CyberGlossary

Облачная безопасность

Безопасность контейнеров

Также известно как: Безопасность Docker, Безопасность OCI-контейнеров

Определение

Практика защиты образов контейнеров, реестров, оркестраторов и среды выполнения, в которой контейнеры исполняются.

Безопасность контейнеров охватывает весь жизненный цикл OCI-совместимых контейнеров (Docker, containerd, CRI-O). На этапе сборки команды сканируют образы на CVE и встроенные секреты, подписывают их через Sigstore/Cosign и используют минимальные базовые образы. При распространении реестры защищаются аутентифицированным доступом и проверкой подписей. В runtime ужесточение хоста, изоляция через namespaces/cgroups, seccomp, AppArmor и read-only файловые системы уменьшают поверхность атаки, а admission-контроллеры и eBPF-сенсоры применяют политики и выявляют аномалии. Типичные риски: привилегированные контейнеры, монтирование hostPath, уязвимые базовые слои, утёкшие учётные данные и побеги через эксплойты ядра.

Примеры

  • Trivy или Grype сканируют образы в CI; Kyverno или OPA Gatekeeper отклоняют привилегированные поды.
  • Falco фиксирует запуск shell внутри продового контейнера.

Связанные термины