مقدمه

Docker یکی از محبوب‌ترین پلتفرم‌های Containerization است که برای اجرای برنامه‌ها در محیط‌های ایزوله استفاده می‌شود. اگرچه Docker به‌صورت پیش‌فرض بسیاری از مکانیزم‌های امنیتی لینوکس را به کار می‌گیرد، اما تنظیمات پیش‌فرض آن برای محیط‌های Production کافی نیست.

در صورت پیکربندی نادرست، یک کانتینر آسیب‌پذیر می‌تواند به سایر کانتینرها یا حتی میزبان (Host) آسیب برساند. به همین دلیل، اعمال تنظیمات امنیتی یا Hardening روی Docker و کانتینرها ضروری است.

در این مقاله مهم‌ترین اقدامات برای ایمن‌سازی Docker را بررسی می‌کنیم.

بررسی نسخه Docker

ابتدا نسخه نصب‌شده را بررسی کنید:

docker --version

اطلاعات کامل‌تر:

docker version

بروزرسانی Docker

Ubuntu / Debian:

sudo apt update

sudo apt upgrade docker-ce docker-ce-cli containerd.io

AlmaLinux / Rocky Linux:

sudo dnf update docker-ce

همیشه از نسخه‌های پشتیبانی‌شده استفاده کنید.

اجرای Docker با کاربر غیر Root

به‌طور پیش‌فرض، Docker Daemon با دسترسی Root اجرا می‌شود. از ورود مستقیم Root برای مدیریت روزمره خودداری کنید و از یک کاربر دارای دسترسی مناسب استفاده کنید.

در صورت نیاز:

sudo usermod -aG docker username

سپس یک‌بار از حساب کاربری خارج و دوباره وارد شوید.

توجه داشته باشید که عضویت در گروه docker تقریباً معادل دسترسی Root است؛ فقط کاربران مورد اعتماد را به این گروه اضافه کنید.

استفاده از Rootless Mode

در صورت امکان، Docker را در حالت Rootless اجرا کنید تا وابستگی به کاربر Root کاهش یابد.

بررسی راه‌اندازی:

docker info

در خروجی می‌توانید وضعیت Rootless را بررسی کنید.

عدم استفاده از کانتینرهای Privileged

از اجرای کانتینر با گزینه زیر خودداری کنید:

docker run --privileged

این گزینه تقریباً تمام محدودیت‌های امنیتی کانتینر را حذف می‌کند.

حذف Capabilityهای غیرضروری

به‌جای اعطای دسترسی کامل، Capabilityهای اضافی را حذف کنید.

نمونه:

docker run --cap-drop ALL

در صورت نیاز فقط Capabilityهای ضروری را اضافه کنید.

جلوگیری از اجرای کانتینر با Root

در Dockerfile:

USER appuser

یا هنگام اجرا:

docker run --user 1000:1000

فعال کردن Read-only Filesystem

در صورت امکان:

docker run --read-only

این گزینه از تغییر فایل‌های سیستم داخل کانتینر جلوگیری می‌کند.

محدود کردن منابع

برای جلوگیری از مصرف بیش از حد منابع:

docker run \
--memory=512m \
--cpus=1

استفاده از Imageهای معتبر

همیشه Imageها را از منابع معتبر مانند:

• Docker Official Images
• Red Hat
• Canonical
• Bitnami

دریافت کنید.

از اجرای Imageهای ناشناس خودداری کنید.

اسکن آسیب‌پذیری Imageها

Docker Scout:

docker scout quickview image_name

یا ابزارهایی مانند:

• Trivy
• Grype

برای شناسایی آسیب‌پذیری‌ها استفاده کنید.

بروزرسانی Imageها

Imageها را به‌صورت دوره‌ای بروزرسانی کنید:

docker pull image_name

حذف Imageهای بلااستفاده

docker image prune

حذف همه Imageهای بلااستفاده:

docker image prune -a

حذف Containerهای بلااستفاده

docker container prune

حذف Volumeهای بلااستفاده

docker volume prune

حذف Networkهای بلااستفاده

docker network prune

محدود کردن Port Mapping

به‌جای:

-p 80:80

در صورت امکان فقط روی Localhost منتشر کنید:

-p 127.0.0.1:8080:80

استفاده از شبکه اختصاصی

به‌جای شبکه پیش‌فرض:

docker network create app-network

بررسی کانتینرهای در حال اجرا

docker ps

بررسی همه کانتینرها:

docker ps -a

بررسی لاگ‌ها

docker logs container_name

بررسی تنظیمات امنیتی

docker inspect container_name

فعال کردن Restart Policy

docker run --restart unless-stopped

محافظت از Docker Socket

فایل:

/var/run/docker.sock

فقط باید در اختیار کاربران مجاز باشد.

بررسی سطح دسترسی:

ls -l /var/run/docker.sock

هرگز این Socket را بدون احراز هویت در اختیار کانتینرها یا کاربران غیرمجاز قرار ندهید.

بررسی وضعیت سرویس

sudo systemctl status docker

تست امنیت

پس از اعمال تنظیمات، موارد زیر را بررسی کنید:

• کانتینرها با کاربر غیر Root اجرا می‌شوند.
• از حالت Privileged استفاده نشده است.
• منابع محدود شده‌اند.
• فقط پورت‌های موردنیاز منتشر شده‌اند.
• Imageها بروزرسانی شده‌اند.
• Docker Socket محافظت شده است.

بهترین روش‌ها

• Docker را همواره بروزرسانی کنید.
• فقط از Imageهای معتبر استفاده کنید.
• کانتینرها را با کاربر غیر Root اجرا کنید.
• از Rootless Mode در صورت امکان استفاده کنید.
• Capabilityهای اضافی را حذف کنید.
• منابع CPU و RAM را محدود کنید.
• Imageها را به‌صورت منظم اسکن کنید.
• Docker Socket را محافظت کنید.
• از شبکه‌های اختصاصی برای ارتباط بین کانتینرها استفاده کنید.

اشتباهات رایج

• اجرای کانتینر با --privileged
• استفاده از کاربر Root داخل کانتینر
• باز بودن پورت‌های غیرضروری
• استفاده از Imageهای قدیمی یا ناشناس
• عدم محدود کردن منابع
• Mount کردن فایل docker.sock داخل کانتینر بدون نیاز
• عدم اسکن امنیتی Imageها

چک‌لیست

پس از Hardening، موارد زیر را بررسی کنید:

• Docker بروزرسانی شده است.
• کانتینرها با کاربر غیر Root اجرا می‌شوند.
• حالت Privileged غیرفعال است.
• Capabilityهای غیرضروری حذف شده‌اند.
• منابع CPU و RAM محدود شده‌اند.
• Imageها از منابع معتبر تهیه شده‌اند.
• Docker Socket محافظت شده است.
• کانتینرها و Imageهای بلااستفاده حذف شده‌اند.

جمع‌بندی

Hardening Docker یکی از مهم‌ترین اقدامات برای افزایش امنیت زیرساخت‌های مبتنی بر کانتینر است. با اجرای کانتینرها با کاربر غیر Root، حذف Capabilityهای اضافی، محدود کردن منابع، استفاده از Imageهای معتبر، اسکن منظم آسیب‌پذیری‌ها و محافظت از Docker Socket، می‌توان احتمال نفوذ و سوءاستفاده از محیط Docker را به میزان قابل توجهی کاهش داد.

برای دستیابی به امنیت بیشتر، این تنظیمات را در کنار Hardening سیستم‌عامل، فایروال، مانیتورینگ لاگ‌ها و بروزرسانی منظم Docker و Imageها اجرا کنید.

کیان پور