Безопасность Docker предполагает несколько уровней защиты — минимальные и доверенные образы, запуск от непривилегированного пользователя, сканирование уязвимостей, управление секретами, ограничения ресурсов и возможностей, а также усиление безопасности хоста и демона. Безопасность контейнеров важна, поскольку уязвимости могут затронуть как сам контейнер, так и хост.
✓ Use MINIMAL base images (alpine, distroless) → fewer packages = smaller attack surface
✓ Use TRUSTED/official images; pin specific versions/DIGESTS (not "latest")
✓ SCAN images for vulnerabilities (Trivy, docker scout, Snyk) — in CI and regularly
✓ Keep base images UPDATED (patch known CVEs)
✓ Don't include secrets or unnecessary tools in images
✓ Run as NON-ROOT (USER instruction) — a root container that's compromised is far more
dangerous (especially with host access). This is one of the most important practices.
✓ Drop capabilities (--cap-drop ALL, add only needed ones) — limit what the container can do
✓ Read-only filesystem (--read-only) where possible
✓ no-new-privileges (prevent privilege escalation)
✓ Set RESOURCE LIMITS (prevent DoS from resource exhaustion)
✓ NEVER run --privileged unless absolutely necessary (it gives near-host access)
✓ Don't bake secrets into images; use secrets management at runtime
✓ Protect the DOCKER DAEMON — the daemon runs as root; access to it = root on the host
(don't expose the Docker socket; mounting /var/run/docker.sock into a container is risky)
✓ Keep the host and Docker engine PATCHED; use minimal/hardened host OS
✓ Isolate networks; limit container-to-container and container-to-host access
✓ Consider rootless Docker / user namespaces for stronger isolation
Защита Docker контейнеров — это важный навык для опытного разработчика, так как уязвимости контейнеров могут затронуть как сам контейнер, так и хост, что делает безопасность многоуровневой проблемой с серьёзными последствиями. Практики безопасности образов (минимальные/доверенные базовые образы для снижения поверхности атаки, закрепление версий, сканирование уязвимостей для обнаружения известных CVE, актуализация образов) предотвращают развёртывание уязвимых образов — распространённого источника проблем безопасности. Безопасность во время выполнения особенно критична: запуск от непривилегированного пользователя — одна из самых важных практик, так как скомпрометированный root контейнер намного опаснее (потенциально может привести к взлому хоста), а отключение возможностей, использование файловых систем только для чтения, предотвращение повышения привилегий и никогда не использовать --privileged без крайней необходимости (это предоставляет почти полный доступ к хосту) — всё это ограничивает возможности злоумышленника в случае взлома контейнера за счёт многоуровневой защиты. Управление секретами (никогда не встраивать секреты в образы, использовать секреты во время выполнения) предотвращает утечку учётных данных. Безопасность хоста и демона имеет решающее значение и часто упускается: демон Docker работает от имени root, поэтому доступ к нему (или к сокету Docker) фактически означает root доступ к хосту — поэтому защита демона, непубликация сокета Docker и актуализация хоста являются необходимыми, а rootless Docker и пространства имён пользователей обеспечивают более надёжную изоляцию.
Поскольку контейнеры разделяют ядро хоста (поэтому выход из контейнера или компрометация хоста имеют серьёзные последствия), контейнеризованные приложения распространены в production, и так как надлежащая безопасность (минимальные/отсканированные образы, запуск от непривилегированного пользователя с ограниченными возможностями, управление секретами и усиление безопасности демона/хоста) предотвращает реальные взломы контейнеров и хостов, понимание того, как защищать Docker контейнеры, — это важный навык для опытного разработчика — критическая ответственность при развёртывании контейнеров в production, где многоуровневые практики (особенно запуск от непривилегированного пользователя и защита работающего от имени root демона) противостоят реальным, серьёзным рискам безопасности, присущим контейнеризации.