{"draftJsState":{"blocks":[{"data":{"image":{"id":"649c2e943899bc664a674e8d"}},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"atomic:image","key":"1cdst"},{"data":{},"depth":0,"entityRanges":[{"key":0,"length":44,"offset":17}],"inlineStyleRanges":[],"text":"\uD83D\uDCDC Читайте также: Как удалить образы, контейнеры и тома Docker","type":"blockquote","key":"ason6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Docker — это программный инструмент, предназначенный для автоматизации процессов развертывания, упаковки и запуска приложений в легко переносимых и изолированных средах, называемых контейнерами.\n\nИзвестный факт, что Docker-контейнеры часто используются программистами для локальной разработки, тестирования и развертывания приложений. Однако, как и любая другая технология, Docker подвержен уязвимостям и атакам. Именно поэтому важно своевременно принимать соответствующие меры, чтобы повысить безопасность контейнеров.","type":"unstyled","key":"40vm5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"В данной статье мы рассмотрим лучшие практики, которые помогут пользователям повысить безопасность своих Docker-контейнеров.","type":"unstyled","key":"37m30"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Основы безопасности при работе с Docker-контейнерами","type":"header-two","key":"82ue9"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Перед тем как перейти к конкретным рекомендациям, мы обсудим несколько основных принципов безопасности при работе с Docker-контейнерами:","type":"unstyled","key":"88qpk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Минимизация поверхности атаки\n","type":"unordered-list-item","key":"ep88b"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Контроль компонентов и служб — важный аспект безопасности контейнеров. Чем меньше поверхность атаки, тем сложнее злоумышленникам проникнуть в систему через уязвимости в приложениях или компонентах.","type":"unstyled","key":"4fir2"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Обновления\n","type":"unordered-list-item","key":"16o07"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Важно следить за обновлениями как Docker, так и используемых компонентов. Регулярное обновление поможет в устранении возможных уязвимостей за счет улучшения алгоритмов защиты.","type":"unstyled","key":"6rl0j"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Рекомендации по сборке образа","type":"header-two","key":"aou23"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Чтобы дополнительно минимизировать поверхность атак и уменьшить последствия от атак на цепочки поставок, рекомендуется пользоваться образами только из проверенных источников. Одним из таких является Docker Hub.","type":"unstyled","key":"fu6ij"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"При выборе дистрибутива обратите внимание на Alpine Linux. Он ориентирован на безопасность и достаточно прост в использовании, что является его главными преимуществами перед остальными дистрибутивами.","type":"unstyled","key":"8m1to"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Также, при сборке образа старайтесь указывать в теге стабильную версию, нежели последнюю (latest).","type":"unstyled","key":"9aspm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Ограничение полномочий пользователя","type":"header-two","key":"tm6a"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Docker автоматически использует привилегированного пользователя в контейнерах, если не указан иной. Это не есть хорошо, потому что наличие у пользователей полномочий root внутри контейнера может привести к серьезным последствиям для безопасности. Если злоумышленник получит доступ к такому пользователю, он сможет выполнять любые операции, включая изменение системных файлов и запуск вредоносных программ.","type":"unstyled","key":"83lou"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Для того чтобы у пользователя были ограниченные права в Docker-контейнере, можно воспользоваться следующими рекомендациями:","type":"unstyled","key":"bh95o"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"1. Создание пользователя и группы с ограниченными полномочиями:","type":"unstyled","key":"ev8q"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":6,"style":"ITALIC"}],"text":"FROM ","type":"unstyled","key":"9pvja"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":17,"style":"ITALIC"},{"length":10,"offset":47,"style":"ITALIC"},{"length":9,"offset":60,"style":"ITALIC"}],"text":"RUN groupadd -r && useradd -r -g ","type":"unstyled","key":"cnj7g"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":9,"offset":14,"style":"ITALIC"},{"length":10,"offset":26,"style":"ITALIC"}],"text":"RUN chown -R : /app","type":"unstyled","key":"3dht6"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":9,"offset":6,"style":"ITALIC"}],"text":"USER ","type":"unstyled","key":"ffpjs"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Здесь в первую очередь указывается базовый образ, который будет использоваться для построения образа контейнера. Далее создаются группа и пользователь, а затем происходит установка правильных разрешений между ними. И, наконец, указывается имя пользователя по умолчанию.","type":"unstyled","key":"eevr8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"2. Запуск контейнера от имени определенного пользователя:","type":"unstyled","key":"6001s"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":9,"offset":19,"style":"ITALIC"},{"length":10,"offset":31,"style":"ITALIC"}],"text":"docker run --user ","type":"unstyled","key":"f3db0"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"3. Запуск контейнера от произвольного пользователя:","type":"unstyled","key":"3edml"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":14,"offset":15,"style":"ITALIC"},{"length":10,"offset":32,"style":"ITALIC"}],"text":"docker run -u ","type":"unstyled","key":"55lu1"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":14,"offset":7,"style":"ITALIC"}],"text":"Здесь — это произвольный ID некого пользователя, который отсутствует в запущенном контейнере.","type":"unstyled","key":"3e8b8"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Редактирование привилегий контейнера","type":"header-two","key":"dfm5h"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Как было сказано в прошлой главе, запуск Docker-контейнера под привилегированным пользователем недопустим. Поэтому важно исключить возможность добавлять новые привилегии. Сделать это можно следующим способом:","type":"unstyled","key":"31upp"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":45,"style":"ITALIC"}],"text":"docker run --security-opt=no-new-privileges ","type":"unstyled","key":"fiabg"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Также, контейнеру назначаются целые наборы привилегий, которые называются Capabilities. Они определяют доступ к различным функциям ядра Linux. По умолчанию, контейнеры Docker наследуют capabilities от хост-системы, что может представлять потенциальную угрозу безопасности.","type":"unstyled","key":"a15ma"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Чтобы ограничить capabilities в контейнере, вы можете использовать опцию --cap-drop при запуске контейнера, указав конкретные capabilities для их исключения:\n\ndocker run --cap-drop=CAPABILITY1,CAPABILITY2 ","type":"unstyled","key":"aghv5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Использование контрольных групп","type":"header-two","key":"a27iv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Контрольные группы — это механизм Linux для ограничения доступа процессов к ресурсам системы: это CPU, память или сеть.","type":"unstyled","key":"9bevv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"В Docker возможно использовать контрольные группы для ограничения доступа к ресурсам внутри контейнера. Например, вы можете ограничить использование CPU или объема памяти, выделенных контейнеру, с помощью добавления при запуске опций --cpu-shares и --memory соответственно:","type":"unstyled","key":"e4lln"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"docker run --cpu-shares=512 --memory=1g ","type":"unstyled","key":"buudv"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Использование контрольных групп помогает предотвратить неадекватное использование ресурсов и обеспечить изоляцию контейнеров, что способствует общей безопасности системы.","type":"unstyled","key":"cnfbh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Единственное важно уточнение — не используйте опцию --cgroup-parent, так как она позволяет задать родительскую контрольную группу для контейнера и может подвергнуть ресурсы хоста риску сторонней атаки.","type":"unstyled","key":"346dq"},{"data":{},"depth":0,"entityRanges":[{"key":1,"length":30,"offset":69}],"inlineStyleRanges":[],"text":"Подробнее о ресурсах системы и контрольных группах можно прочитать в официальном руководстве Docker.","type":"unstyled","key":"c4o66"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Безопасность файловой системы","type":"header-two","key":"9qpuu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Настройка доступа к файловой системе контейнера может значительно повысить безопасность. Рекомендуется устанавливать режим только для чтения. Тогда файлы в контейнере не могут быть изменены или перезаписаны в процессе его работы. Сделать это можно следующим способом:","type":"unstyled","key":"8k555"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":24,"style":"ITALIC"}],"text":"docker run --read-only ","type":"unstyled","key":"1m6cm"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Также дополнительно обезопасить файловую систему можно, создав временное хранилище для данных и файлов, которые не требуется сохранять после остановки контейнера.","type":"unstyled","key":"11dph"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Tmpfs предоставляет файловую систему в памяти, которая автоматически уничтожается при остановке контейнера.","type":"unstyled","key":"ajmq"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Настройка временного хранилища происходит с использованием опции --tmpfs при запуске контейнера:","type":"unstyled","key":"5aejg"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":10,"offset":52,"style":"ITALIC"}],"text":"docker run --tmpfs /tmpfs:rw,noexec,nosuid,size=1g ","type":"unstyled","key":"b6349"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Представленной командой создается временное хранилище размером 1 гигабайт. Также здесь указаны 3 опции:","type":"unstyled","key":"5f46t"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"rw — позволяет читать и записывать данные в хранилище;","type":"unordered-list-item","key":"bfseu"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"noexec — запрещает выполнение исполняемых файлов из хранилища;","type":"unordered-list-item","key":"5jauh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"nosuid — отвечает за игнорирование флага suid.","type":"unordered-list-item","key":"390h3"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Безопасность сети","type":"header-two","key":"7q73e"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"По умолчанию Docker использует виртуальный сетевой интерфейс для связи между контейнерами и хост-системой — docker0. Однако все контейнеры, использующие docker0, находятся в одной сети и могут общаться друг с другом без ограничений. Это может привести к потенциальным уязвимостям в контейнерах.","type":"unstyled","key":"2sle4"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Для повышения безопасности рекомендуется использовать опцию --bridge=none при запуске Docker, чтобы отключить использование встроенного сетевого моста. А затем вы можете создать и запустить свою собственную сеть с помощью следующих команд:","type":"unstyled","key":"509nc"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":12,"offset":23,"style":"ITALIC"}],"text":"docker network create ","type":"unstyled","key":"b69hh"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[{"length":12,"offset":22,"style":"ITALIC"},{"length":10,"offset":37,"style":"ITALIC"}],"text":"docker run --network= ","type":"unstyled","key":"67d5f"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Использование проверенных реестров","type":"header-two","key":"ahntk"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Как мы уже говорили в 3 главе настоящей статьи, используйте только проверенные источники. Это же касается и реестров.","type":"unstyled","key":"fjcgi"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Если вы решили загрузить Docker-образ из внешних реестров, обязательно убедитесь, что вы используете проверенный источник. Лучше всего для этих целей использовать Docker Hub.","type":"unstyled","key":"d23l5"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Систематическое сканирование","type":"header-two","key":"9h49j"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Регулярное сканирование Docker-образов и контейнеров на наличие уязвимостей является важным этапом для обнаружения потенциальных угроз безопасности. Для этого существует специальное ПО. Оно бывает как бесплатным, так и коммерческим. Выбор конкретного из всех существующих зависит от вас и ваших потребностей.","type":"unstyled","key":"as6ed"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Контроль доступа к UNIX-сокету","type":"header-two","key":"8lq43"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"По умолчанию, Docker демон прослушивает UNIX-сокет /var/run/docker.sock, который позволяет контейнерам взаимодействовать с ним и выполнять операции с другими контейнерами и образами. Важно убедиться, что доступ к этому сокету ограничен и доступен узкому кругу пользователей или групп. Иначе сторонний пользователь может получить неограниченный доступ к хосту с привилегиями суперпользователя.","type":"unstyled","key":"236je"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Работа с секретами в Docker","type":"header-two","key":"60tah"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"В процессе работы с Docker-контейнерами позаботьтесь о безопасном хранении и передачи секретной информации, включающей учетные данные, пароли, ключи API и т.д. Отправка секретов в контейнеры или включение их в образы может привести к серьезным уязвимостям и потенциальным утечкам данных.","type":"unstyled","key":"52lvi"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"Для безопасной передачи секретов в контейнеры существует опция --secret, а для их хранения необходимо воспользоваться Docker BuildKit.","type":"unstyled","key":"cejsd"},{"data":{},"depth":0,"entityRanges":[{"key":2,"length":32,"offset":11}],"inlineStyleRanges":[],"text":"\nКстати, в официальном канале Timeweb Cloud собрали комьюнити из специалистов, которые говорят про IT-тренды, делятся полезными инструкциями и даже приглашают к себе работать.\uD83D\uDCA5","type":"blockquote","key":"f2s3e"},{"data":{},"depth":0,"entityRanges":[],"inlineStyleRanges":[],"text":"","type":"marker","key":"8rHBhZeU4Jj2bhFmP2fm"}],"entityMap":{"0":{"data":{"url":"https://timeweb.cloud/tutorials/docker/kak-udalit-obrazy-kontejnery-i-toma-docker?utm_source=yandex_zen&utm_medium=blog_article&utm_campaign=zen&utm_content=kak-udalit-obrazy-kontejnery-i-toma-docker"},"mutability":"MUTABLE","type":"LINK"},"1":{"data":{"href":"https://docs.docker.com/config/containers/resource_constraints/","url":"https://docs.docker.com/config/containers/resource_constraints/"},"mutability":"MUTABLE","type":"LINK"},"2":{"data":{"href":"https://t.me/timewebru","url":"https://t.me/timewebru"},"mutability":"MUTABLE","type":"LINK"}}},"mentions":[]}