Seminar Container- und Registry-Security – Sichere OCI-Artefakte

Seminarbeschreibung

Ein Container-Image verbindet Anwendungsabhängigkeiten, Betriebssystempakete, Build-Werkzeuge und Konfigurationen zu einem verteilbaren Artefakt. Seine Sicherheit hängt daher von der Auswahl der Ausgangskomponenten ebenso ab wie vom Build-Prozess und dem Betrieb der Registry. Das Seminar untersucht die gesamte Strecke vom Basis-Image bis zur freigegebenen Version. Neben bekannten Schwachstellen werden unnötige Pakete, versehentlich eingebettete Geheimnisse, überhöhte Laufzeitrechte und unkontrollierte Veränderungen von Tags berücksichtigt.

An einem vorbereiteten Anwendungscontainer wird eine nachvollziehbare Härtung durchgeführt. Unterschiedliche Scan-Ergebnisse werden nach Pakettyp, Datenstand und tatsächlicher Verwendung bewertet. Anschließend entsteht ein Veröffentlichungsprozess, der Test-, Quarantäne- und Freigabebereiche unterscheidet und den Digest des geprüften Images erhält. OCI-Registries werden hinsichtlich Projekttrennung, technischen Konten und Aufbewahrung konfiguriert. Die Behandlung bleibt auf Images und Artefaktverteilung konzentriert; Kubernetes-Admission und umfassende Cluster-Härtung werden in eigenen Vertiefungen behandelt.

Inhaltsübersicht

1. OCI-Images und ihre Herkunft
2. Builds und Containerfiles härten
3. Image-Befunde fachlich bewerten
4. Laufzeitvorgaben im Image vorbereiten
5. Registries und Veröffentlichungen schützen
6. Aktualisierung und Aufbewahrung organisieren

Seminarinhalte

Modul 1: OCI-Images und ihre Herkunft

Kapitelinhalt: Manifeste; Layer; Tags und Digests

• Image-Manifest, Layer und Konfiguration analysieren und den Bezug zwischen Tag und unveränderlichem Digest nachvollziehen.
• Basis-Images anhand nachvollziehbarer Herkunft, Aktualisierungspflege und benötigter Laufzeitumgebung auswählen.
• Mehrplattform-Images und ihre einzelnen Plattform-Manifeste bei Inventarisierung und Freigabe korrekt unterscheiden.

Modul 2: Builds und Containerfiles härten

Kapitelinhalt: Build-Kontext; Mehrstufen-Builds; Geheimnisse

• Build-Kontext, Kopierregeln und Ausschlussdateien so begrenzen, dass lokale Zugangsdaten und unnötige Dateien nicht eingebettet werden.
• Build- und Laufzeitumgebung mit Mehrstufen-Builds trennen und ausschließlich erforderliche Komponenten übernehmen.
• Temporäre Build-Secrets verwenden und prüfen, dass Zugangsdaten weder in Image-Layern noch in der Konfiguration verbleiben.

Modul 3: Image-Befunde fachlich bewerten

Kapitelinhalt: Paketquellen; Scanner; Behebung

• Images mit Trivy untersuchen und Betriebssystempakete von Sprachabhängigkeiten in der Auswertung unterscheiden.
• Versionsinformationen, Datenbankstand und Herstellerkorrekturen berücksichtigen; einzelne Scores nicht mit einem vollständigen Risiko gleichsetzen.
• Ein korrigiertes Basis-Image oder Paket übernehmen, das Image neu bauen und Änderungen durch erneute Prüfung nachvollziehen.

Modul 4: Laufzeitvorgaben im Image vorbereiten

Kapitelinhalt: Benutzer; Dateisystem; Berechtigungen

• Einen geeigneten nicht privilegierten Benutzer festlegen und Dateiberechtigungen für den vorgesehenen Prozess anpassen.
• Schreibbedarfe und temporäre Verzeichnisse ermitteln und den Betrieb mit eingeschränktem Dateisystem im Labor testen.
• Image-Eigenschaften von durch die Laufzeit erzwungenen Sicherheitsmaßnahmen abgrenzen und notwendige Deployment-Vorgaben dokumentieren.

Modul 5: Registries und Veröffentlichungen schützen

Kapitelinhalt: Projekttrennung; technische Konten; Promotion

• Pull-, Push- und Verwaltungsrechte nach Projekten trennen und technische Konten auf ihre Aufgabe beschränken.
• Ungeprüfte und freigegebene Images organisatorisch und technisch unterscheiden; Änderungen an Release-Tags kontrollieren.
• Freigaben an den geprüften Digest binden und die Integrität bei Kopier- oder Promotionsvorgängen erneut kontrollieren.

Modul 6: Aktualisierung und Aufbewahrung organisieren

Kapitelinhalt: Rebuilds; Quarantäne; Wiederherstellung

• Wiederholte Prüfungen veröffentlichter Images und planbare Rebuilds bei neuen Basis-Images einrichten.
• Aufbewahrung, Löschung und Garbage Collection so koordinieren, dass notwendige Rollback-Artefakte erhalten bleiben.
• Verdächtige Images sperren, betroffene Veröffentlichungen zuordnen und ein überprüftes Ersatzartefakt bereitstellen.

Praxisworkshop

Die Übungsschritte bauen aufeinander auf und werden an der vorbereiteten Laborumgebung durchgeführt.

1. Das Ausgangsimage einschließlich Layern, Paketbestand und Konfiguration analysieren.
2. Den Build-Kontext bereinigen und einen Mehrstufen-Build mit eingeschränktem Laufzeitbenutzer erstellen.
3. Das neu gebaute Image scannen und einen relevanten Befund durch gezielte Aktualisierung beheben.
4. Registry-Rechte und Freigabebereiche konfigurieren; das geprüfte Image anhand seines Digests übernehmen.
5. Einen unberechtigten Push sowie eine fehlerhafte Promotion kontrolliert testen und den funktionierenden Ersatzstand prüfen.

Schulungsumgebung

Die Schulungsumgebung wird vom Kunden bereitgestellt. Linux-Labor mit Docker oder Podman, vorbereiteten Basis-Images, Trivy und einer OCI-Registry, beispielsweise Harbor. Getrennte Testkonten und ein Anwendungsbeispiel sind vorab einzurichten.

Die Übungen werden schrittweise angeleitet. Konfiguration, erwartetes Verhalten und kontrollierte Fehlersituationen werden gemeinsam ausgewertet. Die Werkzeugstände werden vor Beginn auf Kompatibilität geprüft.