Monitoraggio e Sicurezza dei Container con Docker Sysdig

Codegrind Team•Aug 28 2024

Sysdig è uno strumento potente per il monitoraggio e la sicurezza delle applicazioni containerizzate. Integrato con Docker, Sysdig permette di ottenere visibilità completa sulle performance, sui processi e sulle attività di rete all’interno dei container, fornendo anche funzionalità avanzate per la sicurezza e la conformità. In questa guida, esploreremo come utilizzare Sysdig per monitorare e proteggere i container Docker, coprendo le sue principali funzionalità e best practices per l’uso in ambienti di produzione.

1. Cos’è Sysdig?

Sysdig è una piattaforma di monitoraggio e sicurezza progettata specificamente per ambienti containerizzati. Offre una visibilità in tempo reale sulle operazioni interne dei container, permettendo di monitorare risorse, tracciare attività sospette e garantire la sicurezza delle applicazioni.

Funzionalità Chiave di Sysdig

Monitoraggio delle Risorse: Sysdig monitora l’utilizzo di CPU, memoria, I/O e rete per container, servizi e nodi.
Sicurezza dei Container: Fornisce strumenti di sicurezza per rilevare attività anomale, eseguire controlli di conformità e proteggere le applicazioni da minacce.
Analisi Forense: Permette di eseguire analisi forense sui container, consentendo di tracciare le attività sospette e diagnosticare incidenti di sicurezza.
Visibilità della Rete: Monitora il traffico di rete tra i container, individuando problemi di connettività e attività non autorizzate.

2. Installazione di Sysdig

Installazione di Sysdig su Linux

Sysdig può essere installato su varie distribuzioni Linux utilizzando i pacchetti ufficiali forniti da Sysdig.

Installazione su Ubuntu

Ecco come installare Sysdig su Ubuntu:

Aggiungi il repository di Sysdig:

curl -s https://s3.amazonaws.com/download.draios.com/stable/install-sysdig | sudo bash

Installa Sysdig:
```
sudo apt-get install -y sysdig
```
Verifica l’installazione:
```
sysdig --version
```

Questo comando dovrebbe restituire la versione installata di Sysdig.

Installazione del Modulo Kernel

Sysdig utilizza un modulo kernel per raccogliere informazioni di basso livello dal sistema operativo. Durante l’installazione, il modulo kernel dovrebbe essere installato automaticamente. In caso contrario, puoi installarlo manualmente utilizzando i comandi specifici per la tua distribuzione.

3. Monitoraggio dei Container con Sysdig

Una volta installato, Sysdig può essere utilizzato per monitorare i container Docker e ottenere informazioni dettagliate sulle loro operazioni.

Visualizzare i Processi nei Container

Utilizza il seguente comando per visualizzare i processi in esecuzione all’interno dei container Docker:

sysdig -pc

-p: Formatta l’output dei processi.
-c: Filtra per container, mostrando solo i processi in esecuzione nei container Docker.

Monitorare l’Utilizzo delle Risorse

Sysdig può essere utilizzato per monitorare in tempo reale l’utilizzo delle risorse (CPU, memoria) nei container:

sysdig -c topprocs_cpu

Questo comando mostra i processi con il maggiore utilizzo di CPU all’interno dei container.

Per monitorare l’uso della memoria:

sysdig -c topprocs_mem

Tracciare l’Attività di Rete

Per monitorare il traffico di rete tra i container, utilizza il comando:

sysdig -c spy_users

Questo comando visualizza le connessioni di rete attive e gli utenti connessi.

4. Sicurezza dei Container con Sysdig

Sysdig fornisce potenti strumenti per garantire la sicurezza delle applicazioni containerizzate, rilevando attività anomale e proteggendo i container da minacce.

Rilevare Attività Sospette

Sysdig può essere utilizzato per rilevare attività sospette all’interno dei container, come tentativi di accesso non autorizzati o esecuzione di comandi pericolosi.

sysdig -c suspicious

Questo comando analizza i log dei container e segnala attività sospette che potrebbero indicare una violazione della sicurezza.

Eseguire Controlli di Conformità

Sysdig Secure è una componente di Sysdig che fornisce controlli di conformità per garantire che i container rispettino gli standard di sicurezza richiesti in produzione.

Policy di Sicurezza: Definisci policy di sicurezza per monitorare e proteggere i container da attività non autorizzate.
Audit: Esegui audit regolari sui container per rilevare vulnerabilità e garantire la conformità alle normative di sicurezza.

Analisi Forense dei Container

Sysdig ti permette di eseguire analisi forense su incidenti di sicurezza, ricostruendo gli eventi che hanno portato all’incidente.

sysdig -r <file.scap>

Questo comando legge un file di acquisizione (.scap) generato da Sysdig, permettendo di analizzare dettagliatamente le attività che si sono svolte nel container.

5. Integrazione di Sysdig con Docker

Sysdig può essere integrato con Docker per ottenere visibilità continua sulle operazioni dei container e garantire che le applicazioni siano monitorate e protette in tempo reale.

Eseguire Sysdig come Container Docker

Se preferisci non installare Sysdig direttamente sul sistema host, puoi eseguirlo come container Docker:

docker run -i --rm --name=sysdig --privileged \
  --volume=/var/run/docker.sock:/host/var/run/docker.sock \
  --volume=/dev:/host/dev \
  --volume=/proc:/host/proc:ro \
  --volume=/boot:/host/boot:ro \
  --volume=/lib/modules:/host/lib/modules:ro \
  --volume=/usr:/host/usr:ro \
  sysdig/sysdig

In questo modo, Sysdig monitorerà i container Docker e il sistema host dal proprio container, senza richiedere installazioni aggiuntive.

Configurare Sysdig con Docker Compose

Puoi anche integrare Sysdig in una configurazione Docker Compose per monitorare i servizi in esecuzione:

version: "3.8"

services:
  sysdig:
    image: sysdig/sysdig
    privileged: true
    volumes:
      - /var/run/docker.sock:/host/var/run/docker.sock
      - /dev:/host/dev
      - /proc:/host/proc:ro
      - /boot:/host/boot:ro
      - /lib/modules:/host/lib/modules:ro
      - /usr:/host/usr:ro

Avvia Sysdig insieme ai tuoi servizi utilizzando:

docker-compose up sysdig

6. Best Practices per l’Uso di Sysdig in Produzione

Monitoraggio Continuo

Assicurati di avere un monitoraggio continuo delle risorse e delle attività di sicurezza, configurando alert per notificarti in caso di attività sospette o utilizzo anomalo delle risorse.

Protezione e Conformità

Utilizza Sysdig Secure per implementare policy di sicurezza e garantire che i tuoi container siano conformi agli standard di sicurezza, proteggendo le applicazioni da minacce e vulnerabilità.

Integrazione con CI/CD

Integra Sysdig nelle tue pipeline CI/CD per eseguire controlli di sicurezza automatici e monitorare l’applicazione durante tutto il ciclo di vita, dalla build al deployment in produzione.

Conclusione

Sysdig è uno strumento indispensabile per chi gestisce applicazioni containerizzate in produzione, offrendo un monitoraggio dettagliato e una sicurezza avanzata per i container Docker. Con Sysdig, puoi ottenere visibilità completa sulle operazioni dei container, rilevare e prevenire minacce alla sicurezza, e garantire che le tue applicazioni siano sempre conformi agli standard richiesti. Seguendo le best practices e integrando Sysdig nel tuo flusso di lavoro, potrai mantenere un ambiente sicuro e altamente performante per le tue applicazioni containerizzate.