Programming For Everyone
Replymessage unavailableامنیت در Docker: چیزی که اغلب فراموش میکنیم!
* از rootless containers استفاده کنید: اجرای اپلیکیشن با کاربر non-root ریسک نفوذ رو خیلی کم میکنه.
* از Base image سبک و امن استفاده کنید: مثلاً alpine یا distroless. imageهای بزرگتر مثل ubuntu اغلب پکیجهای غیرضروری دارن که سطح حمله رو زیاد میکنن.
* حتما وDependencyها رو pin کنید: همیشه نسخه دقیق کتابخونهها رو مشخص کنید تا از تغییرات ناخواسته جلوگیری بشه.
* از .dockerignore استفاده کنید: فایلهای حساس (مثل .env یا کلیدها) هرگز نباید داخل image قرار بگیرن.
* بهروز نگه داشتن imageها: آسیبپذیریها خیلی سریع پیدا میشن، پس آپدیت مرتب imageها ضروریه.
بارها پیش میاد که به خاطر استفاده از یک base image قدیمی، vulnerability جدی توی اسکن امنیتی پیدا میشه. فقط با عوض کردن base image به نسخهی جدیدتر و سبکتر، هم امنیت بیشتر میشه، هم حجم image کاهش پیدا میکنه.
نکات تکمیلی امنیت در Docker
1. استفاده از Healthcheck
- توی Dockerfile با HEALTHCHECK وضعیت سرویس رو بررسی کنید که باعث میشه container ناسالم زودتر شناسایی و جایگزین بشن.
2. حداقل کردن Surface Attack با distroless images
- این imageها فقط باینری نهایی رو دارن (بدون package manager یا shell).
- دسترسی مهاجم به شدت محدود میشه.
3.فعال کردن User namespace remapping
- باعث میشه کاربر root داخل container، روی سیستم میزبان واقعاً root نباشه.
4. استفاده از Read-Only Filesystem
- container رو با --read-only بالا بیارید تا کسی نتونه فایلهای سیستمی داخلش رو تغییر بده.
5. مدیریت Secretها بهدرستی
- هرگز secrets رو داخل image نذارید.
- از ابزارهایی مثل Docker secrets، HashiCorp Vault یا AWS/GCP Secret Manager استفاده کنید.
6. Scan امنیتی منظم
- ابزارهایی مثل Trivy, Grype یا Docker Scout رو برای اسکن image استفاده کنید.
- این ابزارها آسیبپذیریهای شناختهشده (CVE) رو شناسایی میکنن.
7. محدود کردن Resourceها
- با --cpus و --memory منابع container رو محدود کنید تا جلوی حملات DoS یا مصرف بیرویه گرفته بشه.
8. استفاده از شبکههای ایزوله
- کانتینرهایی که لازم نیست با اینترنت یا کانتینرهای دیگه در ارتباط باشن رو توی یک شبکهی جداگانه نگه دارید.
9. امضای دیجیتال و اعتبارسنجی Imageها
- با Docker Content Trust (DCT) یا cosign امضا و اعتبارسنجی کنید که image تغییر نکرده باشه.
10. بروزرسانی مرتب Docker Engine و Runtime
- چون آسیبپذیریها فقط توی imageها نیستن، بلکه خود daemon و runtime هم میتونه مشکل امنیتی داشته باشه.
***امنیت در Docker فقط به Dockerfile محدود نیست؛ از انتخاب base image شروع میشه، به مدیریت secret و network میرسه و حتی شامل CI/CD pipeline هم میشه***
@DevTwitter | <Somaye Omidi/>