Aceasta începe înainte ca o imagine să fie construită și continuă prin implementare, operare, răspuns la incidente și retragere. Nu se limitează la scanarea unei imagini pentru vulnerabilități software cunoscute.
Containerele oferă în mod normal izolare la nivel de sistem de operare și împart kernel-ul gazdei, spre deosebire de mașinile virtuale cu kernel-uri guest separate. Securitatea lor depinde prin urmare atât de configurația containerului, cât și de platforma din jur. Un container privilegiat, un mount periculos pe gazdă, un API de orchestrator expus, un registru compromis sau un nod vulnerabil poate submina cod de aplicație altfel bine construit.
Puncte esențiale
Securizați lanțul de aprovizionareFolosiți imagini de bază minimale și menținute, fixați și verificați dependențele, protejați sistemele de build și registrele, produceți proveniență, scanați artefactele și reconstruiți când remedieri devin disponibile.
Intăriți implementareaRulați ca utilizator non-root, eliminați capabilități Linux inutile, restricționați escaladarea privilegiilor și accesul la gazdă, folosiți sisteme de fișiere read-only acolo unde este practic și aplicați politici de resurse și admitere.
Protejați platformaLimitați administrarea orchestratorului și nodurilor, aplicați RBAC și identități de sarcini de lucru, segmentați căile de rețea, protejați secretele și datele planului de control și păstrați gazdele și componentele de runtime patch-uite.
Monitorizați și răspundețiÎnregistrați evenimente de implementare și audit, detectați procese, fișiere, conexiuni sau modificări de privilegii neașteptate, păstrați dovezi utile și înlocuiți sarcinile de lucru compromise din artefacte de încredere.
Limitare importantăUn container nu este automat o frontieră de securitate puternică. Defectele kernelului partajat, modurile privilegiate, politica slabă, interfețele de management expuse sau integrarea nesigură cu gazda pot permite evadarea sau compromiterea mai largă a platformei.