Docker konteyner adli analizi, bir konteynerin ve onu oluşturan yapıların incelenerek içeride ne olduğuna dair kanıt çıkarılmasıdır. Konteynerler kısa ömürlü ve değişmez olmaya eğilimli olduğundan, klasik bir sunucu incelemesinden farklı düşünmeyi gerektirir: bir konteyner silindiğinde çoğu iz kaybolur, ama Docker’ın katmanlı mimarisi ve arka plan verileri, doğru bilinirse zengin bir kanıt kaynağıdır.

Docker adli analizi, kısa ömürlü ve değişmez konteynerlerin ardında Docker’ın katmanlı dosya sisteminin ve host kayıtlarının bıraktığı izi okumaktır.

Katmanlı Yapı Kanıt Sağlar

Docker imajları salt okunur katmanlardan oluşur; konteyner çalışırken bunların üzerine yazılabilir bir katman eklenir ve çalışma sırasında yapılan tüm değişiklikler yalnızca bu üst katmana yazılır. Adli açıdan bu ayrım altın değerindedir, çünkü yazma katmanı konteynerin ömrü boyunca oluşturulan ya da değiştirilen dosyaları izole biçimde barındırır. Bir saldırgan konteyner içine araç indirdiyse ya da yapılandırmayı değiştirdiyse, bu değişiklikler orijinal imajı bozmadan yazma katmanında durur ve host üzerinde bir dizin olarak erişilebilir. Bu katmanların incelenmesi doğrudan Dosya sistemi adli analizi alanına girer.

İmajın Kendisini İncelemek

Konteynerin türediği imaj da başlı başına bir kanıttır. Bir imaj, üst üste binmiş komutların oluşturduğu katmanlardan meydana gelir ve her katman inşa sırasında ne eklendiğini gösterir; bu geçmiş, imaja gizlice yerleştirilmiş bir arka kapıyı ya da zararlı bir bağımlılığı ele verebilir. Silinmiş sanılan bir dosya bile alt katmanlarda varlığını sürdürebildiğinden, katman katman inceleme çoğu kez yüzeyde görünmeyeni açığa çıkarır; bu yöntem Konteyner görüntüsü katman analizi ile iç içedir.

Kaçış İzleri ve Host İlişkisi

Konteyner incelemesinde en kritik senaryolardan biri, saldırganın konteyner sınırını aşıp host makineye ulaşmasıdır. Bu tür bir Konteynerden kaçış girişimi, konteyner günlüklerinde, aşırı yetkili bağlama noktalarında ve host çekirdek olaylarında iz bırakır. Bu nedenle analist konteyneri hiçbir zaman host’tan yalıtık düşünmez; konteynerin ağ yapılandırmasını, bağlanan birimleri ve host’un kendi günlüklerini birlikte değerlendirir. Çalışan bir konteynerin belleği ve süreç listesi de, henüz kaybolmamış kanıt için hızla toplanır.

Pratikte incelemenin sırası önemlidir. Öncelikle çalışan konteynerin uçucu durumu, yani süreçleri ve ağ bağlantıları toplanır; ardından yazma katmanı ve imaj katmanları dışa aktarılır; en son Docker’ın kendi meta verisi ve host günlükleri birleştirilir. Bu düzen, kaybolması en muhtemel kanıtı ilk sıraya koyar.

• Çalışan konteynerin süreç, ağ ve bellek durumunu topla
• Yazılabilir üst katmanı host üzerinden dışa aktar ve incele
• İmaj katmanlarını inşa geçmişiyle birlikte çözümle
• Host günlükleri ve bağlama noktalarında kaçış izlerini ara

Konteyner mimarisinin hızı, doğru bilinmediğinde kanıtın hızla kaybolmasına da yol açar; bu yüzden konteyner olaylarında zamanında ve doğru sırayla toplama belirleyicidir. Privia Security konteyner, host ve imaj kaynaklarını tek bir DFIR adli analiz ve olay müdahalesi akışında değerlendirir; konteyner tabanlı bir ihlalde adli analiz ekibimiz katmanların derinine iner.