Container Escape Saldırıları: Docker Ortamlarında Gerçek Riskler

Container Escape Nedir?

Container escape, bir saldırganın container içinden çıkarak host işletim sistemine veya diğer container’lara erişim sağlamasıdır.

Bu durum gerçekleştiğinde saldırgan:

1. 1. Host dosya sistemine erişebilir
   2. Diğer container’ları manipüle edebilir
   3. Yetki yükseltme gerçekleştirebilir
   4. Tüm cluster üzerinde kontrol sağlayabilir

İzolasyon kırıldığında zincirleme etki başlar.

Neden Gerçek Bir Risk?

Docker ve benzeri container platformları varsayılan olarak güvenli tasarlanmıştır. Ancak yanlış yapılandırmalar, eski sürümler ve zayıf erişim kontrolleri bu güvenliği aşındırır.

Risk genellikle şu durumlarda artar:

1. Privileged Container Kullanımı

--privileged parametresi ile başlatılan container’lar host üzerinde geniş yetkilere sahip olur. Bu, güvenlik bariyerlerini inceltir.

2. Host Mount Edilmiş Volume’ler

Container içine /var/run/docker.sock gibi kritik soketlerin mount edilmesi, saldırgana Docker daemon üzerinde kontrol imkânı verebilir.

3. Kernel Zafiyetleri

Container’lar aynı kernel’i paylaşır. Kernel seviyesinde bir güvenlik açığı varsa, izolasyon katmanı aşılabilir.

4. Root Olarak Çalışan Container’lar

Root kullanıcı ile çalışan uygulamalar, yetki yükseltme riskini artırır. Container içindeki root, doğru yapılandırılmadıysa host root’a dönüşebilir.

Gerçek Dünya Senaryosu

Bir web uygulaması container içinde çalışıyor. Uygulamada RCE zafiyeti var. Saldırgan container içine erişiyor.

Eğer:

1. 1. Container privileged ise
   2. Docker socket mount edilmişse
   3. AppArmor veya SELinux profili uygulanmamışsa

Saldırgan yeni container başlatabilir, host dosya sistemini mount edebilir ve kontrolü ele geçirebilir.

Bu noktada mesele artık uygulama güvenliği değil, altyapı ihlalidir.

Kubernetes Ortamlarında Risk Daha Büyük

Container escape yalnızca tek bir Docker host’u etkilemez. Kubernetes ortamında başarılı bir escape:

1. 1. Node ele geçirilmesine
   2. Service account token’larının çalınmasına
   3. Cluster-wide erişime

yol açabilir.

Yanlış yapılandırılmış RBAC politikaları ve pod security ayarları bu riski büyütür.

Savunma Stratejileri

Container escape riskini azaltmak için çok katmanlı güvenlik yaklaşımı gerekir.

1. Least Privilege Prensibi

1. 1. Container’ları root olarak çalıştırmayın
   2. Privileged moddan kaçının
   3. Minimal capability setleri kullanın

2. Host Güvenliği

1. 1. Kernel güncellemelerini düzenli yapın
   2. AppArmor veya SELinux kullanın
   3. Seccomp profilleri uygulayın

3. Image Güvenliği

1. 1. Güvenilir registry kullanın
   2. Image taraması yapın
   3. Minimal base image tercih edin

4. Runtime İzleme

1. 1. Davranışsal anomali tespiti
   2. Runtime security araçları
   3. Erişim ve sistem çağrısı izleme

5. Docker Socket’i Koruma

/var/run/docker.sock erişimini sınırlandırın. Bu dosya fiilen root yetkisi anlamına gelir.

Yanlış Güven Algısı

Container kullanmak otomatik olarak güvenli olmak anlamına gelmez. İzolasyon vardır ama bu bir sanallaştırma katmanı değildir. VM’lere göre daha ince bir sınır söz konusudur.

Container güvenliği şu üç soruya dayanır:

1. 1. İzolasyon ne kadar sıkı?
   2. Yetkiler ne kadar kısıtlı?
   3. Runtime davranış ne kadar izleniyor?

Sonuç

Container escape saldırıları nadir ama etkisi yüksektir. Başarılı bir kaçış, uygulama seviyesinden altyapı seviyesine sıçrayan bir kriz yaratır.

Modern DevOps hızının içinde güvenlik geri planda kalırsa, container sınırları bir güvenlik duvarı değil ince bir perdeye dönüşebilir.

Kısacası mesele container kullanmak değil, container’ı doğru şekilde çalıştırmaktır. Çünkü izolasyon güçlüdür ama dikkatsiz yapılandırma karşısında kırılganlaşır.