Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Pengerasan gambar wadah Windows

Apakah Anda mengeraskan gambar wadah Windows Anda? Selama bertahun-tahun, saya telah bekerja dengan pelanggan secara global untuk membantu mereka memigrasikan beban kerja lama ke wadah, terutama beban kerja Windows. Dengan pengalaman lebih dari 20 tahun, saya telah melihat organisasi mendedikasikan upaya dan sumber daya besar untuk memperkuat Server Windows mereka, menerapkan segala sesuatu mulai dari CIS Benchmark hingga perlindungan antivirus runtime untuk melindungi data sensitif.

Namun, tren yang mengkhawatirkan telah muncul. Karena mesin virtual yang sangat aman ini dimodernisasi ke dalam wadah, banyak praktik pengerasan kritis diabaikan. Praktik terbaik keamanan Windows, dari image dasar (OS) hingga layanan web seperti IIS, sering diabaikan, dengan sebagian besar fokus ditempatkan semata-mata pada mengamankan host kontainer. Sangat penting untuk menyadari bahwa sementara container beroperasi di ruang nama yang terisolasi, mereka masih berbagi primitif kernel dengan host. Penyerang biasanya lebih tertarik pada pergerakan lateral daripada menargetkan host kontainer secara langsung, memungkinkan mereka untuk mengeksploitasi pengaturan keamanan kontainer yang lemah dan mengakses data sensitif.

Tujuan dari dokumentasi ini adalah untuk menyoroti beberapa pengaturan keamanan penting yang harus Anda terapkan khusus untuk wadah Windows yang menghosting ASP.NET situs web di IIS. Kami akan fokus pada empat bidang utama:

Kami akan mulai dengan menyelidiki mengapa masing-masing konfigurasi keamanan ini sangat penting untuk melindungi wadah Windows Anda, memeriksa risiko spesifik yang mereka mitigasi dan manfaat keamanan yang mereka berikan. Selanjutnya, kita akan membahas cuplikan kode yang menunjukkan cara mengimplementasikan konfigurasi ini dengan benar di Dockerfile Anda, memastikan wadah Anda diperkuat terhadap potensi ancaman. Akhirnya, kami akan menguraikan setiap pengaturan secara rinci, menawarkan penjelasan komprehensif tentang fungsinya, dampaknya pada keamanan kontainer, dan bagaimana hal itu berkontribusi untuk melindungi aplikasi Anda. Pendekatan ini tidak hanya akan menunjukkan kepada Anda bagaimana menerapkan praktik terbaik ini tetapi juga memberi Anda wawasan untuk memahami mengapa praktik tersebut penting untuk mempertahankan postur keamanan yang kuat di lingkungan kontainer.

1. Konfigurasikan Kebijakan Akun (Kata Sandi atau Lockout) menggunakan Kebijakan Keamanan Lokal dan Registry

Windows Server Core adalah opsi instalasi minimal yang tersedia sebagai bagian dari [EKS Optimized Windows AMI] (https://docs.aws.amazon.com/eks/latest/userguide/eks-optimized-windows-ami.html). Mengkonfigurasi Kebijakan Akun (Kata Sandi atau Lockout) menggunakan Kebijakan Keamanan Lokal dan Registry memperkuat keamanan sistem dengan menerapkan kata sandi dan aturan penguncian yang kuat. Kebijakan ini mengharuskan pengguna untuk membuat kata sandi yang kuat dengan panjang dan kompleksitas minimum yang ditentukan, melindungi dari serangan umum terkait kata sandi.

Dengan menetapkan usia kata sandi maksimum, pengguna diminta untuk memperbarui kata sandi mereka secara teratur, mengurangi kemungkinan kredenSIAL yang dikompromikan. Kebijakan penguncian menambahkan lapisan perlindungan tambahan dengan mengunci sementara akun setelah sejumlah upaya login gagal, membantu mencegah serangan brute-force. Mengkonfigurasi pengaturan ini melalui Windows Registry memungkinkan administrator untuk menegakkan langkah-langkah keamanan ini di tingkat sistem, memastikan keseragaman dan kepatuhan di seluruh organisasi. Menerapkan Kebijakan Akun ini dalam Wadah Windows sangat penting untuk menjaga konsistensi keamanan, meskipun wadah seringkali bersifat sementara dan ditujukan untuk beban kerja yang terisolasi:

Konsistensi Keamanan

Perlindungan Terhadap Serangan Brute Force

Multi-User Skenario

Wadah Windows Persisten

Konsistensi dalam Lingkungan Hibrida

Singkatnya, menerapkan kebijakan akun ini dalam wadah Windows memastikan bahwa wadah Anda bukan titik lemah dalam strategi keamanan Anda, melindungi dari serangan kata sandi dan menegakkan konsistensi di seluruh lingkungan Anda.

File Docker:

# Configure account policies for password complexity and lockout
RUN powershell -Command \
      "Write-Output 'Configuring Account Policies (Password/Lockout)...'; \
      NET ACCOUNTS /MINPWLEN:14 /MAXPWAGE:60 /MINPWAGE:14 /LOCKOUTTHRESHOLD:5

Penjelasan:

Bagian ini mengonfigurasi kebijakan akun untuk pengaturan kata sandi dan penguncian melalui Windows Registry. Kebijakan ini membantu menegakkan keamanan dengan mengontrol persyaratan kata sandi dan ambang batas penguncian akun.

Pengaturan ini membantu meningkatkan keamanan kata sandi dan mencegah serangan brute force dengan menerapkan kebijakan kata sandi yang kuat dan mengunci akun setelah sejumlah upaya login gagal.

2. Kebijakan audit

Kebijakan Audit penting untuk Windows Container karena memberikan visibilitas penting ke dalam peristiwa keamanan, seperti upaya login dan penggunaan hak istimewa, membantu mendeteksi akses yang tidak sah, memantau aktivitas pengguna, dan memastikan kepatuhan terhadap standar peraturan. Bahkan dalam sifat kontainer yang fana, log audit sangat penting untuk penyelidikan insiden, deteksi ancaman proaktif, dan mempertahankan postur keamanan yang konsisten di seluruh lingkungan kontainer.

Pemantauan dan Kepatuhan Keamanan:

Investigasi Insiden:

Konsistensi di Seluruh Lingkungan:

Pelacakan Operasi Istimewa:

Mendeteksi Upaya Akses Tidak Sah:

Keamanan Persisten Bahkan di Lingkungan Fana:

Pencatatan Terpusat:

File Docker:

# Configure audit policies for logging security events
RUN powershell -Command \
    "Write-Host 'Configuring Audit Policy..'; \
    Set-ItemProperty -Path 'HKLM:\\SYSTEM\\CurrentControlSet\\Control\\Lsa' -Name 'SCENoApplyLegacyAuditPolicy' -Value 0; \
    auditpol /set /category:"Logon/Logoff" /subcategory:"Logon" /failure:enable

# Creates STDOUT on Windows Containers (check GitHub LogMonitor:: https://github.com/microsoft/windows-container-tools/blob/main/LogMonitor/README.md)
COPY LogMonitor.exe LogMonitorConfig.json 'C:\\LogMonitor\\'
WORKDIR /LogMonitor

Penjelasan:

Bagian ini mengonfigurasi kebijakan audit dengan menggunakan modifikasi registri. Kebijakan audit mengontrol peristiwa keamanan apa yang dicatat oleh Windows, yang membantu dalam memantau dan mendeteksi upaya akses yang tidak sah.

Kebijakan audit ini sangat penting untuk pemantauan dan kepatuhan keamanan, karena mereka menyediakan log terperinci dari peristiwa keamanan penting seperti upaya login dan penggunaan operasi istimewa.

3. Praktik terbaik Keamanan IIS untuk wadah Windows

Menerapkan praktik terbaik IIS di Windows Container penting karena beberapa alasan, memastikan bahwa aplikasi Anda aman, berkinerja tinggi, dan dapat diskalakan. Meskipun wadah menyediakan isolasi dan lingkungan yang ringan, mereka masih memerlukan konfigurasi yang tepat untuk menghindari kerentanan dan masalah operasional. Inilah mengapa mengikuti praktik terbaik untuk IIS di Windows Container sangat penting:

Keamanan

Performa

Skalabilitas dan Pemeliharaan

Kepatuhan

Meminimalkan Risiko di Lingkungan Bersama

Ketahanan dalam Lingkungan Fana

File Docker:

# Enforce HTTPS (disable HTTP) -- Only if container is target for SSL termination
RUN powershell -Command \
    "$httpBinding = Get-WebBinding -Name 'Default Web Site' -Protocol http | Where-Object { $_.bindingInformation -eq '*:80:' }; \
    if ($httpBinding) { Remove-WebBinding -Name 'Default Web Site' -Protocol http -Port 80; } \
    $httpsBinding = Get-WebBinding -Name 'Default Web Site' -Protocol https | Where-Object { $_.bindingInformation -eq '*:443:' }; \
    if (-not $httpsBinding) { New-WebBinding -Name 'Default Web Site' -Protocol https -Port 443 -IPAddress '*'; }"

# Use secure headers
RUN powershell -Command \
    "Write-Host 'Adding security headers...'; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter 'system.applicationHost/sites/siteDefaults/logFile/customFields' -name "." -value @{logFieldName='X-Forwarded-For';sourceName='X-Forwarded-For';sourceType='RequestHeader'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='Strict-Transport-Security';value='max-age=31536000; includeSubDomains'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-Content-Type-Options';value='nosniff'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-XSS-Protection';value='1; mode=block'}; \
    Add-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpProtocol/customHeaders" -name "." -value @{name='X-Frame-Options';value='DENY'};"

# Disable IIS version disclosure
RUN powershell -Command \
    "Write-Host 'Disabling IIS version disclosure...'; \
    Import-Module WebAdministration; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/security/requestFiltering" -name "removeServerHeader" -value "true";"

# Set IIS Logging Best Practices
RUN powershell -Command \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/directoryBrowse" -name "enabled" -value "false"; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/httpErrors" -name "existingResponse" -value "PassThrough"; \

# Enable IIS dynamic and static compression to optimize performance
RUN powershell -Command \
    "Write-Host 'Enabling IIS compression...'; \
    Enable-WindowsOptionalFeature -Online -FeatureName IIS-HttpCompressionDynamic; \
    Import-Module WebAdministration; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/urlCompression" -name "doDynamicCompression" -value "true"; \
    Set-WebConfigurationProperty -pspath 'MACHINE/WEBROOT/APPHOST' -filter "system.webServer/urlCompression" -name "doStaticCompression" -value "true"

# Ensure proper folder permissions using PowerShell's Set-Acl

RUN powershell -Command \
    "Write-Host 'Setting folder permissions for IIS...'; \
    $path = 'C:\\inetpub\\wwwroot'; \
    $acl = Get-Acl $path; \
    $iusr = New-Object System.Security.Principal.NTAccount('IIS_IUSRS'); \
    $rule = New-Object System.Security.AccessControl.FileSystemAccessRule($iusr, 'ReadAndExecute', 'ContainerInherit, ObjectInherit', 'None', 'Allow'); \
    $acl.SetAccessRule($rule); \
    $users = New-Object System.Security.Principal.NTAccount('Users'); \
    $rule2 = New-Object System.Security.AccessControl.FileSystemAccessRule($users, 'ReadAndExecute', 'ContainerInherit, ObjectInherit', 'None', 'Allow'); \
    $acl.SetAccessRule($rule2); \
    Set-Acl -Path $path -AclObject $acl"

Penjelasan:

Perintah ini mengonfigurasi IIS untuk mencatat X-Forwarded-For header, yang biasanya digunakan untuk menangkap alamat IP klien asli ketika permintaan melewati proxy atau load balancer. Secara default, IIS hanya mencatat alamat IP penyeimbang beban atau proxy balik, jadi menambahkan bidang log khusus ini membantu melacak IP klien yang sebenarnya untuk audit keamanan, analitik, dan pemecahan masalah.

Mengikuti praktik terbaik IIS di Windows Containers memastikan bahwa aplikasi kontainer Anda aman, berkinerja tinggi, dan dapat diskalakan. Praktik ini membantu mencegah kerentanan, mengoptimalkan penggunaan sumber daya, memastikan kepatuhan, dan menjaga konsistensi di seluruh instance kontainer. Meskipun wadah dirancang untuk diisolasi, konfigurasi yang tepat diperlukan untuk meminimalkan risiko dan memastikan keandalan aplikasi Anda di lingkungan produksi.

4. Prinsip hak istimewa terkecil

Principle of Least Privilege (PoLP) sangat penting untuk wadah Windows karena beberapa alasan penting, terutama dalam meningkatkan keamanan dan meminimalkan risiko dalam lingkungan kontainer. Prinsip ini menentukan bahwa sistem atau aplikasi harus beroperasi dengan tingkat izin minimum yang diperlukan untuk berfungsi dengan baik. Inilah mengapa penting dalam wadah Windows:

Meminimalkan Permukaan Serangan

Membatasi Dampak Kontainer yang Dikompromikan

Perlindungan di Lingkungan Multitenant

Mitigasi Eskalasi Hak Privilege

Kepatuhan dan Audit

Mengurangi Risiko Kesalahan Konfigurasi

Postur Keamanan Kontainer yang Ditingkatkan

File Docker:

# Strongly recommended that when deploying a Windows server container to any multi-tenant environment that your application runs via the ContainerUser account
USER ContainerUser

Penjelasan:

Di bagian ini, ContainerUser perintah USER menentukan bahwa aplikasi di dalam wadah Windows harus berjalan di bawah ContainerUser akun alih-alih akun Administrator default.

Inilah mengapa ini penting, terutama di lingkungan multitenant:

Per ContainerUser intah USER memastikan bahwa aplikasi berjalan dengan hak istimewa minimal, meningkatkan keamanan di lingkungan multitenant dengan membatasi kerusakan yang dapat dilakukan jika wadah dikompromikan. Ini adalah praktik terbaik untuk mencegah akses tidak sah atau eskalasi hak istimewa di lingkungan kontainer.

Prinsip hak istimewa terkecil sangat penting untuk wadah Windows karena membatasi potensi dampak pelanggaran keamanan, mengurangi permukaan serangan, dan mencegah akses tidak sah ke komponen sistem kritis. Dengan menjalankan aplikasi kontainer hanya dengan izin yang diperlukan, organisasi dapat secara signifikan meningkatkan keamanan dan stabilitas lingkungan kontainer mereka, terutama di infrastruktur multitenant dan bersama.

Pikiran Terakhir: Mengapa Mengamankan Wadah Windows Anda Ada Dalam Must-Have Lanskap Ancaman Saat Ini

Di dunia digital yang berkembang pesat saat ini, di mana ancaman menjadi lebih canggih dan berlimpah, mengamankan wadah Windows Anda bukan hanya rekomendasi, itu adalah kebutuhan mutlak. Container menyediakan cara yang ringan dan fleksibel untuk mengemas dan menyebarkan aplikasi, tetapi mereka tidak kebal terhadap kerentanan keamanan. Karena semakin banyak bisnis mengadopsi kontainer untuk merampingkan infrastruktur mereka, mereka juga menjadi target potensial untuk serangan siber jika tidak diamankan dengan benar.

Internet dibanjiri berbagai ancaman—mulai dari aktor jahat yang menargetkan kerentanan yang belum ditambal hingga pemindaian bot otomatis untuk kesalahan konfigurasi. Tanpa langkah-langkah keamanan yang tepat, kontainer dapat dieksploitasi untuk mengekspos data sensitif, meningkatkan hak istimewa, atau berfungsi sebagai titik masuk untuk serangan yang dapat membahayakan infrastruktur Anda yang lebih luas. Hal ini membuat keamanan kontainer sama pentingnya dengan mengamankan bagian lain dari lingkungan Anda.

Saat menggunakan wadah Windows, banyak praktik terbaik keamanan tradisional masih berlaku. Menerapkan kebijakan akun yang kuat, mengamankan konfigurasi IIS, menegakkan HTTPS, menggunakan aturan firewall yang ketat, dan menerapkan akses hak istimewa paling sedikit ke file penting adalah langkah-langkah utama yang memastikan wadah tetap tahan terhadap serangan. Selain itu, audit dan pencatatan rutin memberikan visibilitas ke dalam apa yang terjadi di dalam wadah, memungkinkan Anda menangkap aktivitas yang mencurigakan sebelum berubah menjadi insiden besar.

Mengamankan wadah Windows juga sejalan dengan persyaratan peraturan yang mengamanatkan melindungi data sensitif dan memastikan integritas aplikasi. Karena arsitektur cloud-native dan containerized menjadi lebih umum, memastikan keamanan di setiap lapisan, mulai dari image dasar hingga wadah yang sedang berjalan, akan membantu melindungi operasi Anda dan mempertahankan kepercayaan pelanggan.

Singkatnya, munculnya aplikasi kontainer, ditambah dengan meningkatnya jumlah ancaman cyber, menjadikan keamanan kontainer sebagai aspek manajemen infrastruktur modern yang tidak dapat dinegosiasikan. Dengan mengikuti praktik terbaik dan terus memantau kerentanan, bisnis dapat menikmati kelincahan dan efisiensi wadah Windows tanpa mengorbankan keamanan. Dalam lingkungan yang kaya ancaman ini, mengamankan wadah Windows Anda bukan hanya pilihan — ini harus dimiliki.