Seguridad de contenedores

La seguridad de contenedores cubre el ciclo de vida completo de los contenedores OCI (Docker, containerd, CRI-O). En la build, los equipos escanean imágenes en busca de CVE y secretos incrustados, las firman con Sigstore/Cosign y exigen imágenes base mínimas. En la distribución, los registros se protegen con accesos autenticados y verificación de firmas. En runtime, el endurecimiento del host, el aislamiento por namespaces/cgroups, seccomp, AppArmor y sistemas de ficheros de solo lectura reducen la superficie de ataque, mientras que los admission controllers y sensores eBPF aplican políticas y detectan anomalías. Riesgos típicos: contenedores privilegiados, hostPath, capas base vulnerables, credenciales filtradas y fugas mediante exploits de kernel.