Osiguravanje Docker-a uključuje više slojeva — minimalne i pouzdane slike, pokretanje kao obični korisnik, skeniranje ranjivosti, upravljanje tajnama, ograničenja resursa i mogućnosti te ojačanje hosta/demona. Sigurnost kontejnera je važna jer ranjivosti mogu utjecati na kontejner i na host.
✓ Use MINIMAL base images (alpine, distroless) → fewer packages = smaller attack surface
✓ Use TRUSTED/official images; pin specific versions/DIGESTS (not "latest")
✓ SCAN images for vulnerabilities (Trivy, docker scout, Snyk) — in CI and regularly
✓ Keep base images UPDATED (patch known CVEs)
✓ Don't include secrets or unnecessary tools in images
✓ Run as NON-ROOT (USER instruction) — a root container that's compromised is far more
dangerous (especially with host access). This is one of the most important practices.
✓ Drop capabilities (--cap-drop ALL, add only needed ones) — limit what the container can do
✓ Read-only filesystem (--read-only) where possible
✓ no-new-privileges (prevent privilege escalation)
✓ Set RESOURCE LIMITS (prevent DoS from resource exhaustion)
✓ NEVER run --privileged unless absolutely necessary (it gives near-host access)
✓ Don't bake secrets into images; use secrets management at runtime
✓ Protect the DOCKER DAEMON — the daemon runs as root; access to it = root on the host
(don't expose the Docker socket; mounting /var/run/docker.sock into a container is risky)
✓ Keep the host and Docker engine PATCHED; use minimal/hardened host OS
✓ Isolate networks; limit container-to-container and container-to-host access
✓ Consider rootless Docker / user namespaces for stronger isolation
Osiguravanje Docker kontejnera je važno znanje na seniorskoj razini jer ranjivosti kontejnera mogu utjecati na kontejner i na host, čineći sigurnost višeslojnom brigom sa stvarnim posledicama. Prakse sigurnosti slike (minimalne/pouzdane osnovne slike za smanjenje površine napada, fiksiranje verzija, skeniranje ranjivosti za pronalaženje poznatih CVE-a, ažuriranje slika) sprječavaju dostavljanje iskoristivih slika — čest izvor ranjivosti. Sigurnost tijekom izvršavanja je posebno kritična: pokretanje kao obični korisnik jedna je od najvažnijih praksi jer je kompromitiran root kontejner mnogo opasnije (potencijalno vodi do kompromitiranja hosta), a ukidanje mogućnosti, korištenje samo za čitanje datotečnih sustava, sprječavanje eskalacije privilegija i nikada nije korištenje --privileged osim ako nije apsolutno potrebno (omogućava blizu pristupa hostu) — svi ti slojevi ograničavaju što napadač može učiniti ako je kontejner prebojen — obrana u dubinu. Upravljanje tajnama (nikada ugrađivanje tajni u slike, korištenje tajni tijekom izvršavanja) sprječava curenja vjerodajnica. Sigurnost hosta i demona je kritična i često zanemarena: Docker demon radi kao root, tako da pristup njemu (ili Docker utičnici) zapravo znači root na hostu — čineći zaštitu demona, neprikazivanje Docker utičnice i ažuriranje hosta bitnim, s rootless Docker-om i korisničkim imenima koja pružaju bolju izolaciju.
Budući da kontejneri dijele kernel hosta (pa je bijeg iz kontejnera ili kompromitiranje hosta ozbiljna posljedica) i aplikacije u kontejnerima su raširene u produkciji, te budući da je pravilna sigurnost (minimalne/skenirane slike, izvršavanje kao obični korisnik s ograničenim mogućnostima, upravljanje tajnama i ojačanje demona/hosta) ono što sprječava stvarne kompromitiranja kontejnera i hosta, razumijevanje kako osigurati Docker kontejnere je važno znanje na seniorskoj razini — kritična odgovornost za implementacije kontejnera u produkciji, gdje praksi s više slojeva (posebno izvršavanje kao obični korisnik i zaštita root-povlastitog demona) rješavaju stvarne, ozbiljne rizike sigurnosti inherentne kontejnerizaciji.