Docker Security – Step-by-Step Hardening

Самый подробный гайд о безопасной настройке Docker в 2024 году. Шаг за шагом руководство обучит харденить докер — цель не просто представить сухой список параметров и готовые фрагменты конфигурации, а расписать все подробно и кратко.

Intro
— Prerequisites
— Secure configuration

Docker Host
— Working Environment
— Configuration audit
— Lynis
— Docker Bench for Security

Docker Daemon
— Access control to Docker Daemon
— Securing docker.sock
— Granting and revoking permissions
— Avoiding privileged mode
— Access to devices
— Blocking the ability to “granting” (acquiring) permissions
— Privilege escalation and Linux namespaces
— Rootless mode
— Container communication (container isolation)
— Read-only mode
— Resource utilization control
— Connecting to a remote Docker Daemon
— Event logging

Containers Security
— Selecting the Right Image
— Docker Content Trust (DCT)
— Using your own images
— Docker build and URL
— “latest” tag
— USER command
— Force UID
— .dockerignore

Automatic images scanning
— Trivy
— Docker Scout

Core
— AppArmor
— Seccomp
— SELinux

Misc
— The final piece of the puzzle – application security
— Docker Desktop Security
— Updating Software
— Additional sources of knowledge – where to find information about vulnerabilities
— History of Changes
— Support & Feedback

Webhooks SSRF Boomerang

Сегодня хочется немного рассказать про атаки на функциональность Webhooks aka User Generated Callbacks. По сути современные веб-приложения невозможно представить без функциональности совершения каких-либо действий при наступлении определенных событий.

Согласно информации из википедии, вебхуки обычно запускаются каким-либо событием, например, отправкой кода в репозиторий или комментарием, публикуемым в блоге. Когда происходит это событие, исходный сайт отправляет HTTP-запрос на URL-адрес, указанный для вебхука. Пользователи могут настроить их так, чтобы события на одном сайте вызывали действия на другом.
Таким образом, вебхуки буквально окружают нас везде, при заказах товаров на маркетплейсах😎, интеграциях CI/CD, k8s, даже оповещения в любимые чатики в месенджерах реализовано с помощью этой технологии.

На этом закончим с теорией и перейдем к практике. Суть атаки заключается в возможности осуществить редирект вебхука для эксплуатации SSRF от имени приложения отправившего этот запрос. Но есть сложность в том, что большинство вебхуков это POST/PUT запросы, а для SSRF нам необходимо отправить GET и для этого можно использовать HTTP 303 See Other, при котором веб-сервер автоматически поменяет метод и отправит GET запрос при перенаправлении.

Данная атака применима в кейсах, когда тестируемый сервис позволяет регистрировать пользовательские вебхуки на веб-сервере под контролем атакующего с доступом к логам. По ссылке доклад с примером с баг-баунти программы Docker Hub, с раскрытием ключей AWS IMDS EKS инфраструктуры при проведении этой атаки.

Материал про пентест 1С

Написал немного заметок про zabbix и интересные возможности.
читать

Дополнение к предыдущему посту, zabbix agent умеет в ключ web.page.get, что собственно может быть использовано как ssrf и обход каких либо ограничений.

ИБ-Стар(т)

🗓 29 февраля, 12:00 Мск

В этой рубрике мы рассмотрим основные принципы информационной безопасности, перспективы развития данной области, особенности сферы в России, а также ключевые навыки — как технические, так и мягкие — необходимые для успешной карьеры в этом увлекательном и важном направлении.

📚 Механика
— Что такое ИБ?
— Какие перспективы этой области?
— Из чего состоит ИБ в России
— Хард и софт скиллы
— Мотивация в ИБ
— BugBounty программы

🗣 Эксперт
Сергей Зыбнев, специалист по анализу защищенности компании Awillix.

Зарегистрироваться можно тут.

*тем, кто уже состоит в Клубе Код ИБ | ЗУБРЫ Кибербеза или в Код ИБ академии ссылка на встречу придет на почту.