Docker-järjestelmän suojaaminen sisältää useita tasoja — minimaaliset ja luotetut kuvat, ajaminen ei-root-käyttäjänä, haavoittuvuuksien skannaus, salaisuuksien hallinta, resurssien ja kyvykkyyksien rajoitukset sekä isäntä- ja daemon-kovettaminen. Konttien suojaaminen on tärkeää, koska haavoittuvuudet voivat vaikuttaa sekä konttiin että isäntäjärjestelmään.
✓ Use MINIMAL base images (alpine, distroless) → fewer packages = smaller attack surface
✓ Use TRUSTED/official images; pin specific versions/DIGESTS (not "latest")
✓ SCAN images for vulnerabilities (Trivy, docker scout, Snyk) — in CI and regularly
✓ Keep base images UPDATED (patch known CVEs)
✓ Don't include secrets or unnecessary tools in images
✓ Run as NON-ROOT (USER instruction) — a root container that's compromised is far more
dangerous (especially with host access). This is one of the most important practices.
✓ Drop capabilities (--cap-drop ALL, add only needed ones) — limit what the container can do
✓ Read-only filesystem (--read-only) where possible
✓ no-new-privileges (prevent privilege escalation)
✓ Set RESOURCE LIMITS (prevent DoS from resource exhaustion)
✓ NEVER run --privileged unless absolutely necessary (it gives near-host access)
✓ Don't bake secrets into images; use secrets management at runtime
✓ Protect the DOCKER DAEMON — the daemon runs as root; access to it = root on the host
(don't expose the Docker socket; mounting /var/run/docker.sock into a container is risky)
✓ Keep the host and Docker engine PATCHED; use minimal/hardened host OS
✓ Isolate networks; limit container-to-container and container-to-host access
✓ Consider rootless Docker / user namespaces for stronger isolation
Docker-konttien suojaaminen on tärkeä senioreiden tasoinen tieto, koska konttijonhaavoittuvuudet voivat vaikuttaa sekä konttiin että isäntäjärjestelmään, jolloin suojaaminen on monislintainen huolenaihe, jolla on todelliset seuraukset. Kuvien suojaamisen käytännöt (minimaaliset/luotetut perusimages hyökkäyspinnan pienentämiseksi, versioiden kiinnittäminen, haavoittuvuuksien skannaus tunnettujen CVE-ongelmien havaitsemiseksi, kuvien pitäminen ajantasaisina) estävät hyödynnettävien kuvien toimittamisen — yhteisen haavoittuvuuksien lähteen. Suoritusaikaisuuden suojaaminen on erityisen kriittinen: ajaminen ei-root-käyttäjänä on yksi tärkeimmistä käytännöistä, koska vaarautunut root-kontti on paljon vaarallisempi (mahdollisesti johtaen isäntäjärjestelmän vaarantumiseen), ja kyvykkyyksien pudottaminen, vain luku -tiedostojärjestelmien käyttö, etäoikeuksien loukkauksien estäminen ja --privileged-lipun käyttämisen välttäminen paitsi jos se on ehdottoman välttämätöntä (se antaa lähes isäntä-pääsyn) rajoittavat sitä, mitä hyökkääjä voi tehdä, jos kontti on loukattu — puolustuksellinen syvyys. Salaisuuksien hallinta (salaisuuksien piilottaminen kuvista, suoritusaikaisuuden salaisuuksien käyttö) estää tunnistetietojen vuotamisen. Isäntä- ja daemon-suojaaminen on ratkaisevaa ja usein huomiotta jäänyt: Docker-daemon toimii root-käyttäjänä, joten siihen pääsy (tai Docker-pistokkeeseen) tarkoittaa käytännössä root-oikeuksia isäntäjärjestelmässä — jolloin daemonin suojaaminen, Docker-pistokkeen paljastamisen välttäminen ja isäntäjärjestelmän pitäminen korjattuna ovat välttämättömiä, jolloin rootless Docker ja käyttäjän nimiavaruudet tarjoavat vahvempaa eristämistä.
Koska konteille jaetaan isäntäjärjestelmän ydin (joten kontin pako tai isäntäjärjestelmän vaarantuminen on vakavat seuraukset) ja kontitoidut sovellukset ovat yleisiä tuotannossa, ja koska oikea suojaaminen (minimaaliset/skannatut kuvat, ei-root-suoritusaika rajoitetulla kyvykkyyksillä, salaisuuksien hallinta ja daemon-/isäntä-kovettaminen) estää todelliset kontti- ja isäntäjärjestelmän vaarantumiset, Docker-konttien suojaamisen ymmärtäminen on tärkeä senioreiden tasoinen tieto — kriittinen vastuu tuotannon kontti-käyttöönotoissa, joissa kerrostetut käytännöt (erityisesti ei-root-suoritus ja juurioikeuksien omaavan daemonin suojaaminen) käsittelevät aiheutuvia, vakavia turvallisuusriskejä, jotka ovat sisäänrakennettuja konttitukseen.