Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Fortalecimiento de las imágenes de contenedores de Windows

¿Estás reforzando las imágenes de los contenedores de Windows? A lo largo de los años, he trabajado con clientes de todo el mundo para ayudarlos a migrar las cargas de trabajo antiguas a los contenedores, especialmente las cargas de trabajo de Windows. Con más de 20 años de experiencia, he visto a organizaciones dedicar importantes esfuerzos y recursos a reforzar sus servidores Windows, implementando desde puntos de referencia del CIS hasta protección antivirus en tiempo de ejecución para proteger los datos confidenciales.

Sin embargo, ha surgido una tendencia preocupante. A medida que estas máquinas virtuales de alta seguridad se modernizan para convertirlas en contenedores, se pasan por alto muchas prácticas críticas de refuerzo. Las prácticas recomendadas de seguridad de Windows, desde la imagen base (SO) hasta los servicios web como IIS, con frecuencia no se tienen en cuenta, y la mayor parte de la atención se centra únicamente en proteger el host del contenedor. Es fundamental reconocer que, si bien los contenedores funcionan en espacios de nombres aislados, siguen compartiendo las primitivas del núcleo con el host. Los atacantes suelen estar más interesados en el movimiento lateral que en atacar directamente al anfitrión del contenedor, lo que les permite aprovechar la débil configuración de seguridad del contenedor y acceder a datos confidenciales.

El objetivo de la documentación es destacar algunas configuraciones de seguridad esenciales que se deben implementar específicamente para los contenedores de Windows que alojan ASP.NET sitios web en IIS. Nos centraremos en cuatro áreas clave:

Empezaremos por explicar por qué cada una de estas configuraciones de seguridad es vital para proteger los contenedores de Windows, analizando los riesgos específicos que mitigan y los beneficios de seguridad que proporcionan. A continuación, analizaremos un fragmento de código que demuestra cómo implementar estas configuraciones correctamente en su Dockerfile, garantizando así que su contenedor esté protegido contra posibles amenazas. Por último, analizaremos cada configuración en detalle y ofreceremos una explicación exhaustiva de su función, su impacto en la seguridad de los contenedores y la forma en que contribuye a proteger tus aplicaciones. Este enfoque no solo le mostrará cómo aplicar estas mejores prácticas, sino que también le brindará la información necesaria para comprender por qué son esenciales para mantener una postura de seguridad sólida en entornos contenedorizados.

1. Configure las políticas de la cuenta (contraseña o bloqueo) mediante el registro y las políticas de seguridad locales

Windows Server Core es una opción de instalación mínima que está disponible como parte de la [AMI de Windows optimizada para EKS] (https://docs.aws.amazon.com/eks/latest/userguide/eks-optimized-windows-ami.html). La configuración de las políticas de cuenta (contraseña o bloqueo) mediante las políticas de seguridad locales y el registro refuerza la seguridad del sistema al aplicar reglas sólidas de bloqueo y contraseñas. Estas políticas exigen que los usuarios creen contraseñas seguras con una longitud y complejidad mínimas definidas, a fin de protegerlas contra los ataques más comunes relacionados con las contraseñas.

Al establecer una antigüedad máxima para las contraseñas, se pide a los usuarios que las actualicen con regularidad, lo que reduce la probabilidad de que las credenciales se vean comprometidas. Las políticas de bloqueo añaden una capa adicional de protección al bloquear temporalmente las cuentas después de un número específico de intentos fallidos de inicio de sesión, lo que ayuda a prevenir los ataques de fuerza bruta. La configuración de estas opciones mediante el Registro de Windows permite a los administradores aplicar estas medidas de seguridad a nivel del sistema, lo que garantiza la uniformidad y el cumplimiento en toda la organización. La aplicación de estas políticas de cuentas en un contenedor de Windows es esencial para mantener la coherencia de la seguridad, aunque los contenedores suelen ser efímeros y están destinados a cargas de trabajo aisladas:

Coherencia de la seguridad

Protección contra los ataques de fuerza bruta

Multi-User Escenarios

Contenedores de Windows persistentes

Coherencia en entornos híbridos

En resumen, la aplicación de estas políticas de cuentas en los contenedores de Windows garantiza que los contenedores no sean un punto débil de su estrategia de seguridad, ya que protegen contra los ataques con contraseñas y garantizan la coherencia en todo el entorno.

Archivo Docker:

# Configure account policies for password complexity and lockout
RUN powershell -Command \
      "Write-Output 'Configuring Account Policies (Password/Lockout)...'; \
      NET ACCOUNTS /MINPWLEN:14 /MAXPWAGE:60 /MINPWAGE:14 /LOCKOUTTHRESHOLD:5

Explicación:

En esta sección se configuran las políticas de las cuentas para la configuración de contraseñas y bloqueos a través del Registro de Windows. Estas políticas ayudan a reforzar la seguridad al controlar los requisitos de contraseñas y los umbrales de bloqueo de las cuentas.

Estas configuraciones ayudan a mejorar la seguridad de las contraseñas y a prevenir los ataques de fuerza bruta al aplicar políticas de contraseñas sólidas y bloquear las cuentas después de un número determinado de intentos fallidos de inicio de sesión.

2. Políticas de auditoría

Las políticas de auditoría son importantes para Windows Containers porque proporcionan una visibilidad crítica de los eventos de seguridad, como los intentos de inicio de sesión y el uso de privilegios, lo que ayuda a detectar el acceso no autorizado, supervisar la actividad de los usuarios y garantizar el cumplimiento de las normas reglamentarias. Incluso si los contenedores son de naturaleza efímera, los registros de auditoría son esenciales para la investigación de incidentes, la detección proactiva de amenazas y el mantenimiento de una postura de seguridad uniforme en todos los entornos contenedorizados.

Supervisión y cumplimiento de la seguridad:

Investigación de incidentes:

Coherencia en todos los entornos:

Seguimiento de las operaciones privilegiadas:

Detección de intentos de acceso no autorizados:

Seguridad persistente incluso en entornos efímeros:

Registro centralizado:

Archivo Docker:

# Configure audit policies for logging security events
RUN powershell -Command \
    "Write-Host 'Configuring Audit Policy..'; \
    Set-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa' -Name 'SCENoApplyLegacyAuditPolicy' -Value 0; \
    auditpol /set /category:"Logon/Logoff" /subcategory:"Logon" /failure:enable

# Creates STDOUT on Windows Containers (check GitHub LogMonitor:: https://github.com/microsoft/windows-container-tools/blob/main/LogMonitor/README.md)
COPY LogMonitor.exe LogMonitorConfig.json 'C:\\LogMonitor\\'
WORKDIR /LogMonitor

Explicación:

En esta sección se configuran las políticas de auditoría mediante modificaciones del registro. Las políticas de auditoría controlan los eventos de seguridad que registra Windows, lo que ayuda a supervisar y detectar los intentos de acceso no autorizados.

Estas políticas de auditoría son fundamentales para la supervisión de la seguridad y el cumplimiento, ya que proporcionan registros detallados de los eventos de seguridad importantes, como los intentos de inicio de sesión y el uso de operaciones privilegiadas.

3. Prácticas recomendadas de seguridad de IIS para contenedores de Windows

La implementación de las prácticas recomendadas de IIS en los contenedores de Windows es importante por varios motivos, ya que garantiza que las aplicaciones sean seguras, de alto rendimiento y escalables. Si bien los contenedores proporcionan aislamiento y un entorno ligero, siguen necesitando una configuración adecuada para evitar vulnerabilidades y problemas operativos. Estos son los motivos por los que es fundamental seguir las prácticas recomendadas para IIS en los contenedores de Windows:

Seguridad

Rendimiento

Escalabilidad y capacidad de mantenimiento

Conformidad

Minimizar el riesgo en entornos compartidos

Resiliencia en entornos efímeros

Archivo Docker:

# Enforce HTTPS (disable HTTP) -- Only if container is target for SSL termination
RUN powershell -Command \
    "$httpBinding = Get-WebBinding -Name 'Default Web Site' -Protocol http | Where-Object { $_.bindingInformation -eq '*:80:' }; \
    if ($httpBinding) { Remove-WebBinding -Name 'Default Web Site' -Protocol http -Port 80; } \
    $httpsBinding = Get-WebBinding -Name 'Default Web Site' -Protocol https | Where-Object { $_.bindingInformation -eq '*:443:' }; \
    if (-not $httpsBinding) { New-WebBinding -Name 'Default Web Site' -Protocol https -Port 443 -IPAddress '*'; }"

# Use secure headers
RUN powershell -Command \
    "Write-Host 'Adding security headers...'; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter 'system.applicationHost/sites/siteDefaults/logFile/customFields' -name "." -value @{logFieldName='X-Forwarded-For';sourceName='X-Forwarded-For';sourceType='RequestHeader'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='Strict-Transport-Security';value='max-age=31536000; includeSubDomains'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-Content-Type-Options';value='nosniff'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-XSS-Protection';value='1; mode=block'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-Frame-Options';value='DENY'};"

# Disable IIS version disclosure
RUN powershell -Command \
    "Write-Host 'Disabling IIS version disclosure...'; \
    Import-Module WebAdministration; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/security/requestFiltering" -name "removeServerHeader" -value "true";"

# Set IIS Logging Best Practices
RUN powershell -Command \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/directoryBrowse" -name "enabled" -value "false"; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpErrors" -name "existingResponse" -value "PassThrough"; \

# Enable IIS dynamic and static compression to optimize performance
RUN powershell -Command \
    "Write-Host 'Enabling IIS compression...'; \
    Enable-WindowsOptionalFeature -Online -FeatureName IIS-HttpCompressionDynamic; \
    Import-Module WebAdministration; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/urlCompression" -name "doDynamicCompression" -value "true"; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/urlCompression" -name "doStaticCompression" -value "true"

# Ensure proper folder permissions using PowerShell's Set-Acl

RUN powershell -Command \
    "Write-Host 'Setting folder permissions for IIS...'; \
    $path = 'C:\\inetpub\\wwwroot'; \
    $acl = Get-Acl $path; \
    $iusr = New-Object System.Security.Principal.NTAccount('IIS_IUSRS'); \
    $rule = New-Object System.Security.AccessControl.FileSystemAccessRule($iusr, 'ReadAndExecute', 'ContainerInherit, ObjectInherit', 'None', 'Allow'); \
    $acl.SetAccessRule($rule); \
    $users = New-Object System.Security.Principal.NTAccount('Users'); \
    $rule2 = New-Object System.Security.AccessControl.FileSystemAccessRule($users, 'ReadAndExecute', 'ContainerInherit, ObjectInherit', 'None', 'Allow'); \
    $acl.SetAccessRule($rule2); \
    Set-Acl -Path $path -AclObject $acl"

Explicación:

Este comando configura IIS para que registre el X-Forwarded-For encabezado, que se suele utilizar para capturar la dirección IP original del cliente cuando una solicitud pasa por un proxy o un balanceador de cargas. De forma predeterminada, IIS solo registra la dirección IP del balanceador de cargas o del proxy inverso, por lo que agregar este campo de registro personalizado ayuda a rastrear la verdadera IP del cliente para realizar auditorías de seguridad, análisis y solucionar problemas.

Seguir las prácticas recomendadas de IIS en Windows Containers garantiza que las aplicaciones en contenedores sean seguras, de alto rendimiento y escalables. Estas prácticas ayudan a prevenir las vulnerabilidades, optimizar el uso de los recursos, garantizar el cumplimiento y mantener la coherencia en todas las instancias de contenedores. Si bien los contenedores están diseñados para estar aislados, es necesaria una configuración adecuada para minimizar los riesgos y garantizar la confiabilidad de la aplicación en los entornos de producción.

4. Principio de privilegios mínimos

El principio del mínimo privilegio (PoLP) es crucial para los contenedores de Windows por varios motivos importantes, en particular para mejorar la seguridad y minimizar los riesgos en los entornos contenerizados. Este principio establece que un sistema o aplicación debe funcionar con el nivel mínimo de permisos necesario para funcionar correctamente. Estas son las razones por las que es importante en los contenedores de Windows:

Minimizar la superficie de ataque

Limitar el impacto de los contenedores comprometidos

Protección en entornos con varios inquilinos

Mitigar la escalada de privilegios

Cumplimiento y auditoría

Reducir el riesgo de errores de configuración

Mejora de la postura de seguridad de los contenedores

Archivo Docker:

# Strongly recommended that when deploying a Windows server container to any multi-tenant environment that your application runs via the ContainerUser account
USER ContainerUser

Explicación:

En esta sección, el ContainerUser comando USER especifica que la aplicación del contenedor de Windows debe ejecutarse en la ContainerUser cuenta y no en la cuenta de administrador predeterminada.

Estas son las razones por las que esto es importante, especialmente en un entorno con varios inquilinos:

El ContainerUser comando USER garantiza que la aplicación se ejecute con privilegios mínimos, lo que mejora la seguridad en entornos con varios usuarios al limitar el daño que se podría causar si el contenedor se viera comprometido. Esta es una práctica recomendada para evitar el acceso no autorizado o la escalada de privilegios en un entorno contenedorizado.

El principio del mínimo privilegio es esencial para los contenedores de Windows porque limita el posible impacto de las brechas de seguridad, reduce la superficie de ataque y evita el acceso no autorizado a los componentes críticos del sistema. Al ejecutar aplicaciones en contenedores solo con los permisos necesarios, las organizaciones pueden mejorar significativamente la seguridad y la estabilidad de sus entornos de contenedores, especialmente en infraestructuras compartidas y con varios inquilinos.

Reflexiones finales: Por qué proteger los contenedores de Windows es una de Must-Have las amenazas actuales

En el mundo digital actual, en rápida evolución, en el que las amenazas son cada vez más sofisticadas y abundantes, proteger los contenedores de Windows no es solo una recomendación, es una necesidad absoluta. Los contenedores proporcionan una forma ligera y flexible de empaquetar e implementar aplicaciones, pero no son inmunes a las vulnerabilidades de seguridad. A medida que más empresas adoptan los contenedores para optimizar su infraestructura, también se convierten en un objetivo potencial de ciberataques si no se protegen adecuadamente.

Internet está inundado de diversas amenazas, que van desde actores malintencionados que buscan vulnerabilidades no corregidas hasta bots automatizados que buscan errores de configuración. Si no se adoptan las medidas de seguridad adecuadas, los contenedores pueden aprovecharse para exponer datos confidenciales, aumentar los privilegios o servir como puntos de entrada para ataques que pueden comprometer su infraestructura en general. Esto hace que la seguridad de los contenedores sea tan importante como proteger cualquier otra parte de su entorno.

Cuando se utilizan contenedores de Windows, se siguen aplicando muchas prácticas recomendadas de seguridad tradicionales. La implementación de políticas de cuentas sólidas, la protección de las configuraciones de IIS, la aplicación de HTTPS, el uso de reglas de firewall estrictas y la concesión de un acceso con privilegios mínimos a los archivos críticos son medidas clave para garantizar que el contenedor siga siendo resistente a los ataques. Además, las auditorías y los registros periódicos proporcionan visibilidad sobre lo que ocurre dentro del contenedor, lo que permite detectar cualquier actividad sospechosa antes de que se convierta en un incidente en toda regla.

La protección de los contenedores de Windows también se ajusta a los requisitos normativos que exigen proteger los datos confidenciales y garantizar la integridad de las aplicaciones. A medida que las arquitecturas nativas de la nube y en contenedores se vuelven más frecuentes, garantizar la seguridad en todas las capas, desde la imagen base hasta el contenedor en ejecución, ayudará a proteger sus operaciones y a mantener la confianza de los clientes.

En resumen, el auge de las aplicaciones en contenedores, junto con el creciente número de ciberamenazas, hacen que la seguridad de los contenedores sea un aspecto innegociable de la gestión de infraestructuras moderna. Al seguir las mejores prácticas y supervisar continuamente las vulnerabilidades, las empresas pueden disfrutar de la agilidad y la eficiencia de los contenedores de Windows sin comprometer la seguridad. En este entorno rico en amenazas, proteger los contenedores de Windows no es solo una opción, sino algo imprescindible.