👩‍💻 Обороняем порт. Самый полный гайд по безопасной настройке Docker в 2024.

• Контейнерная виртуализация на базе Docker крайне популярна среди DevOps-специалистов. Она позволяет оперативно раскатать инструменты разработки и тестирования ПО или целые проекты из многих компонентов. Всё бы хорошо, но есть целый класс специфических угроз безопасности (побег из контейнера в хостовую систему, кейсы с эксплуатацией уязвимостей ядра ОС, шатдаун инстанса в результате "отказ в обслуживании", и так далее).

• В этой статье (гайде) описан процесс максимально безопасной настройки Docker. Материал вышел очень объемным и включает в себя практические примеры. Содержание следующее:

• Prerequisites;
• Secure configuration;
• Docker Host;
- Working Environment;
- Configuration audit;
- Lynis;
- Docker Bench for Security;
• Docker Daemon;
- Access control to Docker Daemon;
- Securing docker.sock;
- Granting and revoking permissions;
- Avoiding privileged mode;
- Access to devices;
- Blocking the ability to “granting” (acquiring) permissions;
- Privilege escalation and Linux namespaces;
- Rootless mode;
- Container communication (container isolation);
- Read-only mode;
- Resource utilization control;
- Connecting to a remote Docker Daemon;
- Event logging;
• Containers Security;
- Selecting the Right Image;
- Docker Content Trust (DCT);
- Using your own images;
- Docker build and URL;
- “latest” tag;
- USER command;
- Force UID;
- .dockerignore;
• Automatic images scanning;
- Trivy;
- Docker Scout;
• AppArmor;
• Seccomp;
• SELinux;
• The final piece of the puzzle – application security;
• Docker Desktop Security;
• Updating Software;
• Additional sources of knowledge – where to find information about vulnerabilities;
• History of Changes;
• Support & Feedback.

S.E. ▪️ infosec.work ▪️ VT