Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Härten von Windows-Container-Images

Härten Sie Ihre Windows-Container-Images? Im Laufe der Jahre habe ich mit Kunden auf der ganzen Welt zusammengearbeitet, um ihnen bei der Migration älterer Workloads auf Container zu helfen, insbesondere Windows-Workloads. Mit mehr als 20 Jahren Erfahrung habe ich gesehen, wie Unternehmen erhebliche Anstrengungen und Ressourcen darauf verwendet haben, ihre Windows-Server zu sichern und alles zu implementieren, von CIS-Benchmarks bis hin zu Runtime-Virenschutz zum Schutz sensibler Daten.

Es hat sich jedoch ein besorgniserregender Trend herausgebildet. Da diese hochsicheren virtuellen Maschinen zu Containern modernisiert werden, werden viele wichtige Sicherheitsverfahren übersehen. Bewährte Methoden zur Windows-Sicherheit, vom Basisimage (OS) bis hin zu Webdiensten wie IIS, werden häufig vernachlässigt, wobei der Schwerpunkt hauptsächlich auf der Sicherung des Container-Hosts liegt. Es ist wichtig zu wissen, dass Container zwar in isolierten Namespaces operieren, aber dennoch Kernel-Primitive mit dem Host gemeinsam haben. Angreifer sind in der Regel eher an lateralen Bewegungen interessiert, als den Container-Host direkt ins Visier zu nehmen, wodurch sie schwache Sicherheitseinstellungen des Containers ausnutzen und auf sensible Daten zugreifen können.

Ziel der Dokumentation ist es, einige wichtige Sicherheitseinstellungen hervorzuheben, die Sie speziell für Windows-Container implementieren sollten, die ASP.NET Websites auf IIS hosten. Wir werden uns auf vier Schlüsselbereiche konzentrieren:

Wir werden zunächst untersuchen, warum jede dieser Sicherheitskonfigurationen für den Schutz Ihrer Windows-Container von entscheidender Bedeutung ist, und untersuchen die spezifischen Risiken, die sie mindern, und die Sicherheitsvorteile, die sie bieten. Als Nächstes gehen wir einen Codeausschnitt durch, der zeigt, wie Sie diese Konfigurationen korrekt in Ihrem Dockerfile implementieren und so sicherstellen, dass Ihr Container vor potenziellen Bedrohungen geschützt ist. Abschließend werden wir jede Einstellung detailliert aufschlüsseln und eine umfassende Erläuterung ihrer Funktion, ihrer Auswirkungen auf die Containersicherheit und ihres Beitrags zum Schutz Ihrer Anwendungen geben. Dieser Ansatz zeigt Ihnen nicht nur, wie Sie diese Best Practices anwenden können, sondern gibt Ihnen auch Einblicke, warum sie für die Aufrechterhaltung eines robusten Sicherheitsstatus in containerisierten Umgebungen unerlässlich sind.

1. Konfigurieren Sie Kontorichtlinien (Passwort oder Sperrung) mithilfe der lokalen Sicherheitsrichtlinien und der Registrierung

Windows Server Core ist eine Minimalinstallationsoption, die als Teil des [EKS Optimized Windows AMI] (https://docs.aws.amazon.com/eks/latest/userguide/eks- optimized-windows-ami .html) verfügbar ist. Die Konfiguration von Kontorichtlinien (Passwort oder Sperrung) mithilfe von lokalen Sicherheitsrichtlinien und der Registrierung erhöht die Systemsicherheit, indem robuste Passwort- und Sperrregeln durchgesetzt werden. Diese Richtlinien verlangen von Benutzern, sichere Passwörter mit einer definierten Mindestlänge und Komplexität zu erstellen, um sie vor häufigen passwortbezogenen Angriffen zu schützen.

Durch die Festlegung eines maximalen Kennwortalters werden Benutzer aufgefordert, ihre Passwörter regelmäßig zu aktualisieren, wodurch die Wahrscheinlichkeit, dass Anmeldeinformationen kompromittiert werden, verringert wird. Sperrrichtlinien bieten eine zusätzliche Schutzebene, indem sie Konten nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche vorübergehend sperren und so Brute-Force-Angriffe verhindern. Durch die Konfiguration dieser Einstellungen über die Windows-Registrierung können Administratoren diese Sicherheitsmaßnahmen auf Systemebene durchsetzen und so für Einheitlichkeit und Compliance im gesamten Unternehmen sorgen. Die Anwendung dieser Kontorichtlinien in einem Windows-Container ist für die Aufrechterhaltung der Sicherheitskonsistenz unerlässlich, auch wenn Container oft kurzlebig sind und für isolierte Workloads vorgesehen sind:

Konsistenz der Sicherheit

Schutz vor Brute-Force-Angriffen

Szenarien mit mehreren Benutzern

Persistente Windows-Container

Konsistenz in Hybridumgebungen

Zusammenfassend lässt sich sagen, dass die Anwendung dieser Kontorichtlinien innerhalb von Windows-Containern sicherstellt, dass Ihre Container keine Schwachstelle in Ihrer Sicherheitsstrategie darstellen. Sie schützen vor Passwortangriffen und sorgen für Konsistenz in Ihrer gesamten Umgebung.

Dockerfile:

# Configure account policies for password complexity and lockout
RUN powershell -Command \
      "Write-Output 'Configuring Account Policies (Password/Lockout)...'; \
      NET ACCOUNTS /MINPWLEN:14 /MAXPWAGE:60 /MINPWAGE:14 /LOCKOUTTHRESHOLD:5

Erklärung:

In diesem Abschnitt werden Kontorichtlinien für Passwort- und Sperreinstellungen über die Windows-Registrierung konfiguriert. Diese Richtlinien tragen zur Durchsetzung der Sicherheit bei, indem sie die Kennwortanforderungen und die Schwellenwerte für die Kontosperrung kontrollieren.

Diese Einstellungen tragen dazu bei, die Passwortsicherheit zu verbessern und Brute-Force-Angriffe zu verhindern, indem strenge Passwortrichtlinien durchgesetzt und Konten nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche gesperrt werden.

2. Richtlinien für die Prüfung

Überwachungsrichtlinien sind für Windows-Container wichtig, da sie wichtige Einblicke in Sicherheitsereignisse wie Anmeldeversuche und die Nutzung von Rechten bieten und so dazu beitragen, unbefugten Zugriff zu erkennen, Benutzeraktivitäten zu überwachen und die Einhaltung gesetzlicher Standards sicherzustellen. Selbst in der kurzlebigen Natur von Containern sind Auditprotokolle für die Untersuchung von Vorfällen, die proaktive Erkennung von Bedrohungen und die Aufrechterhaltung eines konsistenten Sicherheitsstatus in containerisierten Umgebungen unerlässlich.

Sicherheitsüberwachung und Einhaltung von Vorschriften:

Untersuchung von Vorfällen:

Konsistenz in allen Umgebungen:

Verfolgung privilegierter Operationen:

Erkennung unberechtigter Zugriffsversuche:

Dauerhafte Sicherheit auch in kurzlebigen Umgebungen:

Zentralisierte Protokollierung:

Docker-Datei:

# Configure audit policies for logging security events
RUN powershell -Command \
    "Write-Host 'Configuring Audit Policy..'; \
    Set-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa' -Name 'SCENoApplyLegacyAuditPolicy' -Value 0; \
    auditpol /set /category:"Logon/Logoff" /subcategory:"Logon" /failure:enable

# Creates STDOUT on Windows Containers (check GitHub LogMonitor:: https://github.com/microsoft/windows-container-tools/blob/main/LogMonitor/README.md)
COPY LogMonitor.exe LogMonitorConfig.json 'C:\\LogMonitor\\'
WORKDIR /LogMonitor

Erklärung:

In diesem Abschnitt werden Überwachungsrichtlinien mithilfe von Registrierungsänderungen konfiguriert. Mit Überwachungsrichtlinien wird gesteuert, welche Sicherheitsereignisse von Windows protokolliert werden. Dies hilft bei der Überwachung und Erkennung unberechtigter Zugriffsversuche.

Diese Überwachungsrichtlinien sind für die Sicherheitsüberwachung und die Einhaltung der Vorschriften von entscheidender Bedeutung, da sie detaillierte Protokolle wichtiger Sicherheitsereignisse wie Anmeldeversuche und die Verwendung privilegierter Operationen enthalten.

3. Bewährte Methoden zur IIS-Sicherheit für Windows-Container

Die Implementierung von bewährten IIS-Methoden in Windows-Containern ist aus mehreren Gründen wichtig, um sicherzustellen, dass Ihre Anwendungen sicher, leistungsstark und skalierbar sind. Container bieten zwar eine isolierte und schlanke Umgebung, erfordern aber dennoch eine korrekte Konfiguration, um Sicherheitslücken und Betriebsprobleme zu vermeiden. Aus diesem Grund ist es wichtig, die bewährten Methoden für IIS in Windows-Containern zu befolgen:

Sicherheit

Leistung

Skalierbarkeit und Wartbarkeit

Compliance

Minimierung des Risikos in gemeinsam genutzten Umgebungen

Resilienz in kurzlebigen Umgebungen

Docker-Datei:

# Enforce HTTPS (disable HTTP) -- Only if container is target for SSL termination
RUN powershell -Command \
    "$httpBinding = Get-WebBinding -Name 'Default Web Site' -Protocol http | Where-Object { $_.bindingInformation -eq '*:80:' }; \
    if ($httpBinding) { Remove-WebBinding -Name 'Default Web Site' -Protocol http -Port 80; } \
    $httpsBinding = Get-WebBinding -Name 'Default Web Site' -Protocol https | Where-Object { $_.bindingInformation -eq '*:443:' }; \
    if (-not $httpsBinding) { New-WebBinding -Name 'Default Web Site' -Protocol https -Port 443 -IPAddress '*'; }"

# Use secure headers
RUN powershell -Command \
    "Write-Host 'Adding security headers...'; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter 'system.applicationHost/sites/siteDefaults/logFile/customFields' -name "." -value @{logFieldName='X-Forwarded-For';sourceName='X-Forwarded-For';sourceType='RequestHeader'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='Strict-Transport-Security';value='max-age=31536000; includeSubDomains'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-Content-Type-Options';value='nosniff'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-XSS-Protection';value='1; mode=block'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-Frame-Options';value='DENY'};"

# Disable IIS version disclosure
RUN powershell -Command \
    "Write-Host 'Disabling IIS version disclosure...'; \
    Import-Module WebAdministration; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/security/requestFiltering" -name "removeServerHeader" -value "true";"

# Set IIS Logging Best Practices
RUN powershell -Command \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/directoryBrowse" -name "enabled" -value "false"; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpErrors" -name "existingResponse" -value "PassThrough"; \

# Enable IIS dynamic and static compression to optimize performance
RUN powershell -Command \
    "Write-Host 'Enabling IIS compression...'; \
    Enable-WindowsOptionalFeature -Online -FeatureName IIS-HttpCompressionDynamic; \
    Import-Module WebAdministration; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/urlCompression" -name "doDynamicCompression" -value "true"; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/urlCompression" -name "doStaticCompression" -value "true"

# Ensure proper folder permissions using PowerShell's Set-Acl

RUN powershell -Command \
    "Write-Host 'Setting folder permissions for IIS...'; \
    $path = 'C:\\inetpub\\wwwroot'; \
    $acl = Get-Acl $path; \
    $iusr = New-Object System.Security.Principal.NTAccount('IIS_IUSRS'); \
    $rule = New-Object System.Security.AccessControl.FileSystemAccessRule($iusr, 'ReadAndExecute', 'ContainerInherit, ObjectInherit', 'None', 'Allow'); \
    $acl.SetAccessRule($rule); \
    $users = New-Object System.Security.Principal.NTAccount('Users'); \
    $rule2 = New-Object System.Security.AccessControl.FileSystemAccessRule($users, 'ReadAndExecute', 'ContainerInherit, ObjectInherit', 'None', 'Allow'); \
    $acl.SetAccessRule($rule2); \
    Set-Acl -Path $path -AclObject $acl"

Erklärung:

Mit diesem Befehl wird IIS so konfiguriert, dass der X-Forwarded-For Header protokolliert wird. Dieser wird üblicherweise verwendet, um die ursprüngliche Client-IP-Adresse zu erfassen, wenn eine Anfrage einen Proxy oder einen Load Balancer durchläuft. Standardmäßig protokolliert IIS nur die IP-Adresse des Load Balancers oder Reverse-Proxys. Wenn Sie also dieses benutzerdefinierte Protokollfeld hinzufügen, können Sie die tatsächliche Client-IP für Sicherheitsüberprüfungen, Analysen und Problembehebung ermitteln.

Die Einhaltung der bewährten IIS-Methoden in Windows-Containern stellt sicher, dass Ihre containerisierten Anwendungen sicher, leistungsstark und skalierbar sind. Diese Methoden tragen dazu bei, Sicherheitslücken zu vermeiden, die Ressourcennutzung zu optimieren, die Einhaltung von Vorschriften sicherzustellen und die Konsistenz zwischen Container-Instances aufrechtzuerhalten. Obwohl Container für den isolierten Einsatz konzipiert sind, ist eine korrekte Konfiguration erforderlich, um Risiken zu minimieren und die Zuverlässigkeit Ihrer Anwendung in Produktionsumgebungen zu gewährleisten.

4. Prinzip der geringsten Rechte

Das Prinzip der geringsten Rechte (Principle of Least Privilege, PolP) ist für Windows-Container aus mehreren wichtigen Gründen von entscheidender Bedeutung, insbesondere zur Erhöhung der Sicherheit und Minimierung von Risiken in containerisierten Umgebungen. Dieses Prinzip schreibt vor, dass ein System oder eine Anwendung mit den Mindestberechtigungen arbeiten sollte, die für ein ordnungsgemäßes Funktionieren erforderlich sind. Hier erfahren Sie, warum es in Windows-Containern wichtig ist:

Minimierung der Angriffsfläche

Begrenzung der Auswirkungen kompromittierter Container

Schutz in Umgebungen mit mehreren Mandanten

Eindämmung der Eskalation von Rechten

Einhaltung von Vorschriften und Prüfung

Verringerung des Risikos von Fehlkonfigurationen

Verbesserter Sicherheitsstatus bei Containern

Docker-Datei:

# Strongly recommended that when deploying a Windows server container to any multi-tenant environment that your application runs via the ContainerUser account
USER ContainerUser

Erklärung:

In diesem Abschnitt gibt der ContainerUser Befehl USER an, dass die Anwendung im Windows-Container unter dem ContainerUser Konto statt unter dem Standard-Administratorkonto ausgeführt werden soll.

Aus folgenden Gründen ist dies wichtig, insbesondere in einer Umgebung mit mehreren Mandanten:

Der ContainerUser Befehl USER stellt sicher, dass die Anwendung mit minimalen Rechten ausgeführt wird. Dadurch wird die Sicherheit in Umgebungen mit mehreren Mandanten erhöht, indem der Schaden begrenzt wird, der entstehen könnte, wenn der Container kompromittiert wird. Dies ist eine bewährte Methode, um unbefugten Zugriff oder die Eskalation von Rechten in einer containerisierten Umgebung zu verhindern.

Das Prinzip der geringsten Rechte ist für Windows-Container unverzichtbar, da es die potenziellen Auswirkungen von Sicherheitsverletzungen begrenzt, die Angriffsfläche reduziert und unbefugten Zugriff auf kritische Systemkomponenten verhindert. Indem Unternehmen containerisierte Anwendungen nur mit den erforderlichen Berechtigungen ausführen, können sie die Sicherheit und Stabilität ihrer Container-Umgebungen erheblich verbessern, insbesondere in Mehrmandanten- und gemeinsam genutzten Infrastrukturen.

Letzte Gedanken: Warum der Schutz Ihrer Windows-Container in der heutigen Bedrohungslandschaft ein Muss ist

In der heutigen, sich schnell entwickelnden digitalen Welt, in der Bedrohungen immer ausgefeilter und umfangreicher werden, ist der Schutz Ihrer Windows-Container nicht nur eine Empfehlung, sondern eine absolute Notwendigkeit. Container bieten eine einfache und flexible Möglichkeit, Anwendungen zu verpacken und bereitzustellen, sind jedoch nicht vor Sicherheitslücken gefeit. Da immer mehr Unternehmen Container einsetzen, um ihre Infrastruktur zu optimieren, werden sie auch zu einem potenziellen Ziel für Cyberangriffe, wenn sie nicht ausreichend geschützt sind.

Das Internet ist mit verschiedenen Bedrohungen überflutet — von böswilligen Akteuren, die ungepatchte Sicherheitslücken ins Visier nehmen, bis hin zu automatisierten Bots, die nach Fehlkonfigurationen suchen. Ohne die richtigen Sicherheitsmaßnahmen können Container ausgenutzt werden, um sensible Daten preiszugeben, Rechte zu erweitern oder als Einstiegspunkte für Angriffe zu dienen, die Ihre gesamte Infrastruktur gefährden können. Aus diesem Grund ist die Sicherheit von Containern genauso wichtig wie der Schutz aller anderen Teile Ihrer Umgebung.

Bei der Verwendung von Windows-Containern gelten weiterhin viele traditionelle bewährte Sicherheitsmethoden. Die Implementierung robuster Kontorichtlinien, die Sicherung von IIS-Konfigurationen, die Durchsetzung von HTTPS, die Verwendung strenger Firewallregeln und die Anwendung des Zugriffs mit den geringsten Rechten auf kritische Dateien sind alles wichtige Maßnahmen, die sicherstellen, dass der Container vor Angriffen geschützt bleibt. Darüber hinaus bieten regelmäßige Prüfungen und Protokollierung einen Überblick darüber, was im Container passiert, sodass Sie verdächtige Aktivitäten erkennen können, bevor sie zu einem echten Vorfall werden.

Die Sicherung von Windows-Containern entspricht auch den gesetzlichen Anforderungen, die den Schutz sensibler Daten und die Gewährleistung der Anwendungsintegrität vorschreiben. Da Cloud-native und containerisierte Architekturen immer mehr Verbreitung finden, trägt die Gewährleistung der Sicherheit auf jeder Ebene, vom Basis-Image bis zum laufenden Container, dazu bei, Ihren Betrieb zu schützen und das Vertrauen der Kunden zu wahren.

Zusammenfassend lässt sich sagen, dass die Zunahme containerisierter Anwendungen in Verbindung mit der wachsenden Zahl von Cyberbedrohungen die Containersicherheit zu einem unverzichtbaren Aspekt des modernen Infrastrukturmanagements macht. Durch die Einhaltung von Best Practices und die kontinuierliche Überwachung auf Sicherheitslücken können Unternehmen die Agilität und Effizienz von Windows-Containern nutzen, ohne Kompromisse bei der Sicherheit einzugehen. In dieser bedrohlichen Umgebung ist der Schutz Ihrer Windows-Container nicht nur eine Option, sondern ein Muss.