Kontit voivat olla hienoja, mutta turvallisuus on kriittistä

Monet IT-järjestelmänvalvojat tarkastelevat kontteja sovelluskehitysvälineenä (app-dev), mukaan lukien sen kaksi suosituinta esimerkkiä: Docker, joka on väline kontien hallintaan, ja Kubernetes, avoimen lähdekoodin järjestelmä, jonka Google on kehittänyt automatisoimaan konttien käyttöönotto, skaalaaminen ja hallinta. Nämä ovat hienoja työkaluja, mutta niiden käytön selvittäminen sovelluskehityskontekstin ulkopuolella voi olla vaikea kysymys päivittäisissä IT-toiminnoissa täytetyille järjestelmänvalvojille.

Lyhyt vastaus on, että kontit ja niiden hallintakerrokset, mukaan lukien Docker ja Kubernetes, voivat helpottaa IT-järjestelmänvalvojan infrastruktuurin hallintaa. Paitsi, että ne myös tekevät sovelluksistasi turvallisempia ja lisäävät samalla joustavuutta.

Syy, jonka säiliöt voivat tehdä kaiken tämän johtuu niiden arkkitehtuurista. Vaikka säilöt luokitellaan virtualisointiin, ne eivät ole samaa asiaa kuin virtuaalikoneet (VM), joita useimmat IT-henkilöt ovat tottuneet hallitsemaan. Tyypillinen VM virtualisoi täydellisen tietokoneen ja kaikki siinä käynnissä olevat sovellukset tai jopa kommunikoi sen kanssa oikeana koneena. Säiliö puolestaan ​​virtualisoi vain käyttöjärjestelmän (OS).

Kun käytät säilöä, sen sisällä toimiva sovellus ei näe mitään muuta samalla koneella käynnissä olevaa sovellusta, jossa jotkut ihmiset alkavat sekoittaa sen täysillä olevaan VM: ään. Säiliö tarjoaa kaiken, mitä sovellus tarvitsee ajaa, mukaan lukien isäntäjärjestelmän ydin sekä laiteajurit, verkko-omaisuus ja tiedostojärjestelmä.

Kun säiliönhallintajärjestelmä, esimerkiksi Docker, potkaisee säiliön, se lataa sen käyttöjärjestelmäkuvien varastosta, joka jokaisen on oltava asennettuna, tarkistettuna ja jopa räätälöity säiliön järjestelmänvalvojan toimesta. Eri tarkoituksia varten voi olla paljon erikoistuneita kuvia ja voit määrittää, mitä kuvaa käytetään mihin työmäärään. Voit myös mukauttaa näiden standardikuvien kokoonpanoa entisestään, mikä voi olla erittäin kätevää, kun olet huolissasi henkilöllisyyden hallinnasta, käyttöoikeuksista tai muista suojausasetuksista.

Älä unohda turvallisuutta

Minulla oli tilaisuus keskustella konttien vaikutuksista IT-toimintaan Maxim Integrated -yrityksen, korkean suorituskyvyn analogisten ja sekoitettujen signaalien integroitujen piirien (IC) ratkaisujen valmistajan Matt Hollcraftin kanssa, joka sijaitsee San Josessa, Kalifornia.

"Konttien syntyminen antaa IT-organisaatiolle mahdollisuuden palvella organisaatiotaan ja välttää pilvien ja muun infrastruktuurin ylikuormitusta", Hollcraft selitti. "Ne antavat sinun tarjota palveluita sujuvammin", hän sanoi ja lisäsi, että niiden avulla organisaatio voi skaalata nopeammin ylös ja alas, koska toisin kuin täysillä virtuaalikoneilla, kontteja voidaan kehrätä ylös ja taaksepäin seuraavissa asioissa: sekuntia.

Tämä tarkoittaa, että voit käynnistää tai lopettaa koko liiketoimintalinjan kokonaiskuormituksen, kuten tietokannan laajennuksen, esimerkiksi murto-osassa aikaa, joka kuluu täydellisen virtuaalipalvelimen aktivointiin. Tämä tarkoittaa, että IT: n reaktioaika muuttuviin yritystarpeisiin paranee huomattavasti, varsinkin kun pystyt tarjoamaan säilytystilat vakio-käyttöjärjestelmäkuvilla, jotka on jo määritetty ja mukautettu.

Silti Hollcraft varoitti, että on kriittistä sisällyttää turvallisuus vakio-osaan konttimääritysprosessiisi. Toimiakseen turvallisuuden on oltava yhtä ketterä kuin kontti. "Pääominaisuuden on oltava ketteryyttä", Hollcraft sanoi, koska "sen on luiska ylös säiliön suojaamiseksi".

Kolmannen osapuolen tuki säilytystilanteissa

Hollcraft kertoi, että on olemassa pari kyberturvallisuusyrityksiä, jotka alkavat tarjota ketteriä tietoturvaympäristöjä, joita tarvitaan konttien onnistuneeseen käyttämiseen IT-välineenä. Konttikohtaisen tietoturvan etuna on, että sen avulla IT-järjestelmänvalvojat voivat sisällyttää tietoturvan osana alkuperäistä säilöarkkitehtuuriprosessia.

Yksi aloittajista, joka tekee konttien turvallisuustyötä tällä tavalla, on nimeltään Aqua Security Software ja se toimittaa uuden tuotteen, nimeltään MicroEnforcer, joka on tarkoitettu erityisesti konttien käyttötapaukseen. MicroEnforcer lisätään astiaan varhaisessa vaiheessa kehitys- tai määritysprosessia. Sitten, kun kontti käynnistetään, turvallisuus käynnistyy sen mukana. Koska konttia ei voi muuttaa, kun se on ladattu, turvallisuus on olemassa.

"Sen avulla turvallisuushenkilöt voivat tulla sisään ja perustaa tietoturvan prosessin alussa", sanoi Amir Jerbi, Aqua Security -ohjelmiston perustaja ja tekninen johtaja. Hän sanoi, että se luo turvallisuuden palveluna kontissa. Tällä tavalla MicroEnforcerilla voi olla näkyvyys myös muihin säiliöihin.

"Voit tarkastella konttia ja nähdä tarkalleen, mitä kontti tekee, mitkä prosessit ovat käynnissä ja mitä se lukee ja kirjoittaa", Jerbi sanoi. Hän lisäsi, että MicroEnforcer voi sitten lähettää hälytyksen, kun se havaitsee toimintaa säiliössä, jota ei ole tarkoitus olla siellä, ja se voi pysäyttää säiliön toiminnan, kun se tapahtuu.

Hyvä esimerkki sellaisesta toiminnasta, jota MicroEnforcer voi etsiä, saattaa olla haittaohjelma, joka on injektoitu säiliöön. Upea esimerkki tästä voi olla yksi uudemmista konttipohjaisista hyökkäyksistä, joissa kryptovaluutan louhintaohjelmistoa käyttävä kontti ruiskutetaan järjestelmään, jossa se imee resursseja samalla kun ansaitsee rahaa jollekin toiselle. MicroEnforcer voi myös tunnistaa tällaisen toiminnan ja lopettaa sen välittömästi.

Haittaohjelmien torjunta on yksi konttien suurista eduista, koska ne tarjoavat helpon näkyvyyden sisäpuolelle. Tämä tarkoittaa, että heidän toiminnan seuraaminen on suhteellisen helppoa ja melko helppo estää kaiken pahan tapahtumista.

On syytä huomata, että vaikka säilöt ovat olleet Linuxin arkkitehtonisena elementtinä jo jonkin aikaa, ne ovat saatavilla myös Microsoft Windows -käyttöjärjestelmässä. Itse asiassa Microsoft tarjoaa version Windowsin Dockerista ja ohjeet säiliöiden luomiseen Windows Serverissä ja Windows 10: ssä.