컨테이너 보안 (컨테이너화된 응용 프로그램의 보안을 위한 개념/이론/대응법과 모범 관행)

리즈라이스

컨테이너오픈소스보안전문회사AquaSecurity의오픈소스공학부사장(VicePresidentofOpenSourceEngineering)으로서Trivy,Tracee,kubehunter,kube-bench같은프로젝트를관리한다.CNCF의기술감독위원회(TechnicalOversightCommittee)의의장이며코펜하겐,상하이,시애틀에서열린‘KubeCon+CloudNativeCon2018’행사들의공동의장을역임했다.
네트워크프로토콜및분산시스템에대한소프트웨어개발관리와개발팀관리,제품관리에풍부한경험을가지고있으며,VOD나음악,VoID같은디지털기술분야에대한경험도풍부하다.코드를작성하거나강연을하지않을때는고향인런던보다날씨가좋은곳에서자전거타기를즐기며,비디오게임〈Zwift〉에서펼쳐지는가상의자전거경주에도열중한다.

제1장컨테이너보안위협
__1.1위험,위협,완화
__1.2컨테이너위협모형
__1.3보안경계
__1.4다중입주
__1.5보안원칙들
__1.6요약

제2장리눅스시스템호출,접근권한,능력
__2.1시스템호출
__2.2파일접근권한
__2.3리눅스능력
__2.4권한확대
__2.5요약

제3장cgroups와제어그룹
__3.1제어그룹위계구조
__3.2제어그룹생성
__3.3자원한계설정
__3.4프로세스를제어그룹에배정
__3.5도커와cgroups
__3.6cgroups버전2
__3.7요약

제4장컨테이너격리
__4.1리눅스이름공간
__4.2호스트이름격리
__4.3프로세스ID격리
__4.4루트디렉터리변경
__4.5이름공간과루트변경의조합
__4.6마운트이름공간
__4.7네트워크이름공간
__4.8사용자이름공간
__4.9IPC이름공간
__4.10제어그룹이름공간
__4.11호스트의관점에서본컨테이너프로세스
__4.12컨테이너전용호스트
__4.13요약

제5장VM과컨테이너
__5.1컴퓨터부팅과정
__5.2VMM의등장
__5.3“가두고흉내낸다”접근방식
__5.4가상화불가명령의처리
__5.5프로세스격리와보안
__5.6VM의단점
__5.7컨테이너격리와VM격리의비교
__5.8요약

제6장컨테이너이미지
__6.1루트파일시스템과이미지설정
__6.2실행시점에서매개변수를명시적으로설정
__6.3OCI표준
__6.4이미지설정정보
__6.5이미지구축
__6.6이미지저장
__6.7이미지식별
__6.8이미지보안
__6.9구축시점보안
__6.10이미지저장보안
__6.11이미지배치과정의보안
__6.12GitOps와배치보안
__6.13요약

제7장컨테이너이미지의소프트웨어취약점
__7.1취약점연구
__7.2취약점,패치,배포판
__7.3응용프로그램수준취약점
__7.4취약점위험관리
__7.5취약점스캐닝
__7.6설치된패키지찾기
__7.7컨테이너이미지스캐닝
__7.8스캐닝도구들
__7.9스캐닝과정을CI/CD파이프라인에도입
__7.10취약한이미지가실행되지않게하는방법
__7.11제로데이취약점
__7.12요약

제8장컨테이너격리의강화
__8.1seccomp
__8.2AppArmor
__8.3SELinux
__8.4gVisor
__8.5카타컨테이너
__8.6파이어크래커
__8.7유니커널
__8.8요약

제9장컨테이너격리깨기
__9.1루트로컨테이너실행
__9.2--privileged플래그와리눅스능력
__9.3민감한디렉터리의마운팅
__9.4도커소켓마운팅
__9.5컨테이너와호스트의이름공간공유
__9.6사이드카컨테이너
__9.7요약

제10장컨테이너네트워크보안
__10.1컨테이너방화벽
__10.2OSI네트워크모형
__10.3IP패킷이전송되는과정
__10.4컨테이너의IP주소
__10.5네트워크격리
__10.6계층3,4의라우팅과규칙들
__10.7네트워크정책
__10.8서비스메시
__10.9요약

제11장TLS를이용한구성요소간보안연결
__11.1보안연결
__11.2X.509인증서
__11.3TLS연결
__11.4컨테이너들사이의보안연결
__11.5인증서폐기
__11.6요약

제12장비밀정보를컨테이너에전달
__12.1비밀값의속성들
__12.2컨테이너에정보를전달하는방법
__12.3쿠버네티스의비밀값
__12.4루트의비밀값접근
__12.5요약

제13장실행시점컨테이너보호
__13.1컨테이너이미지프로파일
__13.2표류방지
__13.3요약

제14장컨테이너와OWASP10대위험
__14.1주입
__14.2취약한인증
__14.3민감한데이터노출
__14.4XML외부개체
__14.5취약한접근제어
__14.6잘못된보안설정
__14.7교차사이트스크립팅(XSS)
__14.8안전하지않은역직렬화
__14.9알려진취약점을가진구성요소사용
__14.10불충분한로그기록과감시
__14.11요약

부록:보안점검목록

보안문제에는만능해결책이없다.조직마다구축한환경이다르고외부공격과위협은시시각각변하기때문이다.컨테이너보안전문가인저자는독자가스스로잠재적인보안위험을발견하고문제를해결하는방법을익히도록돕는다.활용이나변형이어려운매뉴얼을제시하기보다는컨테이너를구동하는환경에대해근본적으로이해하고변수가많은보안문제에유동적으로대응하게한다.개발자,운용자,보안전문가누구든컨테이너가단순한배치의단위가아니라가장중요한‘보안의단위’임을이해하게될것이다.사물의작동방식과원리를파헤치고이해하길좋아하는사람이라면이책의서술방식을무척흥미롭게느낄것이며,리눅스터미널을익숙하게다룰줄안다면더없이좋을것이다.