# Czym jest bezpieczeństwo kontenerów?

> Bezpieczeństwo kontenerów (container security) to zbiór praktyk i kontroli używanych do ochrony obrazów kontenerów, rejestrów, środowisk wykonawczych, orkiestratorów, systemów hostów, sieci, tożsamości, sekretów i potoków dostarczania przez cały cykl życia kontenera.

- Kanoniczny adres URL: https://yellowcube.eu/pl/glossary/container-security/
- Wydawca: Yellow Cube
- Język: pl
- Kontakt: hello@yellowcube.eu

## Treść

Zaczyna się przed zbudowaniem obrazu i trwa przez wdrożenie, eksploatację, reagowanie na incydenty i wycofanie. Nie ogranicza się do skanowania obrazu pod kątem znanych podatności oprogramowania.

Kontenery normalnie zapewniają izolację na poziomie systemu operacyjnego i współdzielą jądro hosta, w przeciwieństwie do maszyn wirtualnych z osobnymi jądrami gości. Ich bezpieczeństwo zależy zatem zarówno od konfiguracji kontenera, jak i otaczającej platformy. Uprzywilejowany kontener, niebezpieczny mont hosta, eksponowane API orkiestratora, skompromitowany rejestr lub podatny węzeł mogą podkopać inaczej dobrze zbudowany kod aplikacji.

### Najważniejsze punkty

- **Zabezpiecz łańcuch dostaw:** Używaj minimalnych utrzymywanych obrazów bazowych, przypinaj i weryfikuj zależności, chroń systemy budowy i rejestry, produkuj pochodzenie, skanuj artefakty i odbudowuj, gdy poprawki staną się dostępne.
- **Wzmacniaj wdrożenie:** Uruchamiaj jako użytkownik nieuprzywilejowany (non-root), odrzucaj niepotrzebne możliwości Linuxa, ograniczaj eskalację uprawnień i dostęp do hosta, używaj systemów plików tylko do odczytu tam, gdzie praktyczne, oraz wymuszaj polityki zasobów i admisji.
- **Chroń platformę:** Ograniczaj administrację orkiestratorem i węzłami, stosuj RBAC i tożsamości obciążeń, segmentuj ścieżki sieciowe, chroń sekrety i dane płaszczyzny sterowania oraz utrzymuj hosty i komponenty runtime załatane.
- **Monitoruj i reaguj:** Rejestruj zdarzenia wdrożeń i audytu, wykrywaj nieoczekiwane procesy, pliki, połączenia lub zmiany uprawnień, zachowuj użyteczne dowody i zastępuj skompromitowane obciążenia z zaufanych artefaktów.
- **Istotne ograniczenie:** Kontener nie jest automatycznie silną granicą bezpieczeństwa. Wady współdzielonego jądra, tryby uprzywilejowane, słaba polityka, eksponowane interfejsy zarządzania lub niebezpieczna integracja z hostem mogą umożliwić ucieczkę lub szerszą kompromitację platformy.

### Powiązane terminy

[Bezpieczeństwo Kubernetes](<https://yellowcube.eu/pl/glossary/kubernetes-security/>) · [Platforma ochrony obciążeń chmurowych (CWPP)](<https://yellowcube.eu/pl/glossary/cloud-workload-protection-platform/>) · [Bezpieczeństwo łańcucha dostaw](<https://yellowcube.eu/pl/glossary/supply-chain-security/>) · [DevSecOps](<https://yellowcube.eu/pl/glossary/devsecops/>)

### Źródła

[NIST SP 800-190: Application Container Security Guide](https://csrc.nist.gov/pubs/sp/800/190/final) · [Kubernetes Security Checklist](https://kubernetes.io/docs/concepts/security/security-checklist/) · [Kubernetes Pod Security Standards](https://kubernetes.io/docs/concepts/security/pod-security-standards/)

## Budujmy skuteczniejszą cyberobronę razem

Budujemy trwałe partnerstwa oparte na zaufaniu, wiedzy i wspólnych sukcesach. Chcesz rozwijać firmę, poszerzyć ofertę cyberbezpieczeństwa lub wprowadzić innowacyjne rozwiązania na nowe rynki? Yellow Cube wspiera Cię na każdym z tych etapów.

[Skontaktuj się z Yellow Cube](<mailto:hello@yellowcube.eu?subject=Partnership>)

## Źródło i zakres informacji

Ta wersja Markdown jest generowana z tych samych zatwierdzonych treści co kanoniczna strona HTML. Przy cytowaniu użyj kanonicznego adresu URL.