Sécurité des containers Docker

La sécurité des conteneurs Docker est devenue un enjeu crucial pour les développeurs .NET, particulièrement avec l'adoption croissante des architectures microservices. Dans cet article, nous explorerons les meilleures pratiques de sécurisation des conteneurs Docker dans un environnement .NET, en nous concentrant sur les aspects spécifiques à ASP.NET Core et aux applications modernes.

Concepts fondamentaux de la sécurité Docker pour .NET

La sécurisation des conteneurs Docker repose sur plusieurs piliers essentiels :

• Isolation des processus et des ressources
• Gestion des permissions et des privilèges
• Sécurisation des images de base
• Protection des secrets et données sensibles

Configuration sécurisée du Dockerfile

Voici un exemple de Dockerfile sécurisé pour une application ASP.NET Core :

# Utiliser une image de base officielle et vérifiée
FROM mcr.microsoft.com/dotnet/aspnet:8.0 AS base
WORKDIR /app
# Créer un utilisateur non-root
RUN adduser -u 5678 --disabled-password --gecos "" appuser && chown -R appuser /app
USER appuser

FROM mcr.microsoft.com/dotnet/sdk:8.0 AS build
WORKDIR /src
COPY ["MyApp.csproj", "./"]
RUN dotnet restore "MyApp.csproj"
COPY . .
RUN dotnet build "MyApp.csproj" -c Release -o /app/build
FROM build AS publish
RUN dotnet publish "MyApp.csproj" -c Release -o /app/publish
FROM base AS final
WORKDIR /app
COPY --from=publish /app/publish .
ENTRYPOINT ["dotnet", "MyApp.dll"]

Gestion des secrets dans les applications .NET conteneurisées

Pour gérer les secrets de manière sécurisée, utilisez les fonctionnalités natives de .NET :

public class Startup
{
    public void ConfigureServices(IServiceCollection services)
    {
        services.AddSecretManager(options =>
        {
            options.UseKeyVault(Configuration["KeyVault:Endpoint"]);
            options.UseManagedIdentity();
        });
    }
}

Scanning de vulnérabilités

Intégrez des outils de scanning dans votre pipeline CI/CD :

# azure-pipelines.yml
steps:
- task: Container-Security-Scan@0
  inputs:
    dockerRegistryEndpoint: 'Docker Hub'
    repository: 'myapp'
    tag: '$(Build.BuildId)'
    failOnCVSS: '7'

Bonnes pratiques de sécurité pour .NET en conteneurs

• Utilisez des images de base officielles Microsoft
• Activez les fonctionnalités de sécurité .NET comme HTTPS par défaut
• Implémentez la journalisation sécurisée
• Configurez correctement les middlewares de sécurité

Configuration du middleware de sécurité ASP.NET Core

public void Configure(IApplicationBuilder app, IWebHostEnvironment env)
{
    app.UseHsts();
    app.UseHttpsRedirection();
    
    app.UseSecurityHeaders(policies =>
        policies
            .AddDefaultSecurityHeaders()
            .AddStrictTransportSecurityMaxAge()
            .AddXssProtection()
            .AddContentTypeOptionsNoSniff()
    );
    
    app.UseCors(policy => 
        policy.WithOrigins("https://allowed-origin.com")
              .AllowAnyMethod()
              .AllowAnyHeader()
    );
}

Tests de sécurité des conteneurs

Exemple de test d'intégration pour la sécurité :

[Fact]
public async Task Container_ShouldNotRunAsRoot()
{
    // Arrange
    var client = new DockerClientConfiguration()
        .CreateClient();
    
    // Act
    var container = await client.Containers.InspectContainerAsync("myapp");
    
    // Assert
    Assert.NotEqual("0", container.Config.User);
}

Monitoring et logging sécurisé

Implémentez un logging sécurisé avec Serilog :

public static IHostBuilder CreateHostBuilder(string[] args) =>
    Host.CreateDefaultBuilder(args)
        .UseSerilog((context, services, configuration) => configuration
            .ReadFrom.Configuration(context.Configuration)
            .ReadFrom.Services(services)
            .Enrich.FromLogContext()
            .WriteTo.Console()
            .WriteTo.ApplicationInsights(
                services.GetRequiredService(),
                TelemetryConverter.Traces,
                LogEventLevel.Information)
        );

Gestion des performances et ressources

Configurez les limites de ressources dans Docker Compose :

version: '3.8'
services:
  webapp:
    build: .
    deploy:
      resources:
        limits:
          cpus: '0.50'
          memory: 512M
        reservations:
          cpus: '0.25'
          memory: 256M
    security_opt:
      - no-new-privileges:true

Conclusion

La sécurisation des conteneurs Docker pour les applications .NET nécessite une approche holistique, combinant les meilleures pratiques de Docker et les fonctionnalités de sécurité natives de .NET. Assurez-vous de :

• Maintenir vos images et dépendances à jour
• Implémenter une stratégie de gestion des secrets robuste
• Effectuer des audits de sécurité réguliers
• Suivre les recommandations de Microsoft pour la sécurité .NET

En suivant ces directives, vous pourrez déployer des applications .NET conteneurisées de manière sécurisée et maintenir leur intégrité dans le temps.