Чтобы завтра не просыпаться от ночных кошмаров про утечку данных, прочитайте сегодня нашу новую статью «От capabilities к AppArmor: что реально остановит атакующего в контейнере»

В новой статье на Хабре разбираем реальный сценарий:
→ атакующий получает возможность выполнять команды внутри контейнера;
→ capabilities ограничивают опасные привилегии;
→ seccomp блокирует определённые системные вызовы;
→ AppArmor запрещает доступ к чувствительным данным даже тогда, когда предыдущие уровни защиты уже пройдены.

На примере одного контейнера показываем, какие атаки останавливает каждый механизм, где проходят границы их возможностей и почему в Kubernetes их стоит использовать вместе, а не по отдельности. Если работаете с Kubernetes, DevOps или безопасностью контейнеров, материал поможет лучше понять, как выстраивать многоуровневую защиту на практике: https://otus.pw/4bCL/