Zaczyna się przed zbudowaniem obrazu i trwa przez wdrożenie, eksploatację, reagowanie na incydenty i wycofanie. Nie ogranicza się do skanowania obrazu pod kątem znanych podatności oprogramowania.
Kontenery normalnie zapewniają izolację na poziomie systemu operacyjnego i współdzielą jądro hosta, w przeciwieństwie do maszyn wirtualnych z osobnymi jądrami gości. Ich bezpieczeństwo zależy zatem zarówno od konfiguracji kontenera, jak i otaczającej platformy. Uprzywilejowany kontener, niebezpieczny mont hosta, eksponowane API orkiestratora, skompromitowany rejestr lub podatny węzeł mogą podkopać inaczej dobrze zbudowany kod aplikacji.
Najważniejsze punkty
Zabezpiecz łańcuch dostawUżywaj minimalnych utrzymywanych obrazów bazowych, przypinaj i weryfikuj zależności, chroń systemy budowy i rejestry, produkuj pochodzenie, skanuj artefakty i odbudowuj, gdy poprawki staną się dostępne.
Wzmacniaj wdrożenieUruchamiaj jako użytkownik nieuprzywilejowany (non-root), odrzucaj niepotrzebne możliwości Linuxa, ograniczaj eskalację uprawnień i dostęp do hosta, używaj systemów plików tylko do odczytu tam, gdzie praktyczne, oraz wymuszaj polityki zasobów i admisji.
Chroń platformęOgraniczaj administrację orkiestratorem i węzłami, stosuj RBAC i tożsamości obciążeń, segmentuj ścieżki sieciowe, chroń sekrety i dane płaszczyzny sterowania oraz utrzymuj hosty i komponenty runtime załatane.
Monitoruj i reagujRejestruj zdarzenia wdrożeń i audytu, wykrywaj nieoczekiwane procesy, pliki, połączenia lub zmiany uprawnień, zachowuj użyteczne dowody i zastępuj skompromitowane obciążenia z zaufanych artefaktów.
Istotne ograniczenieKontener nie jest automatycznie silną granicą bezpieczeństwa. Wady współdzielonego jądra, tryby uprzywilejowane, słaba polityka, eksponowane interfejsy zarządzania lub niebezpieczna integracja z hostem mogą umożliwić ucieczkę lub szerszą kompromitację platformy.