Сегодня хочется привлечь ваше внимание к докладу "Латаем огрехи в образах приложений с помощью Kubernetes", который наша команда Luntry готовит к БеКон 2024. Данный доклад явно будет сильно отличаться от всех на конференции (и тех что мы делали до этого), так как мы изначально задумывали его как шуточный, немного юморной, не серьезный что ли.

История начинается с того что к вам/нам попадает готовый образ без каких-либо исходных данных (исходники, dockerfile - забудьте у нас их нет) и при этом он плох настолько на сколько это вообще можно придумать:
1) Много лишнего в базовом слое: Шумные отчеты об уязвимостях в базовом слое, setuid/setgid файлы, большой Attack Surface, возможности для LotL-атак
2) Чувствительная информация в слоях образа
3) Разные не закрытые CVE в самом приложении, рядом лежат майнеры и т.д.
4) Dockerfile противоречит всем лучшим практикам CIS.

В общем выдуманная ситуация (или нет?!) ...

И в таких условиях мы начинаем из этого делать конфетку. И такую, что многие позавидуют даже при наличии всех исходных данных)

Скорее всего это нельзя будет встроить и автоматизировать полностью, но при необходимости заниматься таким ручным кастомом сможет каждый!

Основная идея показать какие возможности и гибкость дают контейнеры и Kubernetes при харденинге и обеспечении ИБ.