Sécuriser les conteneurs améliore la posture globale de l’entreprise

Des outils qui simplifient surveillance et dépannage

Recurly utilise les modèles Terraform pour installer automatiquement les agents d’Aqua Security dans ses clusters GKE lors du déploiement. L’outil d’analyse d'images de conteneurs d'Aqua est également intégré au pipeline CI/CD, de sorte que les failles éventuelles interdisent tout déploiement en production. La solution d’Aqua empêche également les développeurs de déployer des images de conteneurs provenant de l'extérieur du registre des conteneurs de l'entreprise.

Une fois que les applications atteignent l'environnement Kubernetes de production, les politiques de sécurité appliquées par Aqua limitent l’accès à une lecture seule. Cela améliore et accélère le développement d'applications et permet de dépanner plus rapidement qu'avec les machines virtuelles – précédemment, les équipes de sécurité de Recurly restreignaient plus étroitement ces accès sans les outils d’automatisation de l’inscription en liste blanche disponibles pour les conteneurs. Qui plus est, comme les conteneurs séparent les processus applicatifs de l'hôte sous-jacent, les administrateurs peuvent verrouiller plus strictement l'hôte lui-même avec des outils tels que le système d'exploitation optimisé pour les conteneurs de Google.

Ross Hosman ne cache pas son optimisme : « aujourd’hui, nous avons des hôtes immuables, donc même si vous sortez d'un conteneur et que vous montez sur un hôte, bonne chance. Vous ne pourrez rien exécuter, rien installer, ni pivoter sur quoi que ce soit, et si on redémarre l'hôte, tout sera réinitialisé ».

L'objectif de Recurly est d’éviter les réponses humaines aux alertes, qu'il s'agisse de surveillance de la production ou de problèmes de sécurité des conteneurs, au profit d’une réponse corrective automatisée : « il y a tellement d'entreprises qui sont coincées dans ce modèle d'alerte et de réponse où il faut qu'un ingénieur intervienne en cas de problème, mais ce n'est pas assez rapide dans le cloud. Il faut quatre minutes à quelqu'un pour trouver une clé dans GitHub et commencer à faire lancer des instances – si nous voyons [quelque chose comme ça] il va y avoir une alerte, mais notre but est d'y remédier, automatiquement, en 60 secondes ».

Looker centralise la sécurité en environnement multi-cloud

Les conteneurs ont d'abord séduit les développeurs parce qu'ils extraient les processus applicatifs de l'infrastructure sous-jacente. Le code applicatif gagne en portabilité, du développement, à la production en passant par le test. Mais la séduction a opéré bien au-delà.

« Lorsque j'ai commencé ici, il y a presque deux ans, nous [utilisions] des instances EC2 classiques dans AWS. Mais l'année dernière, la décision a été prise de diversifier les environnements cloud utilisés, en s’appuyant sur Kubernetes », explique Richard Reinders, directeur des opérations de sécurité chez Looker, un spécialiste du décisionnel.

Richard Reinders a d'abord appréhendé la gestion de Kubernetes dans AWS, GCP et Azure comme un défi. Puis il a commencé à voir ses avantages lorsque Looker a mis en production les outils de sécurité des conteneurs de Stackrox, et Sumo Logic, au premier trimestre 2019. Ainsi, il surveille en continu les conteneurs en cours d'exécution, ainsi que les images avant leur déploiement. Les alertes sont générées plus rapidement, et elles sont plus précises.

Looker verrouille commandes et conteneurs

Comme Recurly, Looker utilise les outils de sécurité des conteneurs pour automatiser leur configuration et le dépannage. Les conteneurs sont là aussi appréhendés comme des ressources immuables, éliminant ainsi l’application de correctifs et de mises au niveau des conteneurs, et établissant une liste blanche des commandes qui peuvent être exécutées.

« Nous ne voulons pas détecter si une commande particulière est exécutée – nous voulons connaître toutes les commandes exécutées pour établir une liste blanche des commandes spécifiques que nous approuvons », explique Richer Reinders. « Nous pouvons l'utiliser pour les connexions réseau, les processus et un certain nombre d'autres choses grâce aux investissements que nous avons faits au fil du temps [pour personnaliser Sumo Logic] ».

Stackrox apporte également une visibilité bienvenue pour la tenue des rapports de conformité et la documentation dans des environnements cloud multiples. La jeune pousse a d’ailleurs renforcé ces caractéristiques à la suite des premières demandes de Looker. L'acquisition de Looker par Google, qui devrait être finalisée plus tard cette année, affectera la gestion de ses conteneurs. Mais Looker n'a pas voulu commenter la fusion en cours.