análisis-de-forense-de-contenedores-docker

Análisis de Forense de Contenedores Docker

Cuándo Usarlo

• Al investigar un contenedor Docker o un host contenedor comprometido
• Para analizar imágenes Docker maliciosas extraídas de registros
• Durante la respuesta a incidentes que involucran brechas en aplicaciones contenerizadas
• Al examinar intentos de escape de contenedores o escalada de privilegios
• Para auditar configuraciones de contenedores e identificar malas configuraciones

Prerrequisitos

• Acceso a la CLI de Docker en la estación de trabajo forense
• Acceso al sistema de archivos del host Docker (imagen forense o en vivo)
• Comprensión del sistema de archivos en capas de Docker (overlay2, aufs)
• dive, docker-explorer o container-diff para análisis de imágenes
• Conocimiento de la configuración del daemon Docker y seguridad del socket
• Trivy o Grype para escaneo de vulnerabilidades de imágenes de contenedores

Flujo de Trabajo

Paso 1: Preservar el Estado del Contenedor y las Pruebas

# Listar todos los contenedores (incluyendo detenidos)
docker ps -a --no-trunc > /cases/case-2024-001/docker/container_list.txt

# Inspeccionar el contenedor comprometido
CONTAINER_ID="abc123def456"
docker inspect $CONTAINER_ID > /cases/case-2024-001/docker/container_inspect.json

# Exportar el sistema de archivos del contenedor como un tarball (preserva el estado actual)
docker export $CONTAINER_ID > /cases/case-2024-001/docker/container_export.tar

# Crear una imagen a partir del estado actual del contenedor
docker commit $CONTAINER_ID forensic-evidence:case-2024-001
docker save forensic-evidence:case-2024-001 > /cases/case-2024-001/docker/container_image.tar

# Capturar los registros del contenedor
docker logs $CONTAINER_ID --timestamps > /cases/case-2024-001/docker/container_logs.txt 2>&1

# Capturar procesos en ejecución (si el contenedor sigue en ejecución)
docker top $CONTAINER_ID > /cases/case-2024-001/docker/container_processes.txt

# Capturar conexiones de red
docker exec $CONTAINER_ID netstat -tlnp 2>/dev/null > /cases/case-2024-001/docker/container_network.txt

# Copiar archivos específicos del contenedor
docker cp $CONTAINER_ID:/var/log/ /cases/case-2024-001/docker/container_var_log/
docker cp $CONTAINER_ID:/tmp/ /cases/case-2024-001/docker/container_tmp/
docker cp $CONTAINER_ID:/etc/passwd /cases/case-2024-001/docker/container_passwd

# Generar hash de todas las pruebas exportadas
sha256sum /cases/case-2024-001/docker/*.tar > /cases/case-2024-001/docker/evidence_hashes.txt

Paso 2: Analizar las Capas de la Imagen del Contenedor

# Instalar dive para análisis de capas de imagen
wget https://github.com/wagoodman/dive/releases/latest/download/dive_linux_amd64.deb
sudo dpkg -i dive_linux_amd64.deb

# Analizar capas de imagen interactivamente
dive forensic-evidence:case-2024-001

# Análisis de capas no interactivo
dive forensic-evidence:case-2024-001 --ci --json /cases/case-2024-001/docker/dive_analysis.json

# Extraer y examinar capas individuales
mkdir -p /cases/case-2024-001/docker/layers/
tar -xf /cases/case-2024-001/docker/container_image.tar -C /cases/case-2024-001/docker/layers/

# Listar el manifiesto de la imagen y el orden de las capas
cat /cases/case-2024-001/docker/layers/manifest.json | python3 -m json.tool

# Examinar cada capa para detectar cambios
for layer in /cases/case-2024-001/docker/layers/*/layer.tar; do
    echo "=== Capa: $(dirname $layer | xargs basename) ==="
    tar -tf "$layer" | head -20
    echo "..."
done

# Usar container-diff para comparar con la imagen base original
# Instalar container-diff
curl -LO https://storage.googleapis.com/container-diff/latest/container-diff-linux-amd64
chmod +x container-diff-linux-amd64

# Comparar la imagen confirmada con la original
./container-diff-linux-amd64 diff daemon://nginx:latest daemon://forensic-evidence:case-2024-001 \
   --type=file --type=apt --type=history --json \
   > /cases/case-2024-001/docker/container_diff.json

Paso 3: Examinar los Artefactos del Host Docker

# Directorio de datos de Docker (predeterminado: /var/lib/docker/)
DOCKER_ROOT="/mnt/evidence/var/lib/docker"

# Examinar las capas del sistema de archivos overlay2
ls -la $DOCKER_ROOT/overlay2/

# Buscar el sistema de archivos fusionado del contenedor
CONTAINER_HASH=$(docker inspect $CONTAINER_ID --format '{{.GraphDriver.Data.MergedDir}}' 2>/dev/null)
# O manualmente desde la imagen forense:
# Busca en /var/lib/docker/containers/<container_id>/config.v2.json

# Analizar archivos de configuración del contenedor
cat $DOCKER_ROOT/containers/$CONTAINER_ID/config.v2.json | python3 -m json.tool \
   > /cases/case-2024-001/docker/container_config.json

# Verificar la configuración del daemon Docker
cat /mnt/evidence/etc/docker/daemon.json 2>/dev/null > /cases/case-2024-001/docker/daemon_config.json

# Examinar el registro de eventos de Docker
cat $DOCKER_ROOT/containers/$CONTAINER_ID/*.log > /cases/case-2024-001/docker/container_json_logs.txt

# Verificar montajes de volúmenes (posible acceso al sistema de archivos del host)
python3 << 'PYEOF'
import json

with open('/cases/case-2024-001/docker/container_inspect.json') as f:
    data = json.load(f)

inspect = data[0] if isinstance(data, list) else data

print("=== ANÁLISIS DE SEGURIDAD DEL CONTENEDOR ===\n")

# Verificar montajes
print("Montajes de Volúmenes:")
for mount in inspect.get('Mounts', []):
    rw = "LECTURA-ESCRITURA" if mount.get('RW') else "SÓLO LECTURA"
    print(f"  {mount.get('Source', 'N/A')} -> {mount.get('Destination', 'N/A')} ({rw})")
    if mount.get('Source') in ('/', '/etc', '/var', '/root') and mount.get('RW'):
        print(f"    ADVERTENCIA: Ruta del host sensible montada en lectura-escritura!")

# Verificar modo privilegiado
host_config = inspect.get('HostConfig', {})
if host_config.get('Privileged'):
    print("\nADVERTENCIA: El contenedor se ejecutaba en modo PRIVILEGIADO!")

# Verificar capacidades
cap_add = host_config.get('CapAdd', [])
if cap_add:
    print(f"\nCapacidades Añadidas: {cap_add}")
    dangerous_caps = ['SYS_ADMIN', 'SYS_PTRACE', 'NET_ADMIN', 'SYS_MODULE']
    for cap in cap_add:
        if cap in dangerous_caps:
            print(f"  ADVERTENCIA: Capacidad peligrosa: {cap}")

# Verificar espacio de nombres PID
if host_config.get('PidMode') == 'host':
    print("\nADVERTENCIA: El contenedor comparte el espacio de nombres PID del host!")

# Verificar modo de red
if host_config.get('NetworkMode') == 'host':
    print("\nADVERTENCIA: El contenedor comparte el espacio de nombres de red del host!")

# Verificar usuario
user = inspect.get('Config', {}).get('User', 'root (predeterminado)')
print(f"\nEjecutándose como usuario: {user}")

# Verificar variables de entorno en busca de secretos
env_vars = inspect.get('Config', {}).get('Env', [])
print(f"\nVariables de Entorno: {len(env_vars)}")
for env in env_vars:
    key = env.split('=')[0]
    if any(s in key.upper() for s in ['PASSWORD', 'SECRET', 'KEY', 'TOKEN', 'CREDENTIAL']):
        print(f"  SENSIBLE: {key}=***REDACTADO***")
PYEOF

Paso 4: Analizar los Cambios en el Sistema de Archivos del Contenedor

# Comparar el sistema de archivos del contenedor con la imagen original
docker diff $CONTAINER_ID > /cases/case-2024-001/docker/filesystem_changes.txt

# A = Añadido, C = Cambiado, D = Eliminado
# Analizar cambios
python3 << 'PYEOF'
added = []
changed = []
deleted = []

with open('/cases/case-2024-001/docker/filesystem_changes.txt') as f:
    for line in f:
        line = line.strip()
        if line.startswith('A '):
            added.append(line[2:])
        elif line.startswith('C '):
            changed.append(line[2:])
        elif line.startswith('D '):
            deleted.append(line[2:])

print(f"Archivos Añadidos: {len(added)}")
print(f"Archivos Cambiados: {len(changed)}")
print(f"Archivos Eliminados: {len(deleted)}")

# Marcar adiciones sospechosas
suspicious = [f for f in added if any(s in f for s in
    ['/tmp/', '/dev/shm/', '/root/', '.sh', '.py', '.elf', 'reverse', 'shell', 'backdoor'])]
if suspicious:
    print(f"\nArchivos Añadidos Sospechosos:")
    for f in suspicious:
        print(f"  {f}")

# Marcar cambios sospechosos
sus_changed = [f for f in changed if any(s in f for s in
    ['/etc/passwd', '/etc/shadow', '/etc/crontab', '/etc/ssh', '.bashrc'])]
if sus_changed:
    print(f"\nArchivos Cambiados Sospechosos:")
    for f in sus_changed:
        print(f"  {f}")
PYEOF

# Extraer y examinar la exportación del contenedor
mkdir -p /cases/case-2024-001/docker/container_fs/
tar -xf /cases/case-2024-001/docker/container_export.tar -C /cases/case-2024-001/docker/container_fs/

# Escanear webshells y archivos maliciosos
find /cases/case-2024-001/docker/container_fs/tmp/ -type f -exec file {} \;
find /cases/case-2024-001/docker/container_fs/ -name "*.php" -newer /cases/case-2024-001/docker/container_fs/etc/hostname

Paso 5: Escanear Vulnerabilidades y Generar Informe

# Escanear la imagen en busca de vulnerabilidades conocidas
trivy image forensic-evidence:case-2024-001 \
   --format json \
   --output /cases/case-2024-001/docker/vulnerability_scan.json

# Escanear el sistema de archivos exportado
trivy fs /cases/case-2024-001/docker/container_fs/ \
   --format table \
   --output /cases/case-2024-001/docker/fs_vulnerabilities.txt

# Verificar secretos en la imagen
trivy image forensic-evidence:case-2024-001 \
   --scanners secret \
   --format json \
   --output /cases/case-2024-001/docker/secrets_scan.json

Conceptos Clave

Concepto	Descripción
Capas de imagen	Capas del sistema de archivos de solo lectura apiladas para formar la imagen del contenedor
overlay2	Controlador de almacenamiento predeterminado de Docker que usa un sistema de archivos de unión para las capas
Diferencia de contenedor	Comparación de los cambios en el sistema de archivos en tiempo de ejecución con respecto a la imagen original
Modo privilegiado	Contenedor con capacidades completas del host (omite la mayoría del aislamiento)
Socket Docker	Socket Unix (/var/run/docker.sock) que controla el daemon Docker
Escape de contenedor	Técnica para salir del aislamiento del contenedor hacia el host
Montajes de volúmenes	Rutas del sistema de archivos del host accesibles dentro del contenedor
Historial de imagen	Registro de instrucciones Dockerfile utilizadas para construir cada capa

Herramientas y Sistemas

Herramienta	Propósito
docker inspect	Información detallada de configuración y estado del contenedor
docker diff	Mostrar cambios en el sistema de archivos realizados en un contenedor en ejecución/detenido
dive	Herramienta interactiva de análisis de capas de imagen Docker
container-diff	Herramienta de Google para comparar el contenido de imágenes de contenedores
Trivy	Escáner de vulnerabilidades para imágenes de contenedores y sistemas de archivos
docker-explorer	Herramienta forense para análisis offline de artefactos Docker
Sysdig	Monitorización de seguridad en tiempo de ejecución de contenedores y análisis forense
Falco	Detección de amenazas en tiempo de ejecución para contenedores y Kubernetes

Escenarios Comunes

Escenario 1: Compromiso de Contenedor de Aplicación Web Exportar el sistema de archivos del contenedor, identificar webshells en la raíz web, analizar registros de acceso para intentos de explotación, verificar archivos añadidos y configuraciones modificadas, examinar conexiones de red para comunicación C2, revisar capacidades del contenedor para rutas de escalada.

Escenario 2: Ataque a la Cadena de Suministro mediante Imagen Maliciosa Analizar capas de imagen con dive para identificar qué capa añadió contenido malicioso, comparar con la imagen base oficial usando container-diff, verificar el historial de la imagen en busca de comandos RUN sospechosos, escanear puertas traseras incrustadas y criptomineros, rastrear la extracción de la imagen desde los registros del registro.

Escenario 3: Investigación de Escape de Contenedor Verificar si el contenedor se ejecutó en modo privilegiado o con capacidades peligrosas, examinar los puntos de montaje del sistema de archivos del host en busca de acceso no autorizado, revisar el montaje del socket Docker que permite el abuso de Docker-en-Docker, analizar los registros del sistema host en busca de indicadores de escape de contenedor, verificar artefactos de exploits del kernel.

Escenario 4: Criptominería en Entorno de Contenedores Identificar contenedores con alto uso de CPU, exportar y analizar la imagen del contenedor en busca de binarios de minería, verificar imágenes no autorizadas en el registro, revisar eventos de creación de contenedores para implementaciones maliciosas, examinar conexiones de red para comunicaciones con grupos de minería.

Formato de Salida

Resumen de Forense de Contenedores Docker:
  Contenedor: abc123def456 (nginx-app)
  Imagen: company/web-app:v2.1
  Estado: En ejecución (iniciado 2024-01-10 09:00 UTC)
  Host: docker-host-01.corp.local

  Configuración de Seguridad:
    Privilegiado: No
    Capacidades Añadidas: NET_ADMIN (ADVERTENCIA)
    Montajes de Volúmenes: /var/log -> /host-logs (RW)
    Modo de Red: bridge
    Usuario: root (ADVERTENCIA)

  Cambios en el Sistema de Archivos:
    Añadidos: 23 archivos (5 sospechosos)
    Cambiados: 12 archivos (2 sospechosos)
    Eliminados: 0 archivos

  Hallazgos Sospechosos:
    /tmp/reverse.sh - Script de shell reverso (Añadido)
    /var/www/html/.hidden/shell.php - Webshell PHP (Añadido)
    /etc/crontab - Modificado (entrada de persistencia cron añadida)
    /root/.ssh/authorized_keys - Modificado (clave no autorizada añadida)

  Escaneo de Vulnerabilidades:
    Críticas: 3 (CVE-2024-xxxx en imagen base)
    Altas: 12
    Medias: 34

  Pruebas: /cases/case-2024-001/docker/