Segurança de Containers

Proteja imagens de container e configurações de tempo de execução.

Quando Usar Esta Habilidade

Use esta habilidade quando:

• Construir imagens de container seguras
• Reforçar implantações de container
• Atender aos requisitos de segurança de container
• Implementar defesa em profundidade

Segurança do Dockerfile

# Example for an application binary already built for this Alpine/musl runtime.
# Pin an approved immutable digest for real builds; refresh supported base images.
FROM alpine:3.24
RUN addgroup -g 1001 -S appgroup && \
    adduser -u 1001 -S appuser -G appgroup
WORKDIR /app
# Copy only the intended reviewed build artifact, not credentials or the entire repo.
COPY --chown=appuser:appgroup myapp /app/myapp
USER 1001:1001
ENTRYPOINT ["/app/myapp"]

Segurança em Tempo de Execução

# Run with security options
docker run -d \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid,size=64m \
  --security-opt=no-new-privileges:true \
  --cap-drop=ALL \
  --user 1001:1001 \
  myapp@sha256:<reviewed-image-digest>

Contexto de Segurança do Kubernetes

apiVersion: v1
kind: Pod
metadata:
  name: hardened-example
spec:
  securityContext:
    runAsNonRoot: true
    runAsUser: 1001
    fsGroup: 1001
  containers:
  - name: app
    image: myapp@sha256:<reviewed-image-digest>
    resources:
      requests: {cpu: "100m", memory: "64Mi"}
      limits: {cpu: "500m", memory: "256Mi"}
    securityContext:
      allowPrivilegeEscalation: false
      readOnlyRootFilesystem: true
      capabilities:
        drop: ["ALL"]

Verificação de Imagens

# Scan with Trivy
trivy image --severity HIGH,CRITICAL myapp@sha256:<reviewed-image-digest>

# Consider a maintained distroless image only when the actual application is compatible;
# FROM belongs in a Dockerfile, not this shell scanning example.

Melhores Práticas

• Use imagens base mínimas
• Execute como usuário não root
• Habilite o sistema de arquivos somente leitura
• Remova todas as capacidades
• Verifique imagens regularmente
• Assine e verifique imagens
• Use gerenciamento de segredos

Habilidades Relacionadas

• container-scanning (container-scanning) - Verificação de vulnerabilidades
• kubernetes-hardening (kubernetes-hardening) - Segurança do K8s

Limitações

• O Dockerfile precisa de um executável revisado myapp construído para o ABI selecionado; ele não está incluído. Dependências de compilação nunca foram instaladas nesta etapa, portanto, não execute apk del contra um grupo virtual inexistente. Prefira uma etapa de construção separada quando a compilação for necessária.
• Substitua os placeholders de digest com identidades de imagem verificadas antes da execução. O YAML do Pod é um modelo; ajuste os orçamentos de recursos reais e volumes aprovados, política de rede e permissões de carga de trabalho. Nenhuma compilação Docker, aplicação de cluster ou execução de scanner é reivindicada.
• Sistemas de arquivos somente leitura e capacidades removidas reduzem privilégios, mas não são um sandbox completo. Adicione caminhos graváveis apenas onde for necessário; portas baixas não justificam NET_BIND_SERVICE por padrão. A verificação pode revelar artefatos ou usar bancos de dados de rede, portanto, revise os caminhos de dados e as políticas primeiro.
• Importação apenas de documentação: scripts e modelos de upstream não estão incluídos.

Exemplo

# Read-only first: inventory before any active step.
command -v docker
docker --version

Adaptado de BagelHole/DevOps-Security-Agent-Skills (MIT); frontmatter, Quando Usar/Limitações e limites de segurança adicionados para conformidade com o upstream. Importação apenas de documentação: scripts e modelos auxiliares não estão incluídos.