Pruebas de Seguridad de Imágenes
Las pruebas de imágenes de contenedores evalúan la procedencia de la imagen base (registros confiables frente a fuentes públicas), el escaneo de CVE conocidos (paquetes del sistema operativo, dependencias de la aplicación), la firma y verificación de la imagen, la construcción de imágenes mínimas (los paquetes innecesarios amplían la superficie de ataque) y las mejores prácticas de Dockerfile (construcciones de múltiples etapas, usuarios no root, capas de solo lectura).
Pruebas de Configuración en Tiempo de Ejecución
Las pruebas en tiempo de ejecución evalúan si los contenedores se ejecutan como no root, si el modo privilegiado está deshabilitado, si la eliminación de capacidades está implementada, si los sistemas de archivos raíz de solo lectura están aplicados y si los límites de recursos previenen la denegación de servicio. Cada privilegio innecesario es un vector de escape potencial.
Seguridad del Registro
Las pruebas evalúan los controles de acceso al registro, las políticas de extracción de imágenes, la integración del escaneo de vulnerabilidades y si las imágenes no firmadas o no escaneadas se pueden implementar en producción.
Vectores de Escape del Contenedor
Las pruebas investigan vectores de escape: contenedores privilegiados, uso compartido del espacio de nombres del host, montajes de sockets de Docker grabables, explotación de vulnerabilidades del kernel y perfiles seccomp/AppArmor mal configurados. El escape del contenedor es el hallazgo de mayor gravedad en la seguridad del contenedor.
Pruebas con Penetrify
Las pruebas de seguridad de contenedores de Penetrify cubren el análisis de imágenes, la configuración en tiempo de ejecución, la seguridad del registro y las pruebas de vectores de escape, proporcionando la evaluación completa de seguridad de contenedores que requieren los marcos de cumplimiento.
En Resumen
Los contenedores son tan seguros como su configuración. Las vulnerabilidades de las imágenes, los privilegios en tiempo de ejecución y los vectores de escape crean riesgos que los métodos de prueba tradicionales no detectan. Penetrify prueba el ciclo de vida completo del contenedor.