4 outils de sécurité pour containers : Twistlock, Sysdig, Atomicorp et Aqua

Les conteneurs du genre Docker ne servent pas seulement à déployer des applications plus rapidement ou avec plus de flexibilité. Ils peuvent également contribuer à mieux sécuriser les logiciels. L'analyse automatique des composants logiciels installés dans les conteneurs, l’analyse comportementale appliquée aux clusters de conteneurs et aux versions applicatives multiples, ou encore le suivi et la gestion des vulnérabilités qui font l’objet de développements innovants, ne sont que quelques exemples du rôle que peuvent jouer les conteneurs dans le renforcement de la sécurité dans tout le cycle de vie de l’application. Cependant, bon nombre de ces fonctionnalités ne sont pas disponibles en mode « prêt à l’emploi ». Les produits conteneurs comportent rarement plus que l’essentiel, laissant à l’administrateur le soin d’ajouter lui-même des fonctions de monitoring ou de surveillance plus avancées. Quatre produits et services récemment mis à jour permettent de renforcer la sécurité des conteneurs, dans le cloud comme dans le datacenter de l’entreprise.

Twistlock Container Security Platform

La plateforme de Twistlock permet de renforcer les contrôles de sécurité des conteneurs pour des scénarios qui ne sont pas couverts par les produits « standard » comme Docker Enterprise. Par exemple, Twistlock 2.0 ajoute des contrôles de conformité des règles HIPAA (Health Insurance Portability and Accountability Act) et PCI DSS (Payment Card Industry Data Security Standard) sur les conteneurs, et Twistlock 2.1 inclus des alertes de conformité pour des outils d’intégration continue comme Jenkins. Dans la dernière version 2.2, Twistlock prend en charge le CIS Benchmark de Kubernetes lequel permet de vérifier si le déploiement géré par Kubernetes répond à une série de critères communs de sécurisation de Kubernetes. Twistlock tourne également sur les clusters gérés par Swarm, mais la vérification CIS n’est disponible que pour Kubernetes.

Twistlock 2.2 inclut aussi un « pare-feu applicatif cloud natif » qui permet de protéger les applications conteneurisées en pointant sur n'importe quelle application orchestrée. Le pare-feu analyse le trafic réseau entre les conteneurs et établit automatiquement les règles nécessaires en fonction des comportements des conteneurs, évitant ainsi aux administrateurs de créer ces règles manuellement. Twistlock 2.2 défend également les hôtes contre les attaques de runtime et protège les conteneurs en construisant des heuristiques sur les comportements système légitimes et illégitimes. Grâce à un « explorateur d'incidents », les administrateurs peuvent voir, dans un seul rapport, tous les changements ayant affecté un système pendant un incident de sécurité. Twistlock Container Security Platform n'est disponible qu’en édition entreprise payante, mais l’éditeur offre un essai gratuit de son produit pendant une période de 30 jours.

Sysdig Secure

Sysdig Secure apporte différents outils de contrôle pour évaluer la sécurité des environnements runtime des conteneurs et en faire une analyse extrêmement précise. Il fonctionne de pair avec les autres outils d'instrumentation de Sysdig (que nous avons rencontré en décembre 2016 à SF), Sysdig Monitor notamment. Sysdig Secure peut définir et appliquer des politiques par application, par conteneur, par hôte ou par activité réseau. Tous les événements peuvent être visualisés par hôte/conteneur ou via l'orchestrateur (généralement Kubernetes). Il permet non seulement de journaliser et d’examiner la totalité de l'historique des commandes effectuées au niveau de chaque conteneur, mais aussi d’enregistrer et de visionner l'analyse légale effectuée sur le cluster. La fonction est équivalente à l’« explorateur d’incident » de Twistlock. Sysdig Secure est uniquement disponible en mode payant, en versions cloud et sur site.

Atomicorp Secure Docker Kernels

Secure Docker Kernel d'Atomicorp est un noyau Linux alternatif pour Ubuntu et CentOS, qui utilise un certain nombre de tactiques de renforcement pour contrer des attaques potentielles. La plupart des protections, comme les autorisations renforcées sur les accès mémoire, sont directement issues de la gamme de produits standard de noyaux sécurisés d'Atomicorp. D'autres, comme la protection contre les intrusions de conteneurs, sont des fonctions spécifiques de Secure Docker Kernels. Il est possible d’acheter Atomic Secured Docker Kernel directement auprès d’Atomicorp. Des versions pour CentOS sur AWS et pour CentOS ou Ubuntu sur Azure sont également disponibles. Une version OpenShift est en cours de préparation.

Aqua Container Security Platform

Aqua Container Security Platform assure la conformité et la sécurité d'exécution des conteneurs Windows et Linux. La plateforme permet aux administrateurs d'appliquer des politiques de sécurité et de définir des profils de risque pour les applications. Ils peuvent également associer ces profils à différents pipelines d'applications. La numérisation d'image peut être intégrée avec les outils d'intégration continue et de livraison continue (CI/CD). Aqua Container Security Platform permet également d'utiliser des contextes d'application pour segmenter les réseaux au moment de l'exécution de ces applications.

Aqua Container Security Platform est compatible avec le projet Grafeas de Google. La plateforme peut, par exemple, enregistrer toute information de vulnérabilité trouvée dans une boutique d’application Grafeas, et les politiques Aqua peuvent utiliser les données de définition de Grafeas pour les incidents de sécurité et les problèmes logiciels. Aqua CSP est disponible en version cloud ou sur site. L’éditeur ne propose pas de versions open source ni de versions d'essai gratuites, mais il a publié un certain nombre de projets open source mineurs dérivés d’Aqua CSP.