Ders 3.12: Konteynerleri güvenle çalıştırmak
Konteynerler ana makinenin çekirdeğini paylaşır; bu yüzden bir konteyner ile ana makinesi arasındaki yalıtım, onun nasıl başlatıldığına bağlıdır. Ayrıcalıklı bir konteyner, ek Linux yetenekleri, içeri bağlanmış ana makinenin Docker soketi ya da ana makine ağı, her biri o duvarın bir kısmını kaldırır ve uygulamaya giren bir saldırgan ana makineye adım atabilir. Laboratuvarda Northwind'in üç konteynerinin nasıl çalıştığını denetliyor, API konteynerinin neredeyse hiç yalıtımı olmadığını buluyor, onu durduruyor ve onun yerini alacak sağlamlaştırılmış çalıştırma komutunu okuyorsun.
17 dk
Bu derste öğreneceklerin
- Çalışma anı ayarlarının neden önemli olduğunu açıklamak
- Ayrıcalıklı konteynerleri tespit etmek
- Docker soketi bağlamayı tanımak
- Yetenekleri ve salt okunur ayarları okumak
- Sağlamlaştırılmış bir docker run'ı tarif etmek
Temel terimler
- Ayrıcalıklı konteyner
- --privileged ile başlatılmış konteyner: tüm yetenekler ve ana makine aygıtlarına erişim; fiilen ana makinede root.
- Linux yetenekleri
- Root'un güçlerinin süreç başına eklenebilen ya da bırakılabilen parçalara bölünmüş hâli.
- Docker soketi
- /var/run/docker.sock, Docker motorunun API'si; onu bir konteynere bağlamak ana makinenin denetimini verir.
- Konteynerden kaçış
- Bir saldırganın bir konteynerden ana makineye çıkması.
- Salt okunur kök dosya sistemi
- Açıkça yazılabilir bağlamalar dışında dosya sistemi değiştirilemeyen bir konteyneri çalıştırmak.
← Eşikler ve temel çizgiler · Tüm dersler · Parola politikası ve sızmış parolalar →