AWS представи специализирана ОС за работа със софтуерни контейнери

Представена по-рано тази година в състояние на предварителен общ преглед, Amazon Web Services направи широкодостъпна Bottlerocket, специализирана Линукс дистрибуция с открит код за управление на софтуерни контейнери.

Популярните Линукс дистрибуции имат вградените възможности за управлението на контейнери, но също така и за изпълнението на редица различни работни натоварвания. И понеже, те подкрепят изпълнението на различни сценарии, те съдържат множество компоненти, които е трудно да бъдат управлявани едновременно, посочват от Silcon Angle. При работата си по Bottlerocket обаче, AWS изоставят много от тези стандартни за всяка Линукс инсталация компоненти и запазват единствено тези, които са нужни само за изпълнението на работни задачи, свързани с управлението на софтуерни контейнери, създавайки операционна система, която, както посочват от компанията, е както по-лесна за управление, така и по-сигурна. Допълнителният слой защита идва от по-малката кодова база на Bottlerocket, която оставя по-малко вектори за атака. Освен това, AWS интегрира в системата няколко допълнителни защитни механизми, които да предпазват от заплахи. Инженерите на AWS са пренаписали голяма част от Bottlerocket на програмния език Rust, който не е така податлив на атаки, насочени към препълване на буфера, отколкото C, на който основно е написано ядрото на Линукс.

AWS са направили също така че Bottlerocket да е по-защитен срещу т.нар. „устойчиви заплахи“ – тип зловредни програми, които превземат ключови компоненти на операционната система и ги експлоатират, за да прикрият следите си. Тази защита идва с помощта на механизъм, наречен dm-verify (Device-mapper’s verity target). Той проверява целостта на частите на операционната система и засича нейни части, които може да са били променени без разрешение. В системата е активиран по подразбиране също така Security-Enhanced Linux (SELinux) в засилен (enforced) режим, който осигурява изолация между контейнеризираните работни натоварвания.

„Bottlerocket налага също така и оперативен модел, който допълнително подобрява сигурността чрез деактивирането на административни връзки към продуктови сървъри“, обяснява в блог публикация Самартха Чандрашекар, продуктов мениджър в AWS. Административните акаунти често имат широк достъп до облачни инстанции, което ги прави мишена на хакери.

Друга важна характеристика, която отговаря за сигурността и стабилността в Bottlerocket е чрез опростяване на системните обновления. Налагането на промени към операционна система, в която се изпълнява критично важни приложения често е рискован процес, най-малкото заради забавянията, причинени от налагането им, както и от опасността от непредизвикани конфликти и сривове. За тази цел, AWS интегрират в Bottlerocket характеристика с името „атомни ъпдейти“, които позволяват на администриращите да върнат направените промени по операционната система без риск от появата на грешки.

Bottlerocket вече е достъпна за сваляне в GitHub.