Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Härtung von Windows-Container-Images

Härten Sie Ihre Windows-Container-Images? Im Laufe der Jahre habe ich mit Kunden auf der ganzen Welt zusammengearbeitet, um ihnen bei der Migration älterer Workloads auf Container zu helfen, insbesondere Windows-Workloads. Mit mehr als 20 Jahren Erfahrung habe ich gesehen, wie Unternehmen erhebliche Anstrengungen und Ressourcen in die Absicherung ihrer Windows-Server gesteckt haben und alles von CIS-Benchmarks bis hin zu Runtime-Virenschutz implementiert haben, um sensible Daten zu schützen.

Es zeichnet sich jedoch ein besorgniserregender Trend ab. Da diese hochsicheren virtuellen Maschinen zu Containern modernisiert werden, werden viele wichtige Verfahren zur Absicherung übersehen. Bewährte Sicherheitspraktiken von Windows, vom Basisimage (OS) bis hin zu Webdiensten wie IIS, werden oft vernachlässigt, wobei der Schwerpunkt hauptsächlich auf der Sicherung des Container-Hosts liegt. Es ist wichtig zu wissen, dass Container zwar in isolierten Namespaces arbeiten, aber dennoch Kernel-Primitive mit dem Host gemeinsam nutzen. Angreifer sind in der Regel eher an seitlicher Bewegung interessiert, als direkt auf den Container-Host abzuzielen. Dadurch können sie schwache Sicherheitseinstellungen des Containers ausnutzen und auf sensible Daten zugreifen.

Das Ziel der Dokumentationen ist es, einige wichtige Sicherheitseinstellungen hervorzuheben, die Sie speziell für Windows-Container implementieren sollten, die ASP.NET Websites auf IIS hosten. Wir werden uns auf vier Schlüsselbereiche konzentrieren:

Zunächst untersuchen wir, warum jede dieser Sicherheitskonfigurationen für den Schutz Ihrer Windows-Container von entscheidender Bedeutung ist, und untersuchen die spezifischen Risiken, die sie mindern, und die Sicherheitsvorteile, die sie bieten. Als Nächstes sehen wir uns einen Codeausschnitt an, der zeigt, wie Sie diese Konfigurationen korrekt in Ihrem Dockerfile implementieren und so sicherstellen, dass Ihr Container vor potenziellen Bedrohungen geschützt ist. Abschließend werden wir jede Einstellung detailliert aufschlüsseln und ihre Funktion, ihre Auswirkungen auf die Containersicherheit und ihren Beitrag zum Schutz Ihrer Anwendungen umfassend erläutern. Dieser Ansatz zeigt Ihnen nicht nur, wie Sie diese Best Practices anwenden können, sondern gibt Ihnen auch einen Einblick, warum sie für die Aufrechterhaltung eines robusten Sicherheitsniveaus in containerisierten Umgebungen unerlässlich sind.

1. Konfigurieren Sie Kontorichtlinien (Passwort oder Sperrung) mithilfe der lokalen Sicherheitsrichtlinien und der Registrierung

Windows Server Core ist eine minimale Installationsoption, die als Teil des [EKS-optimierten Windows-AMI] (https://docs.aws.amazon.com/eks/latest/userguide/eks-optimized-windows-ami.html) verfügbar ist. Die Konfiguration von Kontorichtlinien (Passwort oder Sperrung) mithilfe lokaler Sicherheitsrichtlinien und der Registrierung erhöht die Systemsicherheit, indem robuste Passwort- und Sperrregeln durchgesetzt werden. Diese Richtlinien verlangen von Benutzern, sichere Passwörter mit einer definierten Mindestlänge und Komplexität zu erstellen, um vor gängigen Angriffen im Zusammenhang mit Passwörtern zu schützen.

Durch die Festlegung eines maximalen Passwortalters werden Benutzer aufgefordert, ihre Passwörter regelmäßig zu aktualisieren, wodurch die Wahrscheinlichkeit, dass Zugangsdaten kompromittiert werden, verringert wird. Sperrrichtlinien bieten eine zusätzliche Schutzebene, indem sie Konten nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche vorübergehend sperren und so Brute-Force-Angriffe verhindern. Durch die Konfiguration dieser Einstellungen über die Windows-Registrierung können Administratoren diese Sicherheitsmaßnahmen auf Systemebene durchsetzen und so für Einheitlichkeit und Compliance im gesamten Unternehmen sorgen. Die Anwendung dieser Kontorichtlinien in einem Windows-Container ist für die Aufrechterhaltung der Sicherheitskonsistenz unerlässlich, auch wenn Container oft kurzlebig sind und für isolierte Workloads vorgesehen sind:

Konsistenz der Sicherheit

Schutz vor Brute-Force-Angriffen

Multi-User Szenarien

Persistente Windows-Container

Konsistenz in Hybridumgebungen

Zusammenfassend lässt sich sagen, dass die Anwendung dieser Kontorichtlinien in Windows-Containern sicherstellt, dass Ihre Container keine Schwachstelle in Ihrer Sicherheitsstrategie darstellen. Sie schützen vor Passwortangriffen und sorgen für Konsistenz in Ihrer gesamten Umgebung.

Docker-Datei:

# Configure account policies for password complexity and lockout
RUN powershell -Command \
      "Write-Output 'Configuring Account Policies (Password/Lockout)...'; \
      NET ACCOUNTS /MINPWLEN:14 /MAXPWAGE:60 /MINPWAGE:14 /LOCKOUTTHRESHOLD:5

Erklärung:

In diesem Abschnitt werden die Kontorichtlinien für Passwort- und Sperreinstellungen über die Windows-Registrierung konfiguriert. Diese Richtlinien tragen zur Durchsetzung der Sicherheit bei, indem sie die Kennwortanforderungen und Schwellenwerte für die Kontosperrung kontrollieren.

Diese Einstellungen tragen zur Verbesserung der Passwortsicherheit bei und verhindern Brute-Force-Angriffe, indem sie strenge Passwortrichtlinien durchsetzen und Konten nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche sperren.

2. Audit-Richtlinien

Überwachungsrichtlinien sind für Windows-Container wichtig, da sie wichtige Einblicke in Sicherheitsereignisse wie Anmeldeversuche und die Nutzung von Rechten bieten. Sie helfen dabei, unbefugte Zugriffe zu erkennen, Benutzeraktivitäten zu überwachen und die Einhaltung gesetzlicher Standards sicherzustellen. Selbst wenn Container kurzlebig sind, sind Auditprotokolle für die Untersuchung von Vorfällen, die proaktive Erkennung von Bedrohungen und die Aufrechterhaltung einer konsistenten Sicherheitslage in containerisierten Umgebungen unerlässlich.

Sicherheitsüberwachung und Einhaltung von Vorschriften:

Untersuchung des Vorfalls:

Konsistenz in allen Umgebungen:

Überwachung privilegierter Operationen:

Erkennung unberechtigter Zugriffsversuche:

Dauerhafte Sicherheit auch in kurzlebigen Umgebungen:

Zentralisierte Protokollierung:

Docker-Datei:

# Configure audit policies for logging security events
RUN powershell -Command \
    "Write-Host 'Configuring Audit Policy..'; \
    Set-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa' -Name 'SCENoApplyLegacyAuditPolicy' -Value 0; \
    auditpol /set /category:"Logon/Logoff" /subcategory:"Logon" /failure:enable

# Creates STDOUT on Windows Containers (check GitHub LogMonitor:: https://github.com/microsoft/windows-container-tools/blob/main/LogMonitor/README.md)
COPY LogMonitor.exe LogMonitorConfig.json 'C:\\LogMonitor\\'
WORKDIR /LogMonitor

Erklärung:

In diesem Abschnitt werden Überwachungsrichtlinien mithilfe von Registrierungsänderungen konfiguriert. Überwachungsrichtlinien steuern, welche Sicherheitsereignisse von Windows protokolliert werden. Dies hilft bei der Überwachung und Erkennung unberechtigter Zugriffsversuche.

Diese Audit-Richtlinien sind für die Sicherheitsüberwachung und die Einhaltung von Sicherheitsvorschriften von entscheidender Bedeutung, da sie detaillierte Protokolle wichtiger Sicherheitsereignisse wie Anmeldeversuche und der Verwendung privilegierter Operationen liefern.

3. Bewährte Methoden zur IIS-Sicherheit für Windows-Container

Die Implementierung bewährter Methoden für IIS in Windows-Containern ist aus mehreren Gründen wichtig, um sicherzustellen, dass Ihre Anwendungen sicher, leistungsstark und skalierbar sind. Obwohl Container eine isolierte und schlanke Umgebung bieten, müssen sie dennoch ordnungsgemäß konfiguriert werden, um Sicherheitslücken und Betriebsprobleme zu vermeiden. Aus diesem Grund ist es wichtig, die bewährten Methoden für IIS in Windows-Containern zu befolgen:

Sicherheit

Leistung

Skalierbarkeit und Wartbarkeit

Compliance

Minimierung des Risikos in gemeinsam genutzten Umgebungen

Resilienz in kurzlebigen Umgebungen

Docker-Datei:

# Enforce HTTPS (disable HTTP) -- Only if container is target for SSL termination
RUN powershell -Command \
    "$httpBinding = Get-WebBinding -Name 'Default Web Site' -Protocol http | Where-Object { $_.bindingInformation -eq '*:80:' }; \
    if ($httpBinding) { Remove-WebBinding -Name 'Default Web Site' -Protocol http -Port 80; } \
    $httpsBinding = Get-WebBinding -Name 'Default Web Site' -Protocol https | Where-Object { $_.bindingInformation -eq '*:443:' }; \
    if (-not $httpsBinding) { New-WebBinding -Name 'Default Web Site' -Protocol https -Port 443 -IPAddress '*'; }"

# Use secure headers
RUN powershell -Command \
    "Write-Host 'Adding security headers...'; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter 'system.applicationHost/sites/siteDefaults/logFile/customFields' -name "." -value @{logFieldName='X-Forwarded-For';sourceName='X-Forwarded-For';sourceType='RequestHeader'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='Strict-Transport-Security';value='max-age=31536000; includeSubDomains'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-Content-Type-Options';value='nosniff'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-XSS-Protection';value='1; mode=block'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-Frame-Options';value='DENY'};"

# Disable IIS version disclosure
RUN powershell -Command \
    "Write-Host 'Disabling IIS version disclosure...'; \
    Import-Module WebAdministration; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/security/requestFiltering" -name "removeServerHeader" -value "true";"

# Set IIS Logging Best Practices
RUN powershell -Command \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/directoryBrowse" -name "enabled" -value "false"; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpErrors" -name "existingResponse" -value "PassThrough"; \

# Enable IIS dynamic and static compression to optimize performance
RUN powershell -Command \
    "Write-Host 'Enabling IIS compression...'; \
    Enable-WindowsOptionalFeature -Online -FeatureName IIS-HttpCompressionDynamic; \
    Import-Module WebAdministration; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/urlCompression" -name "doDynamicCompression" -value "true"; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/urlCompression" -name "doStaticCompression" -value "true"

# Ensure proper folder permissions using PowerShell's Set-Acl

RUN powershell -Command \
    "Write-Host 'Setting folder permissions for IIS...'; \
    $path = 'C:\\inetpub\\wwwroot'; \
    $acl = Get-Acl $path; \
    $iusr = New-Object System.Security.Principal.NTAccount('IIS_IUSRS'); \
    $rule = New-Object System.Security.AccessControl.FileSystemAccessRule($iusr, 'ReadAndExecute', 'ContainerInherit, ObjectInherit', 'None', 'Allow'); \
    $acl.SetAccessRule($rule); \
    $users = New-Object System.Security.Principal.NTAccount('Users'); \
    $rule2 = New-Object System.Security.AccessControl.FileSystemAccessRule($users, 'ReadAndExecute', 'ContainerInherit, ObjectInherit', 'None', 'Allow'); \
    $acl.SetAccessRule($rule2); \
    Set-Acl -Path $path -AclObject $acl"

Erklärung:

Mit diesem Befehl wird IIS so konfiguriert, dass der X-Forwarded-For Header protokolliert wird. Dieser wird üblicherweise zur Erfassung der ursprünglichen Client-IP-Adresse verwendet, wenn eine Anforderung einen Proxy oder Load Balancer durchläuft. Standardmäßig protokolliert IIS nur die IP-Adresse des Load Balancers oder Reverse-Proxys. Wenn Sie also dieses benutzerdefinierte Protokollfeld hinzufügen, können Sie die wahre Client-IP für Sicherheitsüberprüfungen, Analysen und Problembehebungen nachverfolgen.

Das Befolgen der bewährten IIS-Methoden in Windows-Containern stellt sicher, dass Ihre containerisierten Anwendungen sicher, leistungsstark und skalierbar sind. Diese Methoden helfen dabei, Sicherheitslücken zu vermeiden, die Ressourcennutzung zu optimieren, die Einhaltung von Vorschriften sicherzustellen und die Konsistenz aller Container-Instances aufrechtzuerhalten. Obwohl Container so konzipiert sind, dass sie isoliert sind, ist eine korrekte Konfiguration erforderlich, um Risiken zu minimieren und die Zuverlässigkeit Ihrer Anwendung in Produktionsumgebungen sicherzustellen.

4. Prinzip der geringsten Rechte

Das Prinzip der geringsten Rechte (PoLP) ist für Windows-Container aus mehreren wichtigen Gründen von entscheidender Bedeutung, insbesondere zur Erhöhung der Sicherheit und zur Minimierung von Risiken in containerisierten Umgebungen. Dieses Prinzip schreibt vor, dass ein System oder eine Anwendung mit dem Mindestmaß an Berechtigungen betrieben werden sollte, das für einen ordnungsgemäßen Betrieb erforderlich ist. Deshalb ist es in Windows-Containern wichtig:

Minimierung der Angriffsfläche

Begrenzung der Auswirkungen kompromittierter Container

Schutz in Umgebungen mit mehreren Mandanten

Eindämmung der Rechteeskalation

Einhaltung von Vorschriften und Prüfung

Verringerung des Risikos einer Fehlkonfiguration

Verbesserter Sicherheitsstatus für Container

Docker-Datei:

# Strongly recommended that when deploying a Windows server container to any multi-tenant environment that your application runs via the ContainerUser account
USER ContainerUser

Erklärung:

In diesem Abschnitt gibt der ContainerUser Befehl USER an, dass die Anwendung im Windows-Container unter dem ContainerUser Konto und nicht unter dem Standard-Administratorkonto ausgeführt werden soll.

Aus den folgenden Gründen ist dies wichtig, insbesondere in einer Umgebung mit mehreren Mandanten:

Der ContainerUser Befehl USER stellt sicher, dass die Anwendung mit minimalen Rechten ausgeführt wird. Dadurch wird die Sicherheit in Umgebungen mit mehreren Mandanten erhöht, indem der Schaden begrenzt wird, der entstehen könnte, wenn der Container kompromittiert wird. Dies ist eine bewährte Methode, um unbefugten Zugriff oder die Eskalation von Rechten in einer containerisierten Umgebung zu verhindern.

Das Prinzip der geringsten Rechte ist für Windows-Container unverzichtbar, da es die potenziellen Auswirkungen von Sicherheitsverletzungen begrenzt, die Angriffsfläche reduziert und den unbefugten Zugriff auf wichtige Systemkomponenten verhindert. Indem sie containerisierte Anwendungen nur mit den erforderlichen Berechtigungen ausführen, können Unternehmen die Sicherheit und Stabilität ihrer Container-Umgebungen erheblich verbessern, insbesondere in Infrastrukturen mit mehreren Mandanten und gemeinsam genutzten Infrastrukturen.

Letzte Gedanken: Warum die Absicherung Ihrer Windows-Container in der heutigen Bedrohungslandschaft eine Must-Have wichtige Rolle spielt

In der heutigen, sich schnell entwickelnden digitalen Welt, in der Bedrohungen immer raffinierter und zahlreicher werden, ist der Schutz Ihrer Windows-Container nicht nur eine Empfehlung, sondern eine absolute Notwendigkeit. Container bieten eine einfache, flexible Methode zum Verpacken und Bereitstellen von Anwendungen, sind jedoch nicht vor Sicherheitslücken gefeit. Da immer mehr Unternehmen Container einsetzen, um ihre Infrastruktur zu rationalisieren, werden sie auch zu einem potenziellen Ziel für Cyberangriffe, wenn sie nicht angemessen geschützt sind.

Das Internet ist mit verschiedenen Bedrohungen überflutet — von böswilligen Akteuren, die ungepatchte Sicherheitslücken ins Visier nehmen, bis hin zu automatisierten Bots, die nach Fehlkonfigurationen suchen. Ohne die richtigen Sicherheitsmaßnahmen können Container ausgenutzt werden, um sensible Daten preiszugeben, Zugriffsrechte auszuweiten oder als Einfallstore für Angriffe zu dienen, die Ihre gesamte Infrastruktur gefährden können. Aus diesem Grund ist die Sicherheit von Containern genauso wichtig wie der Schutz anderer Bereiche Ihrer Umgebung.

Bei der Verwendung von Windows-Containern gelten nach wie vor viele traditionelle bewährte Sicherheitsmethoden. Die Implementierung robuster Kontorichtlinien, die Absicherung von IIS-Konfigurationen, die Durchsetzung von HTTPS, die Verwendung strenger Firewallregeln und die Anwendung der geringsten Zugriffsrechte auf kritische Dateien sind wichtige Maßnahmen, die sicherstellen, dass der Container gegen Angriffe geschützt bleibt. Darüber hinaus bieten regelmäßige Prüfungen und Protokollierungen einen Überblick darüber, was im Container vor sich geht, sodass Sie verdächtige Aktivitäten erkennen können, bevor sie zu einem vollständigen Vorfall werden.

Der Schutz von Windows-Containern entspricht auch den gesetzlichen Anforderungen, die den Schutz vertraulicher Daten und die Gewährleistung der Anwendungsintegrität vorschreiben. Da Cloud-native und containerisierte Architekturen immer mehr an Bedeutung gewinnen, trägt die Gewährleistung der Sicherheit auf jeder Ebene, vom Basis-Image bis zum laufenden Container, dazu bei, Ihren Betrieb zu schützen und das Vertrauen der Kunden zu wahren.

Zusammenfassend lässt sich sagen, dass die Zunahme containerisierter Anwendungen in Verbindung mit der wachsenden Anzahl von Cyberbedrohungen die Containersicherheit zu einem unverzichtbaren Aspekt des modernen Infrastrukturmanagements macht. Durch die Einhaltung von Best Practices und die kontinuierliche Überwachung auf Sicherheitslücken können Unternehmen die Agilität und Effizienz von Windows-Containern genießen, ohne Abstriche bei der Sicherheit machen zu müssen. In dieser Umgebung mit vielen Bedrohungen ist der Schutz Ihrer Windows-Container nicht nur eine Option, sondern ein Muss.