Hoje em dia, todos comentam sobre os fracassos em ciber-segurança em grandes empresas, o flagelo do ramsonware ha está aqui para ficar A razão disso é que os responsáveis ainda não conseguem sensibilizar as empresas e acabam entrando através do ponto mais fraco da cadeia - os seres humanos e sua curiosidade.
Mas hoje eu queria falar sobre nossos recipientes "amigos". Esta tecnologia é tão difundida que nos obriga a começar a olhar para ela de vários pontos de vista, não apenas pelas funcionalidades e velocidade de implantação que oferece, mas também pelo possível falhas de ciber-segurança que as imagens trazem.
Os desenvolvedores adaptaram-se rapidamente a esta tecnologia que salva vidas, basta pesquisar as características necessárias para seu projeto e fazer o download, Eles levantam o contêiner e começam a trabalhar, embora sejam quase sempre apoiados por sites oficiais, nem sempre é esse o caso e não se perguntam: terá alguma empresa?
Mesmo quando descarrego containers de sites oficiais, raramente tenho visto as pessoas perguntarem: "Preciso atualizar alguma coisa? Muitas das imagens encontradas em Docker estão em alta há um ano ou mais e a questão é nenhuma atualização de segurança para estas imagens?
Não estou dizendo que é a empresa que mantém o site de download das imagens que é responsável por atualizá-las, mas é responsabilidade dos desenvolvedores tentar atualizar a imagem antes de começar a desenvolvê-la, em um mundo ideal as empresas teriam que ter seu próprio repositório autorizado com as imagens prontas e atualizadas e se alguém tiver que usar um novo deveria passar por um processo de verificação e ajuste fino, mas isso seria em um ciclo de vida de DevOps maduro.
Mas não são apenas os desenvolvedores os culpados, há muitas empresas que vendem produtos baseados nesta tecnologia, e, assim como os desenvolvedores, eles distribuem imagens com falhas de segurança, e aqui eles devem ser obrigados a garantir que uma imagem sem segurança é uma imagem que não deve ser vendida/distribuída. por causa dos riscos potenciais que eles representam.
Só posso recomendar que os recipientes sejam atualizados, que sejam tratados como um sistema e que nunca mais ouçamos dizer que "se funcionar, não toquem nele". Não esqueça que estes sistemas são tanto um ponto de falha quanto qualquer outro.
