Konteyner xavfsizligi

Konteyner - virtual mashina emas. U hostning o'sha yadrosida ishlaydi. Demak ajratish devor emas, balki yadro qo'yadigan chegaralar to'plami.

Bu bob shu chegaralar haqida.

Konteynerda kim bo'lasiz? #

docker run --rm alpine:3.21 id -u
docker run --rm alpine:3.21 id -un

0
root

root. Boshqa hech narsa aytmasangiz, har bir konteyner root sifatida ishlaydi.

Savol: bu hostdagi root bilan bir xilmi?

Rootless rejim - javob shu yerda #

Konteynerdagi root hostdagi papkaga fayl yozsin:

docker run --rm -v /tmp/xavf:/tashqi alpine:3.21 \
    sh -c 'echo salom > /tashqi/fayl'
stat -c 'fayl egasi: %u (%U)' /tmp/xavf/fayl
echo "host foydalanuvchisi: $(id -u) ($(id -un))"

fayl egasi: 1000 (husanboy)
host foydalanuvchisi: 1000 (husanboy)

Konteyner ichida uid=0, lekin hostda fayl oddiy foydalanuvchi nomidan yaratildi.

Sabab - rootless rejim va foydalanuvchi namespace lari: konteynerdagi 0 hostdagi 1000 ga xaritalanadi.

Rejimni tekshirish oson:

docker info --format '{{range .SecurityOptions}}{{println .}}{{end}}'

name=seccomp,profile=builtin
name=rootless
name=cgroupns

name=rootless bor - demak biz himoyalangan rejimdamiz.

docker run -v /:/host alpine chroot /host sh

USER - konteynerda ham root bo'lmang #

Rootless yordam beradi, lekin ilova baribir konteyner ichida root bo'lmasligi kerak.

FROM alpine:3.21
RUN adduser -D -u 10001 dokon
USER dokon
CMD ["id"]

docker run --rm norut:1

uid=10001(dokon) gid=10001(dokon) groups=10001(dokon)

Endi ilova tizim fayllarini o'zgartira olmaydi:

docker run --rm norut:1 sh -c 'touch /etc/yangi' 2>&1 | head -1

touch: /etc/yangi: Permission denied

Hujumchi kod bajarishga erishsa ham, u obrazni o'zgartira olmaydi va paket o'rnata olmaydi.

Imkoniyatlarni tashlash #

Linux da root huquqi bo'linmas emas - u imkoniyatlarga (capabilities) bo'lingan. Docker standart holatda ularning bir qismini beradi:

docker run --rm alpine:3.21 sh -c \
    'apk add -q libcap; capsh --print | grep -m1 "^Current:"' | tr ',' '\n'

Current: cap_chown
cap_dac_override
cap_fowner
cap_fsetid
cap_kill
cap_setgid
cap_setuid
cap_setpcap
cap_net_bind_service
cap_net_raw
cap_sys_chroot
cap_mknod
cap_audit_write
cap_setfcap=ep

(Ro'yxatni o'qish uchun vergullarni yangi qatorga bo'ldik.)

O'n to'rtta imkoniyat. Ilovangizga ularning deyarli hech biri kerak emas:

docker run --rm --cap-drop ALL alpine:3.21 sh -c \
    'apk add -q libcap; capsh --print | grep -m1 "^Current:"'

Current: =

Ro'yxat bo'sh. Farqni ko'rish uchun chown ni sinaymiz - u CAP_CHOWN talab qiladi:

docker run --rm alpine:3.21 sh -c \
    'chown nobody /tmp && echo "chown ishladi"' 2>&1 | head -1
docker run --rm --cap-drop ALL alpine:3.21 sh -c \
    'chown nobody /tmp && echo "chown ishladi"' 2>&1 | head -1

chown ishladi
chown: /tmp: Operation not permitted

Kerakli bittasini qaytarib berish mumkin:

--cap-drop ALL --cap-add NET_BIND_SERVICE

Docker soketi - eng katta xavf #

docker run --rm -v /run/user/1000/docker.sock:/var/run/docker.sock \
    docker:cli docker ps -a --format '{{.Image}}' | head -3

docker:cli

Konteyner hostdagi Docker demonini ko'rdi va konteynerlar ro'yxatini oldi. U endi istalgan obrazni ishga tushira oladi, istalgan papkani ulay oladi va o'zi uchun imtiyozli konteyner yarata oladi.

-v /var/run/docker.sock:/var/run/docker.sock

Boshqa qat'iylashtirish choralari #

services:
  ilova:
    image: dokon:1.0
    user: "10001:10001"
    read_only: true
    tmpfs: [/tmp]
    cap_drop: [ALL]
    security_opt:
      - no-new-privileges:true
    pids_limit: 200

Bu ro'yxat 14-bobdagi resurs chegaralari bilan birga ishlaydi - ikkalasi bitta maqsadga xizmat qiladi: buzilish bitta konteyner ichida qolsin.

Obrazni skanerlash #

Obrazingizdagi kutubxonalarda ma'lum zaifliklar bo'lishi mumkin. Trivy ularni topadi va uni alohida o'rnatish shart emas:

docker run --rm -v trivy-kesh:/root/.cache aquasec/trivy:latest \
    image --severity HIGH,CRITICAL alpine:3.21

Report Summary

┌─────────────────────────────┬────────┬─────────────────┬─────────┐
│           Target            │  Type  │ Vulnerabilities │ Secrets │
├─────────────────────────────┼────────┼─────────────────┼─────────┤
│ alpine:3.21 (alpine 3.21.7) │ alpine │        0        │    -    │
└─────────────────────────────┴────────┴─────────────────┴─────────┘

Toza. Lekin bu bugungi holat: Trivy ma'lumotlar bazasi har kuni yangilanadi, demak o'zgarmagan obraz ertaga zaif bo'lib qolishi mumkin.

Shuning uchun skanerlash bir martalik ish emas:

1. Qurishda - CI da har bir obraz uchun
2. Muntazam - haftada bir marta mavjud obrazlarni qayta
3. Kritik topilma bo'lsa - qurishni to'xtatish

Tekshiruv ro'yxati #

Oxirgisi 10-bobdan - u eng ko'p unutiladigan tekshiruv.

Xulosa #

• Konteyner host yadrosida ishlaydi; ajratish - yadro chegaralari, devor emas.
• Standart holatda konteyner root sifatida ishlaydi.
• Rootless rejimda konteynerdagi root hostdagi oddiy foydalanuvchiga xaritalanadi - buni fayl egaligi bilan ko'rsatdik.
• Rootful o'rnatishda docker guruhiga qo'shish root berish bilan teng.
• USER bilan konteyner ichida ham root bo'lmang; UID ni aniq raqam bilan bering.
• Docker standart holatda 14 ta imkoniyat beradi; --cap-drop ALL ularni tozalaydi.
• Imkoniyat kerakligini taxmin qilmang: ping CAP_NET_RAW siz ham ishladi, chunki yadro ICMP soketiga ruxsat bergan.
• Docker soketini ulash - demon ustidan to'liq nazorat berish.
• read_only, no-new-privileges, pids_limit va alohida tarmoq birga ishlaydi.
• Obrazni muntazam skanerlang: baza yangilanadi, obraz esa o'zgarmaydi.