Образ должен быть минимальным и воспроизводимым
Чем больше пакетов внутри образа, тем больше потенциальная поверхность атаки. Полезно использовать многоэтапную сборку, фиксированные версии зависимостей и минимальный runtime. Образ должен собираться автоматически из репозитория, а не содержать случайные ручные изменения.
Уязвимости нужно искать до запуска
Сканирование образов помогает находить известные проблемы в системных пакетах и библиотечных зависимостях. Но сканер не решает проблему автоматически: нужно понимать, действительно ли уязвимый компонент используется и доступно ли исправление. Политика может блокировать критические находки ещё в CI.
Процессу не нужны лишние привилегии
Контейнер по возможности запускают не от root, файловую систему делают только для чтения там, где это возможно, а Linux capabilities ограничивают. Доступ к сокету контейнерного runtime или хостовым директориям особенно чувствителен. Удобный bind mount иногда фактически снимает большую часть изоляции.
Секреты и сеть требуют отдельного контроля
Пароли и токены нельзя встраивать в образ или коммитить в репозиторий. Их передают через специализированные механизмы секретов и регулярно меняют. Сетевые политики ограничивают ненужные соединения между сервисами. Логи и runtime-мониторинг помогают замечать необычное поведение уже после запуска.
Попробуйте на практике
Провести базовый аудит Dockerfile и конфигурации запуска.
- Проверьте базовый образ и удалите ненужные пакеты.
- Убедитесь, что приложение запускается не от root.
- Найдите секреты в переменных сборки, слоях и конфигурации.
- Проверьте открытые порты и монтируемые директории.
- Запустите сканер уязвимостей и разберите три наиболее критичные находки.
Как проверить результат. Аудит успешен, если для каждого привилегированного доступа есть объяснение, а секреты не хранятся внутри образа.
Частые вопросы
Контейнер безопаснее виртуальной машины?
Это разные модели изоляции. Контейнер легче, но делит ядро хоста, поэтому безопасность сильно зависит от конфигурации runtime.
Достаточно ли сканирования образа?
Нет. Нужны также безопасные права, секреты, сеть, обновления и runtime-наблюдение.
Можно ли запускать всё от root внутри контейнера?
Технически можно, но это увеличивает последствия уязвимости. Лучше использовать минимально необходимые права.
Самостоятельный разбор темы. Содержание конкретной обучающей программы здесь не представлено.