Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Renforcement des images de conteneurs Windows

Êtes-vous en train de durcir les images de vos conteneurs Windows ? Au fil des ans, j'ai travaillé avec des clients du monde entier pour les aider à migrer les charges de travail existantes vers des conteneurs, en particulier les charges de travail Windows. Avec plus de 20 ans d'expérience, j'ai vu des organisations consacrer des efforts et des ressources considérables au renforcement de leurs serveurs Windows, en mettant en œuvre tout, des benchmarks CIS à la protection antivirus des moteurs d'exécution pour protéger les données sensibles.

Cependant, une tendance inquiétante s'est dégagée. Au fur et à mesure que ces machines virtuelles hautement sécurisées sont transformées en conteneurs, de nombreuses pratiques de renforcement critiques sont négligées. Les meilleures pratiques de sécurité Windows, de l'image de base (OS) aux services Web tels que IIS, sont souvent négligées, l'accent étant mis uniquement sur la sécurisation de l'hôte du conteneur. Il est essentiel de savoir que même si les conteneurs fonctionnent dans des espaces de noms isolés, ils partagent toujours les primitives du noyau avec l'hôte. Les attaquants sont généralement plus intéressés par les mouvements latéraux que par le ciblage direct de l'hôte du conteneur, ce qui leur permet d'exploiter les paramètres de sécurité faibles du conteneur et d'accéder à des données sensibles.

L'objectif de ces documentations est de mettre en évidence quelques paramètres de sécurité essentiels que vous devez implémenter spécifiquement pour les conteneurs Windows hébergeant des ASP.NET sites Web sur IIS. Nous nous concentrerons sur quatre domaines clés :

Nous allons commencer par expliquer pourquoi chacune de ces configurations de sécurité est vitale pour protéger vos conteneurs Windows, en examinant les risques spécifiques qu'elles atténuent et les avantages de sécurité qu'elles offrent. Ensuite, nous allons passer en revue un extrait de code qui montre comment implémenter correctement ces configurations dans votre Dockerfile, en veillant à ce que votre conteneur soit renforcé contre les menaces potentielles. Enfin, nous allons détailler chaque paramètre en détail, en proposant une explication complète de sa fonction, de son impact sur la sécurité des conteneurs et de la manière dont il contribue à la protection de vos applications. Cette approche vous montrera non seulement comment appliquer ces meilleures pratiques, mais vous permettra également de comprendre pourquoi elles sont essentielles pour maintenir une posture de sécurité robuste dans les environnements conteneurisés.

1. Configurer les politiques de compte (mot de passe ou verrouillage) à l'aide des politiques de sécurité et du registre locaux

Windows Server Core est une option d'installation minimale disponible dans le cadre de l' [AMI Windows optimisée EKS] (https://docs.aws.amazon.com/eks/latest/userguide/eks-optimized-windows-ami.html). La configuration des politiques de compte (mot de passe ou verrouillage) à l'aide des politiques de sécurité locales et du registre renforce la sécurité du système en appliquant des règles de mot de passe et de verrouillage robustes. Ces politiques obligent les utilisateurs à créer des mots de passe forts avec une longueur et une complexité minimales définies, afin de les protéger contre les attaques courantes liées aux mots de passe.

En fixant un âge maximum pour les mots de passe, les utilisateurs sont invités à mettre régulièrement à jour leurs mots de passe, ce qui réduit le risque de compromission de leurs informations d'identification. Les politiques de verrouillage ajoutent une couche de protection supplémentaire en verrouillant temporairement les comptes après un certain nombre de tentatives de connexion infructueuses, ce qui permet de prévenir les attaques par force brute. La configuration de ces paramètres via le registre Windows permet aux administrateurs d'appliquer ces mesures de sécurité au niveau du système, garantissant ainsi l'uniformité et la conformité dans l'ensemble de l'organisation. L'application de ces politiques de compte dans un conteneur Windows est essentielle pour maintenir la cohérence de la sécurité, même si les conteneurs sont souvent éphémères et destinés à des charges de travail isolées :

Cohérence de sécurité

Protection contre les attaques par force brute

Multi-User Scénarios

Conteneurs Windows persistants

Cohérence dans les environnements hybrides

En résumé, l'application de ces politiques de compte dans les conteneurs Windows garantit que vos conteneurs ne constituent pas un point faible de votre stratégie de sécurité, car ils vous protègent contre les attaques par mot de passe et garantissent la cohérence de l'ensemble de votre environnement.

Fichier Docker :

# Configure account policies for password complexity and lockout
RUN powershell -Command \
      "Write-Output 'Configuring Account Policies (Password/Lockout)...'; \
      NET ACCOUNTS /MINPWLEN:14 /MAXPWAGE:60 /MINPWAGE:14 /LOCKOUTTHRESHOLD:5

Explication :

Cette section configure les politiques de compte pour les paramètres de mot de passe et de verrouillage via le registre Windows. Ces politiques contribuent à renforcer la sécurité en contrôlant les exigences en matière de mots de passe et les seuils de verrouillage des comptes.

Ces paramètres contribuent à améliorer la sécurité des mots de passe et à prévenir les attaques par force brute en appliquant des politiques de mots de passe strictes et en verrouillant les comptes après un certain nombre de tentatives de connexion infructueuses.

2. Politiques d’audit

Les politiques d'audit sont importantes pour les conteneurs Windows car elles fournissent une visibilité critique sur les événements de sécurité, tels que les tentatives de connexion et l'utilisation des privilèges, en aidant à détecter les accès non autorisés, à surveiller l'activité des utilisateurs et à garantir la conformité aux normes réglementaires. Même dans la nature éphémère des conteneurs, les journaux d'audit sont essentiels pour les enquêtes sur les incidents, la détection proactive des menaces et le maintien d'une posture de sécurité cohérente dans les environnements conteneurisés.

Surveillance de la sécurité et conformité :

Enquête sur les incidents :

Cohérence entre les environnements :

Suivi des opérations privilégiées :

Détection des tentatives d'accès non autorisées :

Sécurité permanente, même dans les environnements éphémères :

Journalisation centralisée :

Fichier Docker :

# Configure audit policies for logging security events
RUN powershell -Command \
    "Write-Host 'Configuring Audit Policy..'; \
    Set-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa' -Name 'SCENoApplyLegacyAuditPolicy' -Value 0; \
    auditpol /set /category:"Logon/Logoff" /subcategory:"Logon" /failure:enable

# Creates STDOUT on Windows Containers (check GitHub LogMonitor:: https://github.com/microsoft/windows-container-tools/blob/main/LogMonitor/README.md)
COPY LogMonitor.exe LogMonitorConfig.json 'C:\\LogMonitor\\'
WORKDIR /LogMonitor

Explication :

Cette section configure les politiques d'audit à l'aide de modifications du registre. Les politiques d'audit contrôlent les événements de sécurité enregistrés par Windows, ce qui permet de surveiller et de détecter les tentatives d'accès non autorisées.

Ces politiques d'audit sont essentielles pour la surveillance de la sécurité et la conformité, car elles fournissent des journaux détaillés des événements de sécurité importants tels que les tentatives de connexion et l'utilisation d'opérations privilégiées.

3. Meilleures pratiques en matière de sécurité IIS pour les conteneurs Windows

La mise en œuvre des meilleures pratiques IIS dans les conteneurs Windows est importante pour plusieurs raisons, afin de garantir la sécurité, les performances et l'évolutivité de vos applications. Bien que les conteneurs fournissent une isolation et un environnement léger, ils nécessitent tout de même une configuration appropriée pour éviter les vulnérabilités et les problèmes opérationnels. Voici pourquoi il est essentiel de suivre les meilleures pratiques pour IIS dans les conteneurs Windows :

Sécurité

Performances

Évolutivité et maintenabilité

Conformité

Minimiser les risques dans les environnements partagés

Résilience dans les environnements éphémères

Fichier Docker :

# Enforce HTTPS (disable HTTP) -- Only if container is target for SSL termination
RUN powershell -Command \
    "$httpBinding = Get-WebBinding -Name 'Default Web Site' -Protocol http | Where-Object { $_.bindingInformation -eq '*:80:' }; \
    if ($httpBinding) { Remove-WebBinding -Name 'Default Web Site' -Protocol http -Port 80; } \
    $httpsBinding = Get-WebBinding -Name 'Default Web Site' -Protocol https | Where-Object { $_.bindingInformation -eq '*:443:' }; \
    if (-not $httpsBinding) { New-WebBinding -Name 'Default Web Site' -Protocol https -Port 443 -IPAddress '*'; }"

# Use secure headers
RUN powershell -Command \
    "Write-Host 'Adding security headers...'; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter 'system.applicationHost/sites/siteDefaults/logFile/customFields' -name "." -value @{logFieldName='X-Forwarded-For';sourceName='X-Forwarded-For';sourceType='RequestHeader'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='Strict-Transport-Security';value='max-age=31536000; includeSubDomains'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-Content-Type-Options';value='nosniff'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-XSS-Protection';value='1; mode=block'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-Frame-Options';value='DENY'};"

# Disable IIS version disclosure
RUN powershell -Command \
    "Write-Host 'Disabling IIS version disclosure...'; \
    Import-Module WebAdministration; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/security/requestFiltering" -name "removeServerHeader" -value "true";"

# Set IIS Logging Best Practices
RUN powershell -Command \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/directoryBrowse" -name "enabled" -value "false"; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpErrors" -name "existingResponse" -value "PassThrough"; \

# Enable IIS dynamic and static compression to optimize performance
RUN powershell -Command \
    "Write-Host 'Enabling IIS compression...'; \
    Enable-WindowsOptionalFeature -Online -FeatureName IIS-HttpCompressionDynamic; \
    Import-Module WebAdministration; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/urlCompression" -name "doDynamicCompression" -value "true"; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/urlCompression" -name "doStaticCompression" -value "true"

# Ensure proper folder permissions using PowerShell's Set-Acl

RUN powershell -Command \
    "Write-Host 'Setting folder permissions for IIS...'; \
    $path = 'C:\\inetpub\\wwwroot'; \
    $acl = Get-Acl $path; \
    $iusr = New-Object System.Security.Principal.NTAccount('IIS_IUSRS'); \
    $rule = New-Object System.Security.AccessControl.FileSystemAccessRule($iusr, 'ReadAndExecute', 'ContainerInherit, ObjectInherit', 'None', 'Allow'); \
    $acl.SetAccessRule($rule); \
    $users = New-Object System.Security.Principal.NTAccount('Users'); \
    $rule2 = New-Object System.Security.AccessControl.FileSystemAccessRule($users, 'ReadAndExecute', 'ContainerInherit, ObjectInherit', 'None', 'Allow'); \
    $acl.SetAccessRule($rule2); \
    Set-Acl -Path $path -AclObject $acl"

Explication :

Cette commande configure IIS pour enregistrer l' X-Forwarded-For en-tête, qui est couramment utilisé pour capturer l'adresse IP d'origine du client lorsqu'une demande passe par un proxy ou un équilibreur de charge. Par défaut, IIS enregistre uniquement l'adresse IP de l'équilibreur de charge ou du proxy inverse. L'ajout de ce champ de journal personnalisé permet de suivre la véritable adresse IP du client à des fins d'audit de sécurité, d'analyse et de dépannage.

Le respect des meilleures pratiques IIS dans les conteneurs Windows garantit la sécurité, la haute performance et l'évolutivité de vos applications conteneurisées. Ces pratiques permettent de prévenir les vulnérabilités, d'optimiser l'utilisation des ressources, de garantir la conformité et de maintenir la cohérence entre les instances de conteneurs. Même si les conteneurs sont conçus pour être isolés, une configuration appropriée est nécessaire pour minimiser les risques et garantir la fiabilité de votre application dans les environnements de production.

4. Principe du moindre privilège

Le principe du moindre privilège (PolP) est essentiel pour les conteneurs Windows pour plusieurs raisons importantes, notamment pour renforcer la sécurité et minimiser les risques dans les environnements conteneurisés. Selon ce principe, un système ou une application doit fonctionner avec le niveau minimum d'autorisations nécessaires pour fonctionner correctement. Voici pourquoi c'est important dans les conteneurs Windows :

Minimiser la surface d'attaque

Limiter l'impact des conteneurs compromis

Protection dans les environnements multilocataires

Atténuer l'escalade des privilèges

Conformité et audit

Réduire le risque de mauvaise configuration

Position de sécurité des conteneurs améliorée

Fichier Docker :

# Strongly recommended that when deploying a Windows server container to any multi-tenant environment that your application runs via the ContainerUser account
USER ContainerUser

Explication :

Dans cette section, la ContainerUser commande USER spécifie que l'application contenue dans le conteneur Windows doit être exécutée sous le ContainerUser compte et non sous le compte administrateur par défaut.

Voici pourquoi cela est important, en particulier dans un environnement multilocataire :

La ContainerUser commande USER garantit que l'application s'exécute avec un minimum de privilèges, renforçant ainsi la sécurité dans les environnements multilocataires en limitant les dommages qui pourraient être causés en cas de compromission du conteneur. Il s'agit d'une bonne pratique pour empêcher tout accès non autorisé ou toute augmentation de privilèges dans un environnement conteneurisé.

Le principe du moindre privilège est essentiel pour les conteneurs Windows car il limite l'impact potentiel des failles de sécurité, réduit la surface d'attaque et empêche l'accès non autorisé aux composants critiques du système. En exécutant des applications conteneurisées avec uniquement les autorisations nécessaires, les entreprises peuvent améliorer de manière significative la sécurité et la stabilité de leurs environnements de conteneurs, en particulier dans les infrastructures mutualisées et partagées.

Réflexions finales : pourquoi la sécurisation de vos conteneurs Windows fait Must-Have partie du paysage des menaces d'aujourd'hui

Dans le monde numérique en évolution rapide d'aujourd'hui, où les menaces sont de plus en plus sophistiquées et abondantes, la sécurisation de vos conteneurs Windows n'est pas qu'une recommandation, c'est une nécessité absolue. Les conteneurs constituent un moyen léger et flexible d'empaqueter et de déployer des applications, mais ils ne sont pas à l'abri des failles de sécurité. À mesure que de plus en plus d'entreprises adoptent des conteneurs pour rationaliser leur infrastructure, ceux-ci deviennent également une cible potentielle de cyberattaques s'ils ne sont pas correctement sécurisés.

Internet est inondé de menaces diverses, qu'il s'agisse d'acteurs malveillants ciblant des vulnérabilités non corrigées ou de robots automatisés recherchant des erreurs de configuration. Si les mesures de sécurité appropriées ne sont pas mises en place, les conteneurs peuvent être exploités pour exposer des données sensibles, augmenter les privilèges ou servir de points d'entrée à des attaques susceptibles de compromettre l'ensemble de votre infrastructure. La sécurité des conteneurs est donc aussi essentielle que la sécurisation de toute autre partie de votre environnement.

Lors de l'utilisation de conteneurs Windows, de nombreuses bonnes pratiques de sécurité traditionnelles s'appliquent toujours. La mise en œuvre de politiques de comptes robustes, la sécurisation des configurations IIS, l'application du protocole HTTPS, l'utilisation de règles de pare-feu strictes et l'application du moindre privilège aux fichiers critiques sont autant de mesures clés qui garantissent la résilience du conteneur contre les attaques. En outre, un audit et une journalisation réguliers fournissent une visibilité sur ce qui se passe à l'intérieur du conteneur, ce qui vous permet de détecter les activités suspectes avant qu'elles ne se transforment en incident à part entière.

La sécurisation des conteneurs Windows est également conforme aux exigences réglementaires qui obligent à protéger les données sensibles et à garantir l'intégrité des applications. Les architectures cloud natives et conteneurisées devenant de plus en plus répandues, garantir la sécurité à chaque niveau, de l'image de base au conteneur en cours d'exécution, contribuera à protéger vos opérations et à conserver la confiance des clients.

En résumé, l'essor des applications conteneurisées, associé au nombre croissant de cybermenaces, fait de la sécurité des conteneurs un aspect non négociable de la gestion moderne des infrastructures. En adhérant aux meilleures pratiques et en surveillant en permanence les vulnérabilités, les entreprises peuvent profiter de l'agilité et de l'efficacité des conteneurs Windows sans compromettre la sécurité. Dans cet environnement riche en menaces, la sécurisation de vos conteneurs Windows n'est pas seulement une option, c'est une nécessité.