Att säkra Docker innebär flera lager — minimala och pålitliga images, körning som icke-root, sårbarhetsövervakning, hantering av hemligheter, resurs- och kapacitetsgränser och hardening av värd/daemon. Containersäkerhet är viktig eftersom sårbarheter kan påverka både containern och värden.
✓ Use MINIMAL base images (alpine, distroless) → fewer packages = smaller attack surface
✓ Use TRUSTED/official images; pin specific versions/DIGESTS (not "latest")
✓ SCAN images for vulnerabilities (Trivy, docker scout, Snyk) — in CI and regularly
✓ Keep base images UPDATED (patch known CVEs)
✓ Don't include secrets or unnecessary tools in images
✓ Run as NON-ROOT (USER instruction) — a root container that's compromised is far more
dangerous (especially with host access). This is one of the most important practices.
✓ Drop capabilities (--cap-drop ALL, add only needed ones) — limit what the container can do
✓ Read-only filesystem (--read-only) where possible
✓ no-new-privileges (prevent privilege escalation)
✓ Set RESOURCE LIMITS (prevent DoS from resource exhaustion)
✓ NEVER run --privileged unless absolutely necessary (it gives near-host access)
✓ Don't bake secrets into images; use secrets management at runtime
✓ Protect the DOCKER DAEMON — the daemon runs as root; access to it = root on the host
(don't expose the Docker socket; mounting /var/run/docker.sock into a container is risky)
✓ Keep the host and Docker engine PATCHED; use minimal/hardened host OS
✓ Isolate networks; limit container-to-container and container-to-host access
✓ Consider rootless Docker / user namespaces for stronger isolation
Att säkra Docker-containrar är viktig kunskap på seniornivå eftersom containersårbarheter kan påverka både containern och värden, vilket gör säkerhet till ett flerlager-problem med verkliga konsekvenser. Imagesäkerhet (minimala/pålitliga basavbildningar för att minska attackytan, versionsnycklar, scanning för sårbarheter för att fånga kända CVE:er, hålla images uppdaterade) förhindrar leverans av exploaterbara images — en vanlig källa till sårbarheter. Körtidssäkerhet är särskilt kritisk: körning som icke-root är en av de viktigaste metoderna eftersom en komprometterad root-container är mycket farligare (potentiellt kan leda till värdkompromiss), och borttagning av kapaciteter, användning av skrivskyddade filsystem, förhindring av rättighetsökning och aldrig använda --privileged såvida det inte är absolut nödvändigt (det ger nästan värdåtkomst) begränsar alla vad en angripare kan göra om en container blir bruten — försvar i djupet. Hemlighetershantering (aldrig baka hemligheter in i images, använda körtidshemligheter) förhindrar läck av autentiseringsuppgifter. Värd- och daemon-säkerhet är avgörande och ofta förbisedd: Docker-daemonen körs som root, så åtkomst till den (eller Docker-socketen) betyder effektivt root på värden — vilket gör det väsentligt att skydda daemonen, inte exponera Docker-socketen och hålla värden uppdaterad, där rootlös Docker och användarnamnutrymmen erbjuder starkare isolering.
Eftersom containrar delar värdkärnan (så ett container-escape eller värdkompromiss har allvarliga konsekvenser) och containeriserade applikationer är genomgripande i produktion, och eftersom korrekt säkerhet (minimala/skannade images, icke-root-körning med begränsade kapaciteter, hemlighetershantering och daemon-/värd-hardening) är vad som förhindrar verkliga container- och värdkompromisser, är förståelse för hur man säkrar Docker-containrar viktig kunskap på seniornivå — ett kritiskt ansvar för produktionscontainerdistributioner, där de lagrade metoderna (särskilt icke-root-körning och skyddet av root-privilegerad daemon) åtgärdar verkliga, allvarliga säkerskaprisker som är inneboende i containerisering.