Image for post
Image for post

Habilitando a API remota do Docker de forma segura, com autenticação de client TLS por meio de um container.

A adoção de containers Docker está crescendo rapidamente. Oitenta e três por cento das empresas de cloud computing, tanto pública quanto privada estão usando ou planejando usar o Docker de acordo com a última pesquisa da RightScale, o Gartner prevê que, até 2020, mais de 50% das organizações globais estarão executando aplicações em containers em produção. No entanto, as preocupações com segurança continuam sendo um dos principais desafios. …

Image for post
Image for post

Entenda o que é web 3.0 e o que isso pode significar em relação à uma possível re-descentralização da internet.

Você recentemente considerou excluir sua conta do Facebook, boicotar a Amazon ou tentar encontrar uma alternativa ao Google? Você não estaria sozinho. Os gigantes da tecnologia estão invadindo nossa privacidade, fazendo mau uso de nossos dados, estrangulando o crescimento econômico e ajudando os governos a nos espionar.

No entanto, como essas poucas empresas possuem muitos dos principais serviços da Internet, parece que pouco as pessoas podem fazer para evitar ter que interagir com elas se quiserem ficar on-line.

30 anos após a criação da Internet, uma terceira geração de tecnologia da Web pode oferecer uma maneira de mudar as coisas. A DWeb, uma nova versão descentralizada do ciberespaço, promete permitir um melhor controle do usuário, mais concorrência entre empresas de internet e menos domínio das grandes corporações. Mas ainda há questões sérias sobre se é possível ou mesmo desejável. …

Image for post
Image for post

Parte #1: Análise do Ecossistema de Segurança de Contêineres

A adoção de contêineres Docker está crescendo rapidamente. Oitenta e três por cento das empresas de cloud computing, tanto pública quanto privada estão usando ou planejando usar o Docker de acordo com a última pesquisa da RightScale, o Gartner prevê que, até 2020, mais de 50% das organizações globais estarão executando aplicações em contêineres em produção. No entanto, as preocupações com segurança continuam sendo um dos principais desafios. No mais recente estudo da Cloud Native Computing Foundation (CNCF), 43% dos entrevistados identificaram a segurança como o maior obstáculo na adoção de contêineres.

Entre os principais problemas de segurança, está o próprio daemon do Docker, que pode representar uma vulnerabilidade à segurança. Para usar e executar os contêineres Docker, é usado o daemon do Docker, um ambiente de execução persistente para contêineres. O daemon do Docker requer privilégios de root. Portanto, é necessário ter um cuidado maior ao escolher os usuários que terão acesso a esse processo e o local onde ele residirá. …

Image for post
Image for post

Conteinerização é um tipo de tecnologia de virtualização que recentemente cresceu muito, graças ao projeto Docker. A finalidade dos contêineres no Docker é poder definir facilmente instâncias virtuais sobre o sistema operacional do host permitindo que elas usem o mesmo kernel, ao mesmo tempo que permanecem isolados uns dos outros e do próprio host. Isto resulta em ambientes virtuais leves que podem ser implantados em um curto período de tempo, o que pode ser atraente em casos de uso que envolvem desenvolvimento e implantação de aplicações. …

Image for post
Image for post

Como implementar funções PHP Serverless com OpenFaaS

As arquiteturas sem servidor (serverless) são projetos de aplicações que incorporam serviços “Backend as a Service” (BaaS) de terceiros e/ou que incluem execução de código personalizado em contêineres efêmeros gerenciados em uma plataforma “Functions as a Service” (FaaS).

Ao usar essas ideias e outras relacionadas, como aplicações single-page, estas arquiteturas removem grande parte da necessidade de um componente tradicional de servidor. As arquiteturas serverless podem se beneficiar de um custo operacional, complexidade e lead time de engenharia significativamente reduzidos, a um custo de maior dependência de fornecedores e serviços de suporte.

Como implementar funções PHP Serverless com OpenFaaS

Serverless computing, ou simplesmente serverless, é um tema quente no mundo da arquitetura de software. Os fornecedores de nuvem “Big Three” — Amazon, Google e Microsoft — investem pesado em Serverless, e vimos muitos livros, projetos de código aberto, conferências e fornecedores de software dedicados ao assunto. …

Image for post
Image for post

O que há de novo, as principais mudanças para o PHP 7.3, data de lançamento e o que esperar do PHP 8.

O PHP continua sendo a linguagem mais popular do lado do servidor para criar sistemas. Com uma participação de mercado estimada em 80%, a linguagem de programação de vinte e poucos anos está em toda parte. O PHP evoluiu, e as próximas principais etapas são o lançamento da versão 7.3.0 prevista para o final deste ano e as especulações sobre o PHP 8.0.0 com a compilação JIT (just in time).

A última grande versão do PHP foi 7.0.0. Esta versão foi um marco importante com desempenho significativamente aprimorado e menor uso de memória. Desde a versão 7.0, houve dois lançamentos adicionando recursos: 7.1 em 2016 e 7.2 …

Image for post
Image for post

17 imagens Docker disponibilizadas por uma única conta durante 10 meses no Docker Hub, com mais de 5 milhões de pulls, podem ter minerado US $90.000 em criptomoedas Monero.

Uma única pessoa ou grupo pode ter minerado até US $90.000 em 10 meses, espalhando 17 imagens maliciosas que foram baixadas mais de 5 milhões de vezes do Docker Hub, disseram pesquisadores da Kromtech Security Center. O repositório finalmente foi removido em maio, mais de oito meses depois de receber a primeira reclamação de usuários.

Como foi a invasão via imagens Docker

As imagens Docker são pacotes que normalmente incluem uma aplicação pré-configurada em execução em um sistema operacional. Ao baixá-las do Docker Hub, os desenvolvedores podem economizar muito tempo de configuração. Nos últimos meses, uma ou mais pessoas usaram a conta docker123321 do Docker Hub para fazer o upload de imagens publicamente disponíveis que continham código secreto para criptografia de mineração de criptomoedas. …

Image for post
Image for post

O desenvolvimento de sistemas sempre modificou-se rapidamente ao decorrer do tempo. Novos paradigmas de programação foram criados, novos tipos de linguagem, metodologias e processos. A arquitetura dos softwares também não poderia ficar fora, começando com uma arquitetura monolítica, passando para uma arquitetura orientada a serviços (SOA), até a arquitetura com maior destaque no momento, os microsserviços.

O aumento da utilização das arquiteturas baseadas em serviços e microsserviços fez com que um problema entrasse em foco, a quebra de contrato entre o fornecedor do serviço e o cliente.

Um contrato é uma coleção de acordos entre um cliente (Consumer) e uma API (Provider) que descreve as interações que podem ocorrer entre eles. …

Image for post
Image for post

Olá gente! Tudo bem?

Hoje vou falar sobre algumas questões que pouca gente se preocupa, ou até mesmo implementa, mas que eventualmente pode prejudicar a sua aplicação ou seu negócio, sim, hoje falaremos sobre Segurança 😉 .

Abaixo vamos ver algumas preocupações que devemos ter e possíveis soluções relacionadas a segurança quando usamos containers.

Kernel exploits (exploração do kernel)

Ao contrário de uma Virtual Machine, ao usar containers o kernel é compartilhado entre todos os containers e o host, aumentando a importância de qualquer vulnerabilidade que explore o kernel.

Denial-of-service attacks (ataque de negação de serviço)

Como todos os containers compartilham recursos do kernel, se um container pode monopolizar o acesso a certos recursos, incluindo memória, ou até IDs de usuário (UIDs), pode faltar recursos para outros containers, resultando em uma negação de serviço (DoS). …

Image for post
Image for post

Olá gente! Tudo bem?

Continuando a série de textos sobre Segurança e Docker, hoje vou falar sobre uma das ferramentas que citei no texto Segurança e hacking de containers Docker, vamos ver mais detalhes sobre a ferramenta DockerScan.

DockerScan é uma ferramentas de análise e hacking de containers Docker, com ela é possível fazer uma varredura buscando por vulnerabilidades de segurança e também fazer o inverso, injetar vulnerabilidades em imagens Docker, abaixo vamos ver suas principais funcionalidades e alguns exemplos de uso.

Principais Funcionalidades

-> Faz scan de uma rede tentando localizar os Docker Registries

-> Registry

  • Delete: Exclui image / tag…

About

Fernando Silva

Information Security Specialist na KingHost, graduado em ADS pelo Senac. Pós-graduado e Mestrando em Segurança Cibernética pela UFRGS.

Get the Medium app

A button that says 'Download on the App Store', and if clicked it will lead you to the iOS App store
A button that says 'Get it on, Google Play', and if clicked it will lead you to the Google Play store