Menyelamatkan Docker melibatkan pelbagai lapisan — imej minimal dan dipercayai, menjalankan sebagai non-root, pengimbasan kerentanan, pengurusan secret, had sumber dan keupayaan (capability), serta pengukuhan hos/daemon. Keselamatan kontena penting kerana kerentanan boleh menjejaskan kedua-dua kontena dan hos.
✓ Use MINIMAL base images (alpine, distroless) → fewer packages = smaller attack surface
✓ Use TRUSTED/official images; pin specific versions/DIGESTS (not "latest")
✓ SCAN images for vulnerabilities (Trivy, docker scout, Snyk) — in CI and regularly
✓ Keep base images UPDATED (patch known CVEs)
✓ Don't include secrets or unnecessary tools in images
✓ Run as NON-ROOT (USER instruction) — a root container that's compromised is far more
dangerous (especially with host access). This is one of the most important practices.
✓ Drop capabilities (--cap-drop ALL, add only needed ones) — limit what the container can do
✓ Read-only filesystem (--read-only) where possible
✓ no-new-privileges (prevent privilege escalation)
✓ Set RESOURCE LIMITS (prevent DoS from resource exhaustion)
✓ NEVER run --privileged unless absolutely necessary (it gives near-host access)
✓ Don't bake secrets into images; use secrets management at runtime
✓ Protect the DOCKER DAEMON — the daemon runs as root; access to it = root on the host
(don't expose the Docker socket; mounting /var/run/docker.sock into a container is risky)
✓ Keep the host and Docker engine PATCHED; use minimal/hardened host OS
✓ Isolate networks; limit container-to-container and container-to-host access
✓ Consider rootless Docker / user namespaces for stronger isolation
Menyelamatkan kontena Docker adalah pengetahuan peringkat senior yang penting kerana kerentanan kontena boleh menjejaskan kedua-dua kontena dan hos, menjadikan keselamatan satu kebimbangan berbilang lapisan dengan akibat yang nyata. Amalan keselamatan imej (imej asas minimal/dipercayai untuk mengurangkan permukaan serangan, menetapkan versi tetap, mengimbas kerentanan untuk menangkap CVE yang diketahui, mengemas kini imej) mencegah penghantaran imej yang boleh dieksploitasi — punca biasa kerentanan. Keselamatan runtime amat kritikal: menjalankan sebagai non-root adalah salah satu amalan paling penting kerana kontena root yang dikompromi adalah jauh lebih berbahaya (berpotensi membawa kepada kompromi hos), dan menggugurkan capability, menggunakan sistem fail baca-sahaja, mencegah peningkatan keistimewaan, serta tidak sekali-kali menggunakan --privileged melainkan benar-benar perlu (ia memberikan akses hampir setara hos) semuanya mengehadkan apa yang boleh dilakukan oleh penyerang jika kontena ditembusi — pertahanan berlapis. Pengurusan secret (tidak pernah membenamkan secret ke dalam imej, menggunakan secret pada masa runtime) mencegah kebocoran kelayakan. Keselamatan hos dan daemon adalah penting dan sering diabaikan: daemon Docker berjalan sebagai root, jadi akses kepadanya (atau Docker socket) secara berkesan bermakna root pada hos — menjadikan perlindungan daemon, tidak mendedahkan Docker socket, dan mengekalkan hos dipatch adalah penting, dengan Docker rootless dan user namespace menawarkan pengasingan yang lebih kukuh.
Memandangkan kontena berkongsi kernel hos (jadi pelarian kontena atau kompromi hos mempunyai akibat yang serius) dan aplikasi berasaskan kontena adalah meluas dalam produksi, dan memandangkan keselamatan yang betul (imej minimal/diimbas, runtime non-root dengan capability terhad, pengurusan secret, dan pengukuhan daemon/hos) adalah apa yang mencegah kompromi kontena dan hos sebenar, memahami cara menyelamatkan kontena Docker adalah pengetahuan peringkat senior yang penting — satu tanggungjawab kritikal untuk penempatan kontena produksi, di mana amalan berlapis (terutamanya pelaksanaan non-root dan melindungi daemon yang berkeistimewaan root) menangani risiko keselamatan yang tulen dan serius yang wujud dalam pengkontenaan.