1️⃣ Без root
Запускай с
--user - если контейнер взломают, не получат доступ ко всей системе.2️⃣ Никакого privileged
--privileged = полный контроль над хостом. Используй только если ОЧЕНЬ надо.3️⃣ Закрывай лишние порты
Открывай только то, что реально используешь. Остальное - дыра.
4️⃣ Ставь лимиты
--memory и --cpus - чтобы один контейнер не убил весь сервер.5️⃣ Read-only FS
--read-only - нельзя изменить файлы или подложить вредоносный код.6️⃣ Запрет на повышение прав
--security-opt=no-new-privileges - процессы не смогут эскалировать доступ.Главное правило:
контейнеру даёшь ровно столько прав, сколько нужно. Ни больше.
MemOps 🤨