu te monitoren, wordt de hygiëne in het proces gewaarborgd en krijgt u realtime inzicht in de status van de container.

CNAPP Marktgids

Krijg belangrijke inzichten in de staat van de CNAPP-markt in deze Gartner Market Guide for Cloud-Native Application Protection Platforms.

Leesgids

5 Kritieke container runtime-beveiligingsdreigingen waar elke organisatie van op de hoogte moet zijn

Hier zijn vijf kritieke container runtime-beveiligingsdreigingen die elke organisatie moet kennen:

#1 Configuratiedrift

Wist u dat de Kubernetes-console-inbreuk bij Tesla in 2018 werd veroorzaakt door configuratiedrift? De Kubernetes-console stond open zonder wachtwoordbeveiliging, waardoor aanvallers cryptovaluta konden minen. Configuratiedrift ontstaat wanneer er een verschil is tussen de verwachte en de werkelijke staat door ongeziene of ongeautoriseerde wijzigingen. Op termijn leidt dit tot nieuwe risico’s, verminderde beveiliging en kwetsbaarheden die door aanvallers kunnen worden benut.

#2 Kwaadaardige code-uitvoering

Containers zijn tijdens runtime het meest kwetsbaar, en aanvallers wachten op dit moment om heimelijk kwaadaardige scripts of applicaties te injecteren. Hilton Hotels kreeg in 2020 direct te maken met deze dreiging toen hackers hun docker-container misbruikten en toegang kregen tot gastgegevens. Vervolgens werd er ook nog een ransomware-aanval uitgevoerd.

#3 Malware in container images

Container images vormen de basis van een container. Als deze images echter afkomstig zijn van onbeveiligde bronnen, is de kans groot dat ze malware bevatten. Kent u het Docker Hub-malware-incident van 2019? Honderden kwaadaardige images met cryptominers werden op Docker gehost. Sindsdien heeft Docker de beveiliging aangescherpt om dergelijke incidenten te voorkomen.

#4 Privilege-escalatie-aanvallen

In een container krijgen gebruikers de juiste rechten om informatie te benaderen. Maar stel dat een aanvaller deze privileges krijgt. Dan kan hij mogelijk bedrijfsresources misbruiken, malware plaatsen en bedrijfsprocessen verstoren. In de cybersecuritywereld is de CVE-2019-5736 runs Vulnerability berucht, waarmee aanvallers root-toegang tot de host kregen. Ze misbruikten het lek om de binaire van de host te overschrijven.

#5 Kernel-exploits

Hostmachines en containers delen vaak de kernel, waardoor beide kwetsbaar zijn voor kernel-exploits. Onlangs werd een kritieke kwetsbaarheid in de Linux-kernel ontdekt. Aanvallers konden bestanden overschrijven op containers die alleen-lezen waren aangekoppeld. Om dergelijke incidenten voor te blijven, moet u de kernel regelmatig updaten en patchen, en docker runtime-beveiliging toepassen.

Hoe detecteert en verhelpt u runtime-risico’s in uw omgeving?

De beste manier om uw applicatiebeveiliging te waarborgen is het detecteren en verhelpen van runtime-risico’s in een containeromgeving. Hiervoor is een systematische aanpak nodig. Hieronder vindt u een stapsgewijze handleiding om deze risico’s effectief te detecteren en op te lossen.

Detectie van runtime-risico’s

Continue realtime monitoring: De eerste stap naar optimale container runtime-beveiliging is het inzetten van tools die runtime-activiteiten in realtime kunnen monitoren. Deze tools kunnen eventstreams volgen, veranderingen in resourcegebruik bijhouden en afwijkingen in containeroperaties identificeren.

Pro-tip: Stel de tools zo in dat u direct een melding krijgt bij privilege-escalatie of ongeautoriseerde systeemaanroepen. Deze waarschuwingen versnellen de mitigatie van dreigingen.

Gedragsanalyse: De volgende stap is het definiëren van een baseline voor normaal containergebruik. Zodra het systeem het normale gedragspatroon kent – zoals resourcegebruik, netwerkactiviteit, enzovoort – kan het afwijkingen detecteren. Gedragsanalyse is vooral nuttig bij geavanceerde dreigingen (zoals insider attacks).

Pro-tip: Standaard methoden op basis van signatures zijn niet altijd effectief bij het herkennen van geavanceerde en subtiele dreigingen.

Snapshot-scanning: Snapshot-scanning houdt in dat u op verschillende momenten tijdens de runtime een snapshot maakt van de container. Hiermee kunnen zwakke plekken zoals misconfiguraties of verouderde softwarecomponenten worden opgespoord die bij de initiële implementatie niet zijn ontdekt.

Pro-tip: Als uw containers regelmatig worden bijgewerkt met nieuwe libraries of afhankelijkheden, is snapshot-scanning een onmisbare stap in uw container runtime-beveiligingsroutine.

Systeemaanroep-monitoring: Containerprocessen doen vaak verzoeken aan de kernel van het hostsysteem. Deze ‘syscalls’ zorgen ervoor dat de container met het besturingssysteem kan communiceren om bijvoorbeeld bestanden te openen of geheugen te beheren. Implementeer een systeem dat deze aanroepen regelmatig monitort en verdachte aanroepen filtert.

Pro-tip: Stel filters in voor setuid of setgid-aanroepen die gebruikers- of groeps-ID’s kunnen wijzigen.

Intrusion Detection Systems (IDS): De laatste stap in het detecteren van runtime-risico’s is het inzetten van container-specifieke IDS-oplossingen om netwerkverkeer, bestandsintegriteit en procesactiviteiten binnen containers te monitoren en mogelijke indringers te detecteren.

Pro-tip: U kunt IDS zo configureren dat ongeautoriseerde toegang, pogingen tot data-exfiltratie of verdachte communicatie tussen containers wordt gedetecteerd.

Verhelpen van runtime-risico’s

Nadat u runtime-risico’s heeft gedetecteerd, is het tijd om op deze dreigingen te reageren en de impact op uw bedrijfsvoering te minimaliseren. Hieronder enkele manieren om herstel te organiseren:

Geautomatiseerde incidentrespons: Automatiseer de respons zodra een dreiging wordt gedetecteerd om schade te beperken. Dit omvat het isoleren of beëindigen van gecompromitteerde containers of het terugzetten naar eerdere versies. Als een container is gecompromitteerd, kan het systeem automatisch terugvallen op een back-up image of een update van een veilige versie uitvoeren.
Configuratiebeheer: Onbeheerde configuraties kunnen leiden tot drift. Voorkom dit door configuraties regelmatig te controleren en bij te werken. Zo voorkomt u dat containers draaien met te veel rechten, onnodige netwerktoegang of verkeerd ingestelde opslagvolumes.
Toegangsbeheer: Implementeer streng toegangsbeheer met behulp van role-based access control (RBAC). Definieer duidelijke rollen voor gebruikers en processen, met nauwkeurige rechten die bepalen wat zij binnen de containeromgeving mogen doen. Door toegang tot kritieke componenten te beperken, verkleint u het risico dat een aanvaller controle krijgt over gevoelige resources bij een incident.
Integratie met beveiligingsoplossingen: Zorg ervoor dat uw runtime-beveiligingstools naadloos integreren met andere beveiligingsoplossingen binnen uw technologie-stack. Koppel containerbeveiligingstools aan SIEM (Security Information and Event Management)-systemen of uw cloudbeveiligingsplatform om meldingen te correleren, bredere aanvalspatronen te herkennen en volledige zichtbaarheid over uw infrastructuur te behouden.
Continue kwetsbaarheidsscans: Voer container runtime-scans regelmatig uit op bekende kwetsbaarheden en malware tijdens runtime. Gebruik tools die containers automatisch scannen op bekende CVE’s (Common Vulnerabilities and Exposures) en verouderde of kwetsbare componenten signaleren.

Best practices voor container runtime-beveiliging

Container runtime-beveiliging is essentieel voor het waarborgen van de integriteit en vertrouwelijkheid van containerapplicaties. U kunt de beveiliging versterken door de volgende best practices toe te passen:

#1 Gebruik minimale base images

Kleinere images betekenen een kleiner aanvalsoppervlak; dreigingsactoren laten deze vaak links liggen. Door hun beperkte omvang bevatten ze alleen essentiële componenten, wat het beheer vereenvoudigt en het aantal potentiële toegangspunten voor aanvallers verkleint.

#2 Regelmatig updaten en patchen

Net als andere software moeten containers regelmatig worden bijgewerkt met nieuwe patches om kwetsbaarheden te verhelpen. De Heartbleed-aanval vond plaats omdat een Docker-image een verouderde versie van OpenSSL bevatte. Integreer regelmatige kwetsbaarheidsscans in uw CI/CD-pijplijn om problemen snel te identificeren en op te lossen.

#3 Implementeer het least privilege-principe

Aanvallers zoeken altijd naar toegang via beschikbare privileges. Door containers niet met rootrechten te laten draaien, maar met minimale rechten, voorkomt u eenvoudig beveiligingsrisico’s.

#4 Gebruik beveiligingsmodules

Voor extra beveiligingslagen kiest u beveiligingsmodules zoals Seccomp en AppArmor, die systeemaanroepen van containers kunnen beperken. Deze modules beperken kernel-interacties en blokkeren ongeautoriseerde systeemaanroepen, waardoor container escape wordt voorkomen. Ze kunnen ook strengere beveiligingsmaatregelen afdwingen, zodat containers binnen vastgestelde parameters blijven werken en geen ongeautoriseerde acties kunnen uitvoeren.

#5 Schakel SELinux in

Security-enhanced Linux (SELinux) is een betrouwbaar beveiligingsmechanisme dat verplichte toegangscontroles (MAC) afdwingt op containerprocessen. Met SELinux kunt u voorkomen dat een gecompromitteerde container toegang krijgt tot gevoelige resources (configuratiebestanden, systeembibliotheken) op de host.

#6 Isoleer containers

Gebruik netwerkbeleid, firewalls en andere isolatietechnieken om containers van elkaar te scheiden. Deze isolatie beperkt de mogelijkheid tot laterale beweging binnen uw omgeving en verkleint het risico op verspreiding van compromitteringen tussen containers.

#7 Monitor en log activiteiten

Implementeer tools die inzicht geven in container runtime-activiteiten, zoals procesuitvoering, netwerkcommunicatie en systeemaanroepen. Door deze data te loggen en te analyseren, kunt u verdacht gedrag identificeren en tijdig reageren op dreigingen.

#8 Gebruik vertrouwde registries

Het gebruik van images uit betrouwbare bronnen verkleint het risico op het binnenhalen van kwaadaardige code in uw omgeving. Controleer daarnaast of images zijn ondertekend en verifieer hun integriteit vóór implementatie om manipulatie te voorkomen.

#9 Beperk resourcegebruik

Het instellen van limieten op resources voor containers is een belangrijke strategie om denial-of-service (DoS)-aanvallen te voorkomen en eerlijke resourceverdeling te waarborgen. Door CPU-, geheugen- en opslaggebruik te beperken, voorkomt u dat één container het hostsysteem overbelast en andere applicaties verstoort.

#10 Voer regelmatige security-audits uit

Regelmatige security-audits en penetratietests moeten alle aspecten van containerbeveiliging omvatten, van imagecreatie en configuratiebeheer tot container runtime-bescherming.

SentinelOne: Complete container runtime-beveiliging

SentinelOne’s Singularity Cloud Workload Security (CWS) biedt uitgebreide bescherming voor containerworkloads, met focus op realtime beveiliging tijdens de runtime-fase. Het platform beschermt uw containers tegen diverse dreigingen met de volgende functionaliteiten:

AI-gedreven realtime dreigingsdetectie: SentinelOne’s CWS levert realtime cloud workload protection platform (CWPP)-functionaliteit die containeromgevingen beschermt tegen geavanceerde dreigingen zoals ransomware en zero-day exploits.
Autonome respons en herstel: Dankzij snelle responsmogelijkheden worden gedetecteerde dreigingen automatisch geneutraliseerd, waardoor downtime wordt geminimaliseerd en continue beschikbaarheid wordt gegarandeerd. De geautomatiseerde Storyline™-aanvalvisualisatie koppelt aan de MITRE ATT&CK TTP en vereenvoudigt forensische artefactverzameling op schaal.
Uitgebreide zichtbaarheid en forensisch onderzoek: Door integratie met de Singularity data lake biedt SentinelOne gedetailleerde forensische geschiedenis en workload-telemetrie, zodat securityteams incidenten grondig kunnen onderzoeken. De Workload Flight Data Recorder™ legt alle relevante data vast voor volledige zichtbaarheid.
Brede platformondersteuning en schaalbaarheid: SentinelOne ondersteunt 14 grote Linux-distributies, meerdere container runtimes (Docker, containers, cri-o) en zowel beheerde als zelfbeheerde Kubernetes-diensten van toonaangevende cloudproviders zoals Amazon Web Services (AWS), Microsoft Azure en Google Cloud. Het integreert ook met Snyk en combineert een agentloze CNAPP met een uniek offensief engine.
eBPF-architectuur voor stabiliteit en prestaties: Het gebruik van extended Berkeley packet filter (eBPF)-architectuur verhoogt de stabiliteit en prestaties van het platform. Dit ontwerp voorkomt afhankelijkheid van de kernel, wat resulteert in een lage CPU- en geheugendruk.
Integratie met DevSecOps-tools: SentinelOne integreert met DevSecOps-tools voor een naadloze ervaring en continue beveiligingsmonitoring gedurende de gehele ontwikkelcyclus.

AI-gestuurde cloud workload-bescherming (CWPP) voor servers, VM's en containers, die runtime-bedreigingen in realtime detecteert en stopt.

Veelgestelde vragen

Beveiliging van container-runtime houdt in dat containers worden beschermd terwijl ze actief draaien. De focus ligt op het detecteren en mitigeren van dreigingen zoals ongeautoriseerde toegang, malware en kwetsbaarheden tijdens de uitvoeringsfase van de container.

Container-runtime-beveiliging is doorgaans de verantwoordelijkheid van de DevOps- en beveiligingsteams binnen een organisatie. Zij zorgen ervoor dat beveiligingsbeleid, monitoring en responsmaatregelen aanwezig zijn om draaiende containers te beschermen.

Een van de beste tools die u kunt gebruiken voor containerbeveiliging is SentinelOne. Het biedt functies zoals realtime dreigingsdetectie, beleidsafdwinging en geautomatiseerde incidentrespons, waarmee uitgebreide beveiliging wordt geboden voor uw.

Een container-runtime verwijst naar de software die de levenscyclus van de container beheert, van aanmaken, starten en stoppen tot het verwijderen ervan.

Er zijn verschillende praktijken die helpen bij het beheren van containerbeveiliging, zoals regelmatige kwetsbaarheidsscans, het toepassen van het least privilege-principe en het monitoren van runtime-activiteiten. U moet ook andere beveiligingstools gebruiken voor continue bescherming.