CyberGlossary

Cloud-Sicherheit

Container-Sicherheit

Auch bekannt als: Docker-Sicherheit, OCI-Container-Sicherheit

Definition

Die Praxis, Container-Images, Registries, Orchestratoren und die Laufzeitumgebung, in der Container ausgeführt werden, abzusichern.

Container-Sicherheit deckt den gesamten Lebenszyklus OCI-kompatibler Container (Docker, containerd, CRI-O) ab. Beim Build scannen Teams Images auf CVEs und eingebettete Secrets, signieren sie mit Sigstore/Cosign und erzwingen minimale Base-Images. Bei der Verteilung werden Registries durch authentifizierten Zugriff und Signaturprüfung geschützt. Zur Laufzeit reduzieren Host-Hardening, Namespace-/cgroup-Isolation, seccomp, AppArmor und read-only Dateisysteme die Angriffsfläche; Admission Controller und eBPF-Sensoren erzwingen Richtlinien und erkennen Anomalien. Typische Risiken: privilegierte Container, hostPath-Mounts, verwundbare Base-Layer, geleakte Credentials und Container-Escapes über Kernel-Exploits.

Beispiele

  • Trivy oder Grype scannen Images in CI; Kyverno oder OPA Gatekeeper lehnen privilegierte Pods ab.
  • Falco erkennt eine Shell, die in einem Produktions-Container gestartet wird.

Verwandte Begriffe