-


The Docker Bench For Security - سيناريو يكتشف لعشرات من أفضل الممارسات الشائعة حول نشر حاويات عمال الإنتاج في الإنتاج




إن Docker Bench for Security هو برنامج نصي يقوم بالتحقق من العشرات من أفضل الممارسات الشائعة حول نشر حاويات Docker في الإنتاج. جميع الاختبارات تلقائية ، وهي مستوحاة من معيار CIS Docker Community Edition Benchmark v1.1.0 . نحن نعلن عن هذا كمتابعة لمدونة " التفاهم حول الأمن وأفضل الممارسات" .
نحن نجعل ذلك متاحًا كأداة مساعدة مفتوحة المصدر ، لذا يمكن لمجتمع Docker أن يكون لديه طريقة سهلة لتقييم ذاتي لمضيفيه وحاويات عمال الشحن مقابل هذا المعيار.

Running Docker Bench for Security
نحن حزم مقاعد البدلاء عامل ميناء حاوية صغيرة لراحتك. لاحظ أنه يتم تشغيل هذه الحاوية مع الكثير من الامتيازات - مشاركة نظام الملفات الخاص بالمضيف ، ومساحات أسماء pid و network ، بسبب أجزاء من المعيار المطبق على المضيف الجاري تشغيله. لا تنسَ تعديل وحدات التخزين المشتركة وفقًا لنظام التشغيل لديك ، على سبيل المثال قد لا تستخدم systemd. 
أسهل طريقة لتشغيل مضيفيك مقابل Docker Bench for Security هي تشغيل الحاوية سابقة التركيب:
docker run -it --net host --pid host --userns host --cap-add audit_control \
     -e DOCKER_CONTENT_TRUST=$DOCKER_CONTENT_TRUST \
     -v /var/lib:/var/lib \
     -v /var/run/docker.sock:/var/run/docker.sock \
     -v /usr/lib/systemd:/usr/lib/systemd \
     -v /etc:/etc --label docker_bench_security \
     docker/docker-bench-security
يتطلب مقعد Docker Docker 1.13.0 أو ما بعده لكي يعمل. 
لاحظ أنه عندما لا يحتوي التوزيعات auditctl، و مراجعة الاختبارات سوف تحقق /etc/audit/audit.rulesلمعرفة ما اذا كان الحكم موجودا بدلا من ذلك. 
يتوفر Dockerfiles محددة التوزيع التي تعمل على إصلاح هذه المشكلة في الدليل distros . 
و Dockerfiles محددة التوزيع قد يساعد أيضا إذا كان التوزيع الذي تستخدمه لم يتم شحنها بعد عامل الميناء النسخة 1.13.0 أو في وقت لاحق. 

عامل الميناء عامل للحصول على خيارات الأمان
  -b           optional  Do not print colors
   -h           optional  Print this help message
   -l FILE      optional  Log output in FILE
   -c CHECK     optional  Comma delimited list of specific check(s)
   -e CHECK     optional  Comma delimited list of specific check(s) to exclude
   -i INCLUDE   optional  Comma delimited list of patterns within a container name to check
   -x EXCLUDE   optional  Comma delimited list of patterns within a container name to exclude from check
بشكل افتراضي ، سيقوم برنامج Docker Bench for Security بتشغيل جميع اختبارات CIS المتوفرة وإنشاء سجلات في الدليل الحالي المسمى docker-bench-security.sh.log.jsonو docker-bench-security.sh.log. يتم تسمية الشيكات القائمة على CIS check_
_
، على سبيل المثال check_2_6ويتم تسمية الشيكات المساهمة المجتمعية check_c_. قائمة كاملة من الشيكات موجودة في functions_lib.sh . 
sh docker-bench-security.sh -l /tmp/docker-bench-security.sh.log -c check_2_2سيتم تشغيل الاختيار فقط 2.2 Ensure the logging level is set to 'info'. 
sh docker-bench-security.sh -l /tmp/docker-bench-security.sh.log -e check_2_2سيدير ​​جميع الشيكات المتاحة باستثناء 2.2 Ensure the logging level is set to 'info'. 
لاحظ أنه عند تقديم الشيكات ، قدم معلومات عن سبب إجراء اختبار معقول لإضافتها ، ويرجى تضمين نوع من الوثائق الرسمية التي تتحقق من تلك المعلومات. 

بناء مقعد Docker للأمن
إذا كنت ترغب في بناء وتشغيل هذه الحاوية بنفسك ، يمكنك اتباع الخطوات التالية:
git clone https://github.com/docker/docker-bench-security.git
 cd docker-bench-security
 docker build --no-cache -t docker-bench-security .
 docker run -it --net host --pid host --cap-add audit_control \
     -e DOCKER_CONTENT_TRUST=$DOCKER_CONTENT_TRUST \
     -v /var/lib:/var/lib \
     -v /var/run/docker.sock:/var/run/docker.sock \
     -v /usr/lib/systemd:/usr/lib/systemd \
     -v /etc:/etc --label docker_bench_security \
     docker-bench-security
أو استخدام Docker يؤلف :
git clone https://github.com/docker/docker-bench-security.git
 cd docker-bench-security
 docker-compose run --rm docker-bench-security
أيضًا ، يمكن أيضًا تشغيل هذا البرنامج النصي ببساطة من مضيفك الأساسي عن طريق تشغيل:
git clone https://github.com/docker/docker-bench-security.git
 cd docker-bench-security
 sudo sh docker-bench-security.sh
تم إنشاء هذا البرنامج النصي ليكون متوافقًا مع POSIX 2004 ، لذلك يجب أن يكون محمولًا عبر أي نظام أساسي لنظام Unix.


تعليقات

إرسال تعليق

المشاركات الشائعة من هذه المدونة

-
صورة
Astra - Automated Security Testing For REST API's  is complex due to continuous changes in existing APIs and newly added APIs. Astra can be used by security engineers or developers as an integral part of their process, so they can detect and patch vulnerabilities early during development cycle. Astra can automatically detect and test login & logout (Authentication API), so it's easy for anyone to integrate this into CICD pipeline. Astra can take API collection as an input so this can also be used for testing apis in standalone mode. SQL injection Cross site scripting Information Leakage Broken Authentication and session management CSRF (including Blind CSRF) Rate limit CORS misonfiguration (including CORS bypass techniques) JWT attack Coming soon XXE CSP misconfiguration Requirement Linux or MacOS Python 2.7 mongoDB Installation $ git clone https://github.com/flipkart-incubator/Astra $ cd Astra $ sudo pip install -r require...
Plus d'infos »chaker hacker
-
صورة
Snallygaster - Tool To Scan For Secret Files On HTTP Servers Snallygaster is a tool that looks for files accessible on web servers that shouldn't be public and can pose a security risk. Typical examples include publicly accessible git repositories, backup files potentially containing passwords or database dumps. In addition it contains a few checks for other security vulnerabilities. As an introduction to these kinds of issues you may want to watch this talk: Install snallygaster is available  via pypi : pip3 install snallygaster It's a simple python 3 script, so you can just download the file "snallygaster" and execute it. Dependencies are urllib3, beautifulsoup4 and dnspython. Faq Q: I want to contribute / send a patch / a pull request! A: That's great, but please read the  CONTRIBUTIONS.md file. Q: What's that name? A:  Snallygaster  is the name of a dragon that according to some legends was seen in Maryland and other parts of the ...
Plus d'infos »chaker hacker
-
صورة
Intel Processors Now Allows Antivirus to Use Built-in GPUs for Malware Scanning         Global chip-maker Intel on Tuesday  announced  two new technologies—Threat Detection Technology (TDT) and Security Essentials—that not only offer hardware-based built-in security features across Intel processors but also improve threat detection without compromising system performance. Intel's Threat Detection Technology (TDT) offers a new set of features that leverage hardware-level telemetry to help security products detect new classes of threats and exploits. It includes two main capabilities—Accelerated Memory Scanning and Advanced Platform Telemetry. Accelerated Memory Scanning allows antivirus programs to use Intel's integrated GPU to scan and detect memory-based malware attacks while reducing the impact on performance and power consumption.  "Current scanning technologies can detect system memory-based cyber-attacks, but at...
Plus d'infos »chaker hacker