Sikring av Docker innebærer flere lag — minimale og pålitelige avbildninger, kjøring som ikke-root, sårbarhetsscanning, hemmelighetsadministrasjon, ressurs- og kapabilitetsbegrensninger, og hardning av vert/daemon. Beholderssikkerhet er viktig fordi sårbarheter kan påvirke både beholderen og verten.
✓ Use MINIMAL base images (alpine, distroless) → fewer packages = smaller attack surface
✓ Use TRUSTED/official images; pin specific versions/DIGESTS (not "latest")
✓ SCAN images for vulnerabilities (Trivy, docker scout, Snyk) — in CI and regularly
✓ Keep base images UPDATED (patch known CVEs)
✓ Don't include secrets or unnecessary tools in images
✓ Run as NON-ROOT (USER instruction) — a root container that's compromised is far more
dangerous (especially with host access). This is one of the most important practices.
✓ Drop capabilities (--cap-drop ALL, add only needed ones) — limit what the container can do
✓ Read-only filesystem (--read-only) where possible
✓ no-new-privileges (prevent privilege escalation)
✓ Set RESOURCE LIMITS (prevent DoS from resource exhaustion)
✓ NEVER run --privileged unless absolutely necessary (it gives near-host access)
✓ Don't bake secrets into images; use secrets management at runtime
✓ Protect the DOCKER DAEMON — the daemon runs as root; access to it = root on the host
(don't expose the Docker socket; mounting /var/run/docker.sock into a container is risky)
✓ Keep the host and Docker engine PATCHED; use minimal/hardened host OS
✓ Isolate networks; limit container-to-container and container-to-host access
✓ Consider rootless Docker / user namespaces for stronger isolation
Sikring av Docker-beholdere er viktig kunnskap på senior-nivå fordi sårbarheter i beholdere kan påvirke både beholderen og verten, noe som gjør sikkerhet til et flerlags problem med reelle konsekvenser. Avbildningssikkerhet praksis (minimale/pålitelige basisavbildninger for å redusere angrepsflateu, fastlåsing av versjoner, scaning for sårbarheter for å fange kjente CVE-er, holde avbildninger oppdatert) forhindrer forsendelse av utnyttbare avbildninger — en vanlig kilde til sårbarheter. Sikkerhet ved kjøring er særlig kritisk: kjøring som ikke-root er en av de viktigste praksisene fordi en kompromittert root-beholder er langt mer farlig (potensielt fører til vertskompromiss), og slipping av kapabiliter, bruk av skrivebeskyttede filsystemer, forhindring av rettighetsmessig eskalering, og aldri bruk av --privileged med mindre det er absolutt nødvendig (det gir nær-vertsadgang) begrenser hva en angriper kan gjøre hvis en beholder blir brutt — forsvar i dybden. Hemmelighetsadministrasjon (aldri steking av hemmeligheter inn i avbildninger, bruk av kjøretidshemmeligheter) forhindrer lekkasje av legitimasjon. Vert- og daemonsikkerhet er avgjørende og ofte oversett: Docker-daemonen kjører som root, så tilgang til den (eller Docker-socketen) betyr effektivt root på verten — noe som gjør det essensielt å beskytte daemonen, ikke eksponere Docker-socketen, og holde verten oppdatert, med rootless Docker og brukernavnerom som tilbyr sterkere isolering.
Siden beholdere deler vertens kjerne (så en beholderflukting eller vertskompromiss har alvorlige konsekvenser) og containeriserte applikasjoner er gjennomgripende i produksjon, og siden riktig sikkerhet (minimale/skannede avbildninger, ikke-root kjøring med begrenset kapabiliter, hemmelighetsadministrasjon, og daemon-/vertsikring) er det som forhindrer ekte beholder- og vertskompromisser, er forståelse av hvordan du sikrer Docker-beholdere viktig kunnskap på senior-nivå — et kritisk ansvar for produksjonscontainerutsettelser, der de lagdelte praksisene (spesielt ikke-root-kjøring og beskyttelse av root-privilegert daemon) håndterer genuin, alvorlige sikkerhetsrisikoer iboende containerisering.