Začíná před sestavením image a pokračuje přes nasazení, provoz, reakci na incidenty a vyřazení. Není omezeno na skenování image na známé softwarové zranitelnosti.
Kontejnery normálně poskytují izolaci na úrovni operačního systému a sdílejí hostitelský kernel, na rozdíl od virtuálních strojů se samostatnými hostovanými kernely. Jejich zabezpečení proto závisí na konfiguraci kontejneru i okolní platformě. Privilegovaný kontejner, nebezpečný hostitelský mount, exponované API orchestrátoru, kompromitovaný registr či zranitelný uzel může podkopat jinak dobře postavený aplikační kód.
Klíčové body
Zabezpečte dodavatelský řetězecPoužívejte minimální udržované základní image, pinujte a ověřujte závislosti, chraňte build systémy a registry, produkujte provenienci, skenujte artefakty a přestavujte, když jsou opravy dostupné.
Zpevněte nasazeníSpouštějte jako non-root uživatel, odstraňujte nepotřebné Linux capability, omezujte eskalaci privilegií a přístup k hostiteli, kde je to praktické používejte read-only souborové systémy a vynucujte politiky prostředků a přijetí.
Chraňte platformuOmezujte správu orchestrátoru a uzlů, uplatňujte RBAC a identity úloh, segmentujte síťové cesty, chraňte tajné údaje a data řídicí roviny a udržujte hostitele a runtime komponenty patchované.
Monitorujte a reagujteZaznamenávejte události nasazení a auditu, detekujte neočekávané procesy, soubory, spojení či změny privilegií, uchovávejte užitečné důkazy a nahrazujte kompromitované úlohy z důvěryhodných artefaktů.
Důležité omezeníKontejner není automaticky silná bezpečnostní hranice. Chyby sdíleného kernelu, privilegované režimy, slabá politika, exponovaná manažerská rozhraní či nebezpečná integrace hostitele mohou umožnit únik či širší kompromitaci platformy.