owasp/docker-securityGetting a handle on container security
Ceci est le Top 10 Docker de l'OWASP. C'est un travail en cours.
Ce document décrit les 10 points de sécurité les plus importants pour construire un environnement conteneurisé sécurisé. Vous pouvez l'utiliser comme une fiche de spécification si vous partez de zéro, ou bien le confier à un contractant qui le fera pour vous.
Il peut également être utilisé pour auditer ou sécuriser une installation existante, mais surtout ici, vous devriez commencer à penser à la sécurité très tôt. Le mieux est de le faire dès la phase de conception. Plus tard, il devient soit difficile de modifier certaines décisions que vous avez prises, soit elles deviennent coûteuses, en termes d'argent ou de temps.
Bien que le nom du document ressemble au Top 10 de l'OWASP, il est assez différent. Premièrement, il ne s'agit pas de risques basés sur des données collectées comme le Top 10 de l'OWASP. Deuxièmement, les 10 points ici ressemblent à des contrôles (proactifs).
Ce guide est destiné aux développeurs, auditeurs, architectes, ingénieurs système et réseau. Comme indiqué ci-dessus, vous pouvez également utiliser ce guide pour des contractants externes afin d'ajouter des exigences techniques formelles à votre contrat. Le responsable de la sécurité de l'information devrait également y trouver un intérêt pour répondre aux exigences de sécurité de base et au-delà.
Ces 10 points portent principalement (voir ci-dessous ce paragraphe) sur la sécurité du système et du réseau ainsi que sur l'architecture système et réseau. En tant que développeur, vous n'avez pas besoin d'être un expert dans ces domaines — c'est à cela que sert ce guide. Mais comme indiqué ci-dessus, le mieux est de commencer à réfléchir et à aborder ces points tôt. Ne vous contentez pas de commencer à construire.
L'un des points ne doit pas être mal compris : la gestion des correctifs n'est pas un point technique. C'est un processus de gestion. Enfin et surtout, pour la direction technique ou de la sécurité de l'information qui n'a pas été très préoccupée par la conteneurisation, ce document fournit également des informations sur les risques encourus.
La sécurité dans les environnements Docker semblait souvent être mal comprise. C'était/est une question très disputée de savoir quelles sont les menaces supposées. Donc avant de plonger dans les points du Top 10 Docker, les menaces doivent être modélisées, ce qui est fait en amont dans ce document. Cela aide non seulement à comprendre les impacts sur la sécurité, mais vous donne aussi la capacité de prioriser vos tâches.
Veuillez consulter CONTRIBUTING.md. Pour faciliter les contributions aux points ouverts, veuillez soumettre vos PRs sur les branches de développement correspondantes (D06_dev, D07_dev, ...).
Vous pouvez construire vous-même une version PDF tant que vous avez Docker et docker-compose installés.
docker-compose run --rm build
Il n'est pas fréquemment mis à jour dans ce dépôt car cela obstruerait autrement ce dépôt.
Bien que le nom de ce projet porte le mot « Docker », il peut également être utilisé avec peu d'abstraction pour d'autres solutions de confinement. Docker est actuellement le plus populaire, donc les détails approfondis se concentrent pour le moment sur Docker. Cela pourrait changer plus tard.
Si vous exécutez plus de 3 conteneurs sur un serveur, vous avez probablement une solution d'orchestration pour les gérer. Les pièges de sécurité spécifiques d'un tel outil sont actuellement hors du cadre de ce document. Cela ne signifie pas que ce guide ne concerne qu'un ou quelques conteneurs gérés manuellement — bien au contraire. Cela signifie seulement que nous examinons les conteneurs, y compris leur réseau et leurs systèmes hôtes, dans un tel environnement orchestré, et non les pièges spéciaux de par exemple Kubernetes, Swarm, Rancher ou OKD/OpenShift.
Pour être honnête, pour nous humains, le nombre 10 sonne bien et en rassemblant tout, ces 10 points ont été considérés comme les plus importants.