Offcanvas

How To / 개발자 / 데이터센터 / 보안 / 애플리케이션

흔히 저지르는 컨테이너 보안 실수 6가지와 예방법

2020.05.12 Bob Violino  |  CSO


루트 권한으로 실행되는 컨테이너 내의 프로세스가 런타임에 악용되는 경우 그 컨테이너 내부의 데이터와 소프트웨어가 침해된다. 이 문제를 해결하려면 컨테이너 내부에서 실행되는 명령은 가능한 경우 권한이 없는, 루트가 아닌 사용자에 의해 실행되도록 해서 컨테이너 내의 권한 승격을 차단해야 한다.

네트워크 측면에서는 컨테이너의 데이터와 프로세스가 다른 개체에 노출되는 방식을 신중히 고려해야 한다. 맥나이트는 “이 경우에도 컨테이너 보안의 시작은 전통적인 운영체제와 네트워크 보안이다. 컨테이너와 외부 볼륨, 네트워크 및 프로세스 간의 모든 상호작용을 검토해야 한다”고 강조했다.
 

5. 이미지를 적절하게 점검하지 않는다

조직이 컨테이너를 배포할 때 흔히 간과하는 또 한 가지 요소는 컨테이너의 기반이 되는 이미지다. 맥나이트는 “다른 곳에서 개발한 이미지를 솔루션에 통합하기 전에 이미지를 적절히 점검하지 않는 것도 일반적인 실수”라고 말했다.

공개 레지스트리의 컨테이너를 배포하거나 이를 기반 이미지를 사용하려면 먼저 맬웨어와 취약점이 있는지를 검사해야 한다. 조직에서 경험이 풍부한 개발자가 이미지에 불필요하게 취약한 부분이 있는지도 철저히 점검해야 한다.

맥나이트는 “공개 레지스트리에 올라온 이미지가 안전하다고 전제하는 것은 매우 위험하며, 특히 이 이미지를 기반으로 부가적인 이미지를 빌드하는 경우에는 더욱 위험하다”고 강조했다.
 

6. 불변 이미지의 원칙을 지키지 않는다

애셔는 불변(immutable) 이미지는 변경되지 않는 이미지라면서 “도커, 쿠버네티스 및 기타 컨테이너 솔루션의 원칙이다. 신뢰할 수 없는 매체인 인터넷을 통해 시스템과 데이터를 배포할 때는 무결성을 보장할 프로세스가 필요하다”라고 말했다.

불면 이미지는 예측 가능성, 시장성, 자동 복구와 같은 여러 이점을 제공한다. 또한 보안의 핵심 목표 중 하나인 무결성도 제공한다. 애셔는 “프로덕션 컨테이너가 불변 원칙을 따르지 않으면, 애플리케이션 지원 부서가 컨테이너에 연결해서 변경 작업을 할 수 있다. 이 행동은 보안 측면에서 여러 위험을 일으킨다. 특히 컨테이너의 무결성이 훼손된다”라고 지적했다.

큰 위험 중 하나는 공격자가 컨테이너를 수정해 악성 코드를 집어넣는 것이다. 이 경우 기업은 심각한 타격을 입을 수 있는데, 컨테이너의 무결성을 모니터링하면 이 위험을 크게 낮출 수 있다.

애셔는 “배포 파이프라인을 개선하고 교정해서 프로덕션 컨테이너에 대한 변경을 차단해야 한다. 변경 내용이 승인을 거치는 품질 보증 및 테스트 환경에서 변경을 수행한 다음 새로운 불변 이미지를 배포해 기존 이미지를 대체해야 한다”고 설명했다. editor@itworld.co.kr
CIO Korea 뉴스레터 및 IT 트랜드 보고서 무료 구독하기
Sponsored
추천 테크라이브러리

회사명:한국IDG 제호: CIO Korea 주소 : 서울시 중구 세종대로 23, 4층 우)04512
등록번호 : 서울 아01641 등록발행일자 : 2011년 05월 27일

발행인 : 박형미 편집인 : 천신응 청소년보호책임자 : 한정규
사업자 등록번호 : 214-87-22467 Tel : 02-558-6950

Copyright © 2024 International Data Group. All rights reserved.