컨테이너 보안: 컨테이너화된 응용 프로그램의 보안을 위한 개념, 이론, 대응법과 모범 관행까지

제

14

장

컨테이너와 OWASP 10대 위험

234

14.9

알려진 취약점을 가진 구성 요소 사용

이 책을 여기까지 읽은 독자라면 이 위험에 대해 내가 어떤 조언을 제시할지 짐작할 것이다. 바

로, 스캐너를 이용해서 컨테이너 이미지에 있는 알려진 취약점들을 식별하라는 것이다. 또한,

다음과 같은 작업을 위한 절차나 도구들도 마련해야 한다.

●

취약점이 수정된 최신 패키지들을 반영해서 컨테이너 이미지를 다시 구축한다.

●

취약점이 있다고 밝혀진 이미지로부터 생성, 실행된 컨테이너들을 찾아서 대체한다.

14.10

불충분한 로그 기록과 감시

OWASP

사이트의 통계 자료에 따르면, 하나의 침해 사고가 밝혀지기까지 걸리는 평균 시간은

무려

200

일이라고 한다. 배치본을 충분히 잘 관측(감시 )하고 예기치 않은 행동이 탐지되었을

때 바로 경고를 발동한다면 그 기간을 크게 줄일 수 있다.

모든 실무 배치본에서 다음과 같은 컨테이너 활동들을 반드시 로그에 기록해야 한다.

●

컨테이너 시작/중지 이벤트. 해당 이미지의 식별자 및 명령을 내린 사용자도 로그에 포함

해야 한다.

●

비밀 값 접근

●

모든 권한 변경

●

컨테이너 내용 수정 (코드 주입일 수 있음 - §

13

.

2

표류 방지 (

p

.227

) 참고 )

●

들어오는/나가는 네트워크 연결

●

볼륨 마운트 (마운트에 민감한 데이터가 있는지 분석하기 위해 - §

9

.

3

민감한 디렉터리의

마운팅 (

p

.172

) 참고 )

●

네트워크 연결, 파일 기록, 사용자 접근 권한 변경 등을 시도했으나 실패한 경우들 ...