Пусть ваши контейнеры всегда будут в безопасности!

А как это сделать — можно узнать из серии статей от Datadog.

▪️Часть 1 "Container security fundamentals: Exploring containers as processes" — первым шагом к пониманию того, как работают контейнеры Linux, является осознание того, что это всего лишь процессы. Этому и посвящена первая часть.

▪️Часть 2 "Container security fundamentals: Isolation & namespaces" — роль Namespaces в изоляции контейнеров.

▪️Часть 3 "Container security fundamentals: Capabilities" — что такое Capabilities, зачем нужны и как их можно использовать.

▪️Часть 4 "Container security fundamentals: Cgroups" — что такое cgroups, как они обеспечивают каждому процессу доступ к необходимым ресурсам. Описано несколько аспектов безопасности cgroups, в том числе то, как их можно использовать для снижения риска атак типа "denial-of-service" и управления доступом контейнеров к определенным устройствам на хосте.

Бонус:

⚙️ Репозиторий "Безопасность контейнеров" — пожалуй, лучший репозиторий на эту тему. Есть ссылки на дополнительные материалы.

⚙️ Статья на Хабре "Чек-лист по безопасности контейнеров" — чек-лист в виде вопросов, которые стоит задать себе, чтобы отловить наиболее вероятные уязвимости.

#статьи #Хабр