Endurecimento de Contêineres Docker para Produção

Visão Geral

O endurecimento de contêineres Docker para produção envolve a aplicação de melhores práticas de segurança alinhadas com o CIS Docker Benchmark v1.8.0 para minimizar a superfície de ataque, prevenir a escalada de privilégios e impor princípios de menor privilégio em todo o daemon Docker, imagens, contêineres e configurações de tempo de execução.

Quando Usar

• Ao implantar ou configurar o endurecimento de contêineres Docker para capacidades de produção em seu ambiente
• Ao estabelecer controles de segurança alinhados com requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Docker Engine 24.0+ instalado
• Docker Compose v2
• Host Linux com kernel 5.10+
• Acesso root ou sudo no host Docker
• Ferramenta docker-bench-security
• Hadolint para linting de Dockerfile
• Dockle para linting de imagem

Conceitos Principais

Seções do CIS Docker Benchmark

1. Configuração do Host - Auditar arquivos do daemon Docker, restringir o acesso a /var/run/docker.sock
2. Configuração do Daemon Docker - Habilitar TLS, restringir a comunicação entre contêineres, configurar logging
3. Arquivos de Configuração do Daemon Docker - Definir propriedade e permissões em daemon.json
4. Imagens Docker e Arquivo de Build - Usar imagens base confiáveis, escanear por vulnerabilidades, builds multi-estágio
5. Tempo de Execução do Contêiner - Remover capacidades, rootfs somente leitura, restringir syscalls
6. Operações de Segurança Docker - Monitorar, auditar e rotacionar credenciais

Princípios Chave de Endurecimento

• Menor Privilégio: Executar contêineres como não-root, remover todas as capacidades, exceto as necessárias
• Imutabilidade: Usar sistema de arquivos raiz somente leitura, tmpfs para diretórios graváveis
• Minimalismo: Usar imagens base distroless ou Alpine, builds multi-estágio
• Isolamento: Aplicar perfis seccomp, AppArmor/SELinux, restrições de namespace
• Auditabilidade: Habilitar confiança de conteúdo, registrar toda a atividade do contêiner

Fluxo de Trabalho

Etapa 1: Endurecer o Dockerfile

# Use specific digest for reproducibility
FROM python:3.12-slim@sha256:abc123... AS builder

WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir --user -r requirements.txt

# Production stage - minimal image
FROM gcr.io/distroless/python3-debian12

# Copy only necessary artifacts
COPY --from=builder /root/.local /root/.local
COPY --from=builder /app /app

WORKDIR /app

# Create non-root user
USER 65534:65534

# Set read-only filesystem expectation
LABEL org.opencontainers.image.source="https://github.com/org/app"

ENTRYPOINT ["python", "app.py"]

Etapa 2: Endurecer a Configuração do Daemon Docker

{
  "icc": false,
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  },
  "live-restore": true,
  "userland-proxy": false,
  "no-new-privileges": true,
  "default-ulimits": {
    "nofile": {
      "Name": "nofile",
      "Hard": 64000,
      "Soft": 64000
    },
    "nproc": {
      "Name": "nproc",
      "Hard": 1024,
      "Soft": 1024
    }
  },
  "seccomp-profile": "/etc/docker/seccomp-default.json",
  "tls": true,
  "tlscacert": "/etc/docker/tls/ca.pem",
  "tlscert": "/etc/docker/tls/server-cert.pem",
  "tlskey": "/etc/docker/tls/server-key.pem",
  "tlsverify": true
}

Etapa 3: Endurecer o Tempo de Execução do Contêiner

docker run -d \
  --name production-app \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid,size=100m \
  --tmpfs /var/run:rw,noexec,nosuid,size=10m \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  --security-opt no-new-privileges:true \
  --security-opt seccomp=/etc/docker/seccomp-default.json \
  --security-opt apparmor=docker-default \
  --pids-limit 100 \
  --memory 512m \
  --memory-swap 512m \
  --cpus 1.0 \
  --user 65534:65534 \
  --network custom-bridge \
  --restart on-failure:3 \
  --health-cmd "curl -f http://localhost:8080/health || exit 1" \
  --health-interval 30s \
  --health-timeout 10s \
  --health-retries 3 \
  myapp:latest

Etapa 4: Habilitar a Confiança de Conteúdo Docker

export DOCKER_CONTENT_TRUST=1
export DOCKER_CONTENT_TRUST_SERVER=https://notary.example.com

# Sign and push image
docker trust sign myregistry.com/myapp:v1.0.0

# Verify image signature before pull
docker trust inspect --pretty myregistry.com/myapp:v1.0.0

Etapa 5: Configurar Auditoria no Nível do Host

# Adicionar regras de auditoria para arquivos e diretórios Docker
cat >> /etc/audit/rules.d/docker.rules << 'EOF'
-w /usr/bin/docker -k docker
-w /var/lib/docker -k docker

…