Pagina 1 di 1
I container girano spesso come root per default perché funziona, le capabilities sono concesse all'intero binario perché 'così non rompe', i secrets vivono in variabili d'ambiente perché 'tanto siamo dentro la VPN'. Tre semplificazioni che diventano una superficie d'attacco quando arriva il primo problema serio.
In questa categoria scrivo di hardening container applicato: container con utente non-root, capabilities specifiche e minime, filesystem read-only quando possibile, secrets via file montati e non via environment, isolamento di rete con bridge dedicati, profili AppArmor per i container critici.
Se vuoi un audit serio dei tuoi container in produzione, parliamone. Oppure scopri come lavoro.
Docker Compose va bene per la produzione di una PMI - ma solo se usato nel modo giusto. Ho visto container configurati senza restart policy, volumi montati su /tmp, secrets in variabili d'ambiente nel file compose. Vi mostro i pattern corretti e i cinque errori più frequenti che trovo nei subentri. Continua a leggere
