Wie Sie Container vor Ransomware schützen

Auch Container werden mittlerweile verstärkt von Hackern mit Ransomware attackiert. Die Verantwortlichen des Backup-Spezialisten Veritas berichten beispielsweise von der Malware Siloscape, die aus einem Container heraus operiert und schwach konfigurierte Sicherheitsfunktionen in Kubernetes-Clustern ausnutzt. Damit könnten auf Cluster-Ebene Anmeldeinformationen und andere geschäftskritische Daten gestohlen werden, hieß es in einer Mitteilung.

Das Problem: Da Kubernetes als Open-Source-System noch für viele Anwender Neuland sei, komme es häufig zu Konfigurationsfehlern. Veritas beruft sich auf eine Studie von Stackrox, wonach zwei Drittel der befragten Unternehmen schwerwiegende Fehlkonfigurationen in ihrer Kubernetes-Umgebung eingeräumt hätten.

Um ihre Daten auf Kubernetes widerstandsfähiger zu machen gegen Angriffe, Malware und menschliche Fehler, geben die Veritas-Verantwortlichen den Anwendern folgende Tipps:

1. Den Grundprinzipien für Sicherheit folgen

Kubernetes liefert eine gute und verständliche Dokumentation, um die Plattform selbst sicher aufzusetzen. Anwender finden hier Anleitungen, wie sich Benutzer und ihre Accounts mit guten, starken und unterschiedlichen Passwörtern sichern und ihre Zugriffsprivilegien auf ihre Aufgaben entsprechend zuschneiden lassen sollten. Die Dokumentation der Linux Foundation erklärt anschaulich Details zur richtigen Konfiguration, Verwaltung und Sicherung der Cluster. Parallel arbeitet die Community daran, Softwarefehler zu finden und zu beseitigen. Patches helfen dabei, Hintertüren in der Architektur zu schließen und sollten daher regelmäßig und vor allem zeitnah eingespielt werden.

2. Daten vor Fehlern schützen

Grundsätzlich ist zu empfehlen, kritische Daten auf ihrem Weg zwischen Containern und Containergruppen (Pods) zu verschlüsseln. Um Daten in einer Kubernetes-Umgebung nicht zu verlieren, sollten die Files per Backup gesichert werden. Die Struktur und Architektur verlangten Veritas zufolge allerdings nach einem speziellen Ansatz. Kubernetes-Plattformen basieren auf einer Hierarchie aus mehreren Worker-Nodes und dem Cluster-Master-Node an der Spitze. Master und Worker-Nodes kommunizieren über definierte Prozesse, die in jeder Distribution enthalten sind. Darüber lassen sich Namespaces und Pods beziehungsweise Container automatisch einrichten und auf die jeweiligen Worker-Nodes ausrollen sowie überwachen. Um Datenbanken einbinden zu können, werden die Namespaces mit Persistent Storage Volumes, also festem Speicherplatz, verknüpft.

Nach dieser Struktur sollten auch die jeweiligen Elemente per Backup gesichert werden. Dank Container-Architektur lassen sich persistente und nicht-persistente Daten voneinander trennen und je nach Applikation optimal nutzen. Wichtig ist, dass das Backup die am häufigsten genutzten Distributionen auf dem Markt unterstützt. Den größten Kubernetes-Marktanteil hat hierzulande Red Hat Openshift. Aber VMware holt mit Tanzu immer stärker auf.

3. Namespaces umfassend sichern

Kubernetes operiert mit sogenannten Namespaces. Diese sind meist als Projekte oder Applikationen definiert, die durch Pods, Container, Konfigurationsinformationen und dem zugehörigen Storage den eigentlichen Business Value einer Kubernetes-Umgebung liefern.

Die Backup-Plattform sollte daher über eine Namespace-Schnittstelle in das Cluster integriert werden und das Discovery des Clusters möglichst selbstständig und automatisiert durchführen. Ebenso sollte die Plattform dort manuelle und geplante Backup-Abläufe sowie das Wiederherstellen der Daten abwickeln.

Damit die Container-Applikationen ganzheitlich geschützt und die Skalierung und Portierbarkeit der Kubernetes-Umgebung gewahrt bleiben, ist es sinnvoll, einen Namespace mit allen dazugehörigen Komponenten zu sichern. Gleichzeitig muss es im Recovery-Fall möglich sein, die Persistent Volumes unabhängig vom Namespace wiederherzustellen, da auf ihren Daten-Layern logische Fehler auftreten können. Um die Agilität von Kubernetes zu wahren, sollte die Backup-Lösung zudem das Wiederherstellen von Namespaces auf alternativen Clustern unterstützen.

4. Zugriffsrechte klar definieren

Die Kommunikation zwischen Backup-Software und Kubernetes-Master sollte nach abgestimmten Zertifikaten und Credentials ablaufen. Für die gegenseitige Authentifizierung des Kubernetes-Clusters und des Backup-Systems gibt es Tokens und CA-Zertifikate, mit denen sich der Datenaustausch sicher verschlüsseln lässt.

Die Zugriffsrechte für die Datensicherung und -wiederherstellung sollten nur für Ressourcen der Kubernetes-Umgebung gelten, die der jeweilige User verwalten oder nutzen darf. Das bedeutet, dass ein Backup-Anwender nur die Namespaces und Persistent Storage Volumes des Clusters sehen kann, für die er eine Berechtigung hat. Auf diese Weise lassen sich Dev-, Test- und Produktionsverantwortlichkeiten separieren. Auch bei der Konfiguration empfiehlt es sich, Zugriffsrechte zu definieren, die im Backup-System über einen rollenbasierten Zugriff umgesetzt werden. Dieser Ansatz stärkt Veritas zufolge die Widerstandsfähigkeit gegen Cyberattacken.

5. DevOps- und Backup-Teams mit Automatisierung entlasten

Eine Backup-Lösung sollte zudem automatisch und regelmäßig untersuchen, ob in den Clustern neue Namespaces angelegt wurden. Daher müssen Kubernetes-Distribution und Backup-Lösung gut zusammenspielen. Sinnvoll ist auch der Ansatz, logische Selektionen mit der Zuordnung der entsprechenden Backup-Pläne automatisch und intelligent neuen Namespaces zuzuweisen. Das reduziert in wachsenden Kubernetes-Farmen das Risiko, dass ein Projekt oder eine Applikation nicht ordnungsgemäß gesichert wird.

Zudem entlasten Automatismen die IT-Teams bei Discovery und Konfiguration und senken das Risiko von Datenverlusten für DevOps-Teams. Diese können ihre Datenbestände mit dem entsprechenden Rechtekonzept auch selbst wiederherstellen. Das verkürzt die Entwicklungszeiten und entlastet die Backup-Verantwortlichen. Backup-Prozesse lassen sich durch die Integration aus Distribution und Backup-Konzept steuern. Die Verantwortlichen werden über entsprechende Event-Alarme in einem Dashboard darüber informiert, was in dem Cluster passiert.

6. Auf Integrationsmöglichkeiten achten

Ein Backup-System sollte mit etablierten Standards und anderen Tools interagieren, und zudem auch intelligente Erweiterungen unterstützen können. Beispielsweise hilft die Anbindung an ein durch das Backup gesteuerte Retention-Management mit Replikationsmöglichkeit dabei, sich vor Ransomware zu schützen. Wichtig ist dabei, die 3-2-1 Regel zu berücksichtigen. Diese besagt, dass mindestens drei Kopien der Daten vorhanden sein müssen - zwei auf unterschiedlichen Medien sowie eine Backup-Kopie an einem externen Speicherort.

Eine sinnvolle konzeptionelle Ergänzung ist auch der Backup Data Mover. Damit lassen sich die Backup-Storage-Ziele auf die vom Anbieter unterstützte Kompatibilität erweitern. Kubernetes ist dann End-to-End in ein zentrales Backup- und Recovery-Konzept eingebunden, was den Betrieb von einzelnen Best-Of-Breed-Backup-Systemen je Workload vermeidet. Dadurch lassen sich Kosten reduzieren, die Komplexität eindämmen und Risiken verringern.

Backup - erstes Mittel gegen Ransomware

Ein funktionierendes Backup ist auch für Kubernetes-Anwender das stärkste Mittel gegen Ransomware-Erpressungsversuche und Datenverluste durch menschliche Fehler. Automatisierung und Integrationen in Legacy-Systeme sind die Schlüssel für ein effizientes Container-Backup. Das senkt den Aufwand und die Kosten für die Sicherungen. Zudem fällt so kein kritisches System und keine wichtige Datei mehr durch das Backup-Raster. Wenn Ransomware oder menschliche Fehler wichtige Daten korrumpieren, können Kubernetes-Anwender sie zuverlässig wiederherstellen.