Hoy en día todos comentan los fallos en ciberseguridad en las grandes empresas, la lacra de los ramsonware ha llegado para quedarse unos cuantos años porque los responsables siguen sin hacer concienciación en las empresas y acaban entrando por el punto más débil de la cadena los seres humanos y su curiosidad.
Pero hoy quería hablar de nuestros “amigos” los contenedores. Tecnología tan extendida que nos obliga a empezar a mirarla desde varios puntos de vista, no solo desde las funcionalidades y rapidez de despliegue que ofrece sino desde los posibles fallos de ciberseguridad que traen las imágenes.
Los desarrolladores rápidamente se han adaptado a esta tecnología que les facilita la vida, simplemente tienen que buscar las características necesarias para su proyecto y descargar, levantan el contenedor y a trabajar, aunque casi siempre se suelen apoyar en sitios oficiales no siempre es así y ellos no se preguntan ¿tendrá algo de compañía?
Aun bajando contenedores de sitios oficiales pocas veces he visto yo que se pregunten ¿hay que actualizar algo? Muchas de las imágenes que se encuentra dentro de Docker están subidas hace un año o más y la pregunta es ¿no hay actualizaciones de seguridad para estas imágenes?
No digo que sea la empresa que mantiene el lugar de descargas de las imágenes responsable de actualizarlas, pero sí de los desarrolladores de procurar actualizar la imagen antes de empezar a desarrollar sobre ella, en un mundo ideal las empresas tendrían que tener su propio repositorio autorizado con la imágenes listas y actualizadas y si alguien tiene que utilizar una nueva debería pasar por un proceso de chequeo y puesta a punto, pero esto sería en un ciclo de vida de DevOps maduro.
Pero no solo son culpables los desarrolladores, hay muchas empresas que están vendiendo productos sobre está tecnología, y al igual que los desarrolladores, distribuyen imágenes con fallos de seguridad, y aquí si que se les debería exigir que una imagen sin seguridad es una imagen que no se debería vender / distribuir por los posibles riesgos que representan.
Solo me queda recomendar que se actualicen los contenedores, que se cuiden como un sistema y que no se vuelva a oír eso de “si funciona no lo toques”. No se olviden de que estos sistemas son un punto de fallo igual que cualquier otro.
