@ 030 semakin sedikit Anda menginstal, semakin baik Anda dapat melindungi terhadap layanan / perangkat lunak yang tidak diperlukan yang kurang terpelihara dan / atau berpotensi dieksploitasi. Pengupasan ke minimum akan selalu bekerja lebih baik karena setiap wadah seharusnya digunakan untuk melayani satu layanan.
Docker Bench for Security adalah skrip yang memeriksa puluhan praktik terbaik umum seputar penerapan wadah Docker dalam produksi. Semua pengujian dilakukan secara otomatis, dan terinspirasi oleh Benchmark Edisi Komunitas CIS Docker v1.1.0 .
Seperti halnya setiap bug perangkat lunak lain di-dev akan terjadi, fitur tidak aman mungkin ditambahkan, mungkin ada kekurangan arsitektur yang mengarah pada pelanggaran keamanan. Jangan meremehkan ini! Sistem Anda mungkin benar-benar aman hari ini, tetapi dengan tambalan mulai minggu depan seseorang menemukan bug, menulis exploit, dan tiba-tiba sistem Anda terbuka lebar.
Jika seseorang melarikan diri dari wadah Docker, penyerang itu ada di mesin yang sebenarnya segera. Tidak ada gerbang kedua seperti virtualisasi yang akan mencegah pelanggaran.
Kode apa pun yang dijalankan di dalam wadah Docker dijalankan tanpa pertanyaan dari Docker. Penyerang apa pun dapat menginstal perangkat lunaknya di dalam wadah, dan Docker akan menjalankannya seperti kode lainnya.
Selain hal-hal yang Anda sebutkan dalam pertanyaan, pertimbangkan untuk menggunakan metrik dan peringatan untuk mendapatkan pemberitahuan jika ada gambar Docker yang melakukan hal-hal aneh. Apakah ada lonjakan CPU yang tiba-tiba dan berkelanjutan? Apakah program tiba-tiba memindai port jaringan? Apakah ada akses disk yang mencurigakan? Anda harus mendapatkan pemberitahuan jika semua itu terjadi. Ada banyak alat yang tersedia untuk mengukur hal-hal ini, Anda harus menggunakannya.
Clair adalah proyek sumber terbuka untuk analisis statis kerentanan dalam wadah aplikasi (saat ini termasuk appc dan buruh pelabuhan).