SELinuxでコンテナを保護する

問題を理解するための最良の方法の1つは、それを体験することです。そこで、セキュリティが適切に設定されていない場合に、悪意のあるコードをDockerホストに挿入するのがいかに簡単かを説明します。

Dockerホストで何か悪いことをするために、悪意のある非rootユーザー（mcalizo このチュートリアルでは）Dockerコンテナをインスタンス化できるグループの一部である必要があります。

まず、mcalizoのグループを確認します ユーザーが属する：

[root@Rhel82 ~]# groups mcalizo

mcalizo : mcalizo

出力は、mcalizoであることを示しています 自分のグループにのみ属します。これは、mcalizoを意味します Dockerコンテナーをインスタンス化できず、試行するとこのエラーが発生します：

[mcalizo@Rhel82 ~]$ docker run -it --rm centos:latest /bin/sh

docker: Got permission denied while trying to connect to the Docker daemon socket at unix:///var/run/docker.sock: Post http://%2Fvar%2Frun%2Fdocker.sock/v1.40/containers/create: dial unix /var/run/docker.sock: connect: permission denied.

See 'docker run --help'.

mcalizoを許可するには コンテナをインスタンス化するには、ユーザーをdockerに追加します グループ：

[root@Rhel82 ~]# usermod -G docker -a mcalizo

[root@Rhel82 ~]# groups mcalizo

mcalizo : mcalizo docker

次に、fedora:latestをデプロイします コンテナを作成し、インスタンス化されたコンテナにログインして探索します：

[mcalizo@Rhel82 ~]$ docker run -it --rm fedora:latest /bin/sh

Unable to find image 'fedora:latest' locally

latest: Pulling from library/fedora

ee7e89337106: Pull complete 

Digest: sha256:b9ec86d36fca7b1d3de39cd7c258e8d90c377d312c21a7748071ce49069b8db4

Status: Downloaded newer image for fedora:latest

sh-5.0# cat /etc/redhat-release

Fedora release 33 (Thirty Three)

新しく作成されたコンテナにログインしている間、rootとして自動的にログインしていることがわかります：

sh-5.0# whoami

root

sh-5.0#

rootとして ユーザー、あなたはこのコンテナで何でもすることができます、それはあなたがコンテナホストを悪用して多くの損害を与えることができることを意味します。コンテナをインスタンス化できるため、ホストのsudoersアカウントに属していない場合でも、ホストに対して何かを行うことができます。

作成したばかりのコンテナを終了し、エクスプロイトを示すために新しいコンテナを作成します。

[mcalizo@Rhel82 ~]$ docker run -it --rm -v /:/exploit fedora:latest /bin/bash

[root@131043f2e306 /]#

-vオプションは、Dockerホストの/をマウントします /exploitの下のコンテナへのディレクトリ ディレクトリ：

[root@131043f2e306 /]#ls exploit/

bin  boot  dev  etc  home  lib  lib64  media  mnt  opt  proc  root  run  sbin  srv  sys  tmp  usr  var

マウントされているので、何でもできます Dockerホスト上。たとえば、ファイルを削除したり、特定の構成を編集してシステムに損害を与えたり、トロイの木馬アプリケーションやその他のマルウェアをインストールして重要な情報を盗んだりすることができます。

なぜこれが起こるのですか？

SELinuxは強制モードになっているので、なぜこれが可能なのか疑問に思われるかもしれません。 SELinuxを深く掘り下げて、どこで問題が発生したかを確認します。

SELinuxにDockerコンテキストがあることを確認します：

[mcalizo@Rhel82 ~]$ ps -eZ | grep docker

system_u:system_r:container_runtime_t:s0 30768 ? 00:00:04 dockerd

[mcalizo@Rhel82 ~]$

予想通り、そうです。これは、SELinuxがDockerデーモンを管理することを意味します。 Dockerデーモンを調べて、SELinuxがデフォルトで有効になっているかどうかを確認します。

[mcalizo@Rhel82 ~]$ docker info | grep Security -A3

 Security Options:

  seccomp

   Profile: default

 Kernel Version: 4.18.0-193.el8.x86_64

SELinuxはではありません デフォルトで有効になっています。これが問題です！これを修正するには、ファイル/etc/docker/daemon.jsonを更新または作成して、SELinuxがDockerを制御および管理できるようにします。 ここに記載されているように（これを行うにはrootアクセス権が必要です）：

[root@Rhel82 ~]# cat /etc/docker/daemon.json 

{

  "selinux-enabled": true

}

[root@Rhel82 ~]# 

[root@Rhel82 ~]# systemctl restart docker

ファイルを作成または更新してDockerを再起動すると、DockerデーモンでSELinuxサポートが有効になっていることがわかります。

[root@Rhel82 ~]# systemctl restart docker

[mcalizo@Rhel82 root]$ docker info | grep Security -A3

 Security Options:

  seccomp

   Profile: default

  selinux

[mcalizo@Rhel82 root]$ 

DockerホストのDockerコンテナに特定のファイルシステムをマウントすることは引き続き可能ですが、ファイルの更新やアクセスは許可されなくなりました：

[mcalizo@Rhel82 root]$ docker run -it --rm -v /:/exploit fedora:latest /bin/bash

[root@ecb5836da1f6 /]# touch /exploit/etc/shadow.sh

touch: cannot touch '/exploit/etc/shadow.sh': Permission denied

[root@ecb5836da1f6 /]#