Trong một bài đăng trước của loạt blog DevSecOps của chúng tôi, chúng tôi đã nói về tiềm năng của phần mềm độc hại tồn tại trong mã nguồn và xây dựng thành phần lạ cũng như cách các nhóm có thể bảo mật quy trình xây dựng phần mềm của họ bằng cách sử dụng MetaDefender cho Jenkins. Tiếp tục chủ đề bảo mật DevOps trong blog này, tôi sẽ trình bày cách sử dụng MetaDefender để Jenkins phát hiện phần mềm độc hại và lỗ hổng trong hình ảnh Docker.
Container Cơ sở hạ tầng: Mở rộng bề mặt cho Supply Chain Các cuộc tấn công
Các dịch vụ vi mô và container đã chứng kiến sự tăng trưởng vượt bậc. Nhờ tính chất nhẹ và triển khai nhanh, công nghệ container sẽ chỉ tiếp tục mở rộng trong tương lai. Tuy nhiên, các container cũng chứa phần mềm lỗi thời và dễ bị tấn công thường xuyên hơn không. Các tác nhân xấu đã tận dụng nền tảng tự động xây dựng này để tạo ra các chiến dịch tấn công chuỗi cung ứng, khiến các tổ chức mục tiêu và các bên liên quan của họ gặp rủi ro.
Một phân tích về 4 triệu hình ảnh công khai trên Docker Hub cho thấy những rủi ro ngoài tầm nhìn trong container. Một nửa trong số những hình ảnh này (51%) chứa ít nhất một lỗ hổng nghiêm trọng và 13% có lỗ hổng nghiêm trọng cao. Hơn 6.400 hình ảnh được coi là độc hại vì chúng chứa các công cụ khai thác tiền điện tử, các gói Trình quản lý gói nút (NPM) độc hại, công cụ hack và phần mềm độc hại.
Trong một sự kiện khác, những kẻ tấn công đã sử dụng hình ảnh Docker để khai thác mật mã. Năm hình ảnh độc hại đã bị kéo hơn 120.000 lần vào năm 2021. Chiến dịch liên quan đến typosquatting - một kỹ thuật xáo trộn sử dụng các tiêu đề sai chính tả hoặc gây hiểu lầm như "openjdk" và "golang" thay cho hình ảnh "OpenJDK" và "Golang" chính thức trong Docker Hub. Mục đích là để nuốt chửng nạn nhân kích hoạt xmrig nhị phân – một công cụ khai thác tiền điện tử Monero có thể bị lạm dụng để chiếm đoạt tài nguyên của các tổ chức.
Docker là một trong những nền tảng container hóa phổ biến nhất được 7 triệu người dùng áp dụng, với 7 triệu kho lưu trữ và 242 tỷ lượt kéo được tạo vào năm 2020. Đã đến lúc các tổ chức nghiêm túc xem xét việc bảo vệ cơ sở hạ tầng container là một trong những phương pháp hay nhất về an ninh mạng của họ.
Khắc phục rủi ro trong Docker Images
Cách tiếp cận tốt nhất để tránh vô tình kéo hình ảnh bất hợp pháp là áp dụng mô hình bảo mật zero-trust. Tất cả các tệp phải được giả định là rủi ro tiềm ẩn và được quét kỹ lưỡng để phát hiện các mối đe dọa ngay từ đầu.
Một cách để làm như vậy là thông qua một công cụ quét lỗ hổng như Docker Scan gốc hoặc một giải pháp thay thế tương tự. Nhưng nếu bạn không có sẵn các giải pháp như vậy, bạn có thể lưu hình ảnh Docker của mình dưới dạng tệp lưu trữ, sau đó gửi nó đến dịch vụ phân tích.
Một phương pháp dễ dàng khác là quét hình ảnh Docker của bạn bằng MetaDefender cho plugin Jenkins.
Phát hiện phần mềm độc hại và lỗ hổng với MetaDefender cho Jenkins
Bước đầu tiên, tôi đã tạo cấu hình quét bản dựng với bước xây dựng dòng lệnh như bên dưới. Bản dựng sẽ kiểm tra hình ảnh Docker và lưu nó dưới dạng tệp TAR. Để minh họa, tôi đã sử dụng hình ảnh Docker có chứa tệp EICAR.
Tiếp theo, tôi đã thêm một bước xây dựng để quét hình ảnh đã lưu với MetaDefender Core, sau đó tôi bắt đầu xây dựng.
Ngay sau khi bản dựng hoàn tất, MetaDefender phát hiện phần mềm độc hại trong hình ảnh Docker.
Tôi đã nhấp vào URL để xem kết quả chi tiết trong MetaDefender Core.
Xem video này để biết trình diễn đầy đủ:
Về OPSWAT MetaDefender cho Jenkins
OPSWAT MetaDefender cho Jenkins giúp các tổ chức bảo mật Vòng đời phát triển Software (SDLC) của họ . Plugin kiểm tra bản dựng của bạn để tìm phần mềm độc hại và bí mật trước khi phát hành ứng dụng cho công chúng để ngăn chặn các cuộc tấn công vào chuỗi cung ứng phần mềm. MetaDefender vì Jenkins được cung cấp năng lực đầy đủ của MetaDefender nền tảng — bao gồm Metascan , Deep CDR , Công nghệ ngăn ngừa thất thoát dữ liệu chủ động và Vulnerability Assessment — để quét tất cả mã nguồn, hiện vật và các phụ thuộc để tìm mối đe dọa và lỗ hổng. Tìm hiểu thêm về MetaDefender cho Jenkins và các công cụ miễn phí OPSWAT khác.
Để biết thêm thông tin, vui lòng liên hệ với các chuyên gia an ninh mạng của chúng tôi.
