Безопасность Docker: Усиление защиты контейнерной среды

# Плохая практика — запуск от root
FROM node:20
WORKDIR /app
COPY . .
RUN npm install
CMD ["node", "server.js"]

# Хорошая практика — пользователь без root
FROM node:20

# Создать пользователя и группу
RUN groupadd -r appgroup && useradd -r -g appgroup appuser

WORKDIR /app
COPY --chown=appuser:appgroup . .
RUN npm ci --only=production

# Переключиться на пользователя без root
USER appuser

CMD ["node", "server.js"]

# Запустить с конкретным пользователем
docker run -d --user 1000:1000 myapp:latest

# Запустить с текущим пользователем
docker run -d --user $(id -u):$(id -g) myapp:latest

# Запустить с корневой файловой системой только для чтения
docker run -d \
  --name myapp \
  --read-only \
  --tmpfs /tmp \
  --tmpfs /var/run \
  myapp:latest

# docker-compose.yml
services:
  app:
    image: myapp:latest
    read_only: true
    tmpfs:
      - /tmp
      - /var/run
    volumes:
      - app-logs:/app/logs

# Удалить все capabilities, добавить только необходимые
docker run -d \
  --name myapp \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  myapp:latest

# НИКОГДА не использовать привилегированный режим
# docker run --privileged myapp  # ПЛОХАЯ ПРАКТИКА

services:
  app:
    image: myapp:latest
    cap_drop:
      - ALL
    cap_add:
      - NET_BIND_SERVICE
      - CHOWN

# Запустить с профилем seccomp по умолчанию (рекомендуется)
docker run -d --security-opt seccomp=default myapp:latest

# Пользовательский профиль seccomp
docker run -d \
  --security-opt seccomp=/path/to/seccomp-profile.json \
  myapp:latest

# Минимальный образ с многоэтапной сборкой
FROM node:20-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci --only=production
COPY . .
RUN npm run build

# Production-образ — минимальный
FROM node:20-alpine

# Применить обновления безопасности
RUN apk update && apk upgrade && apk add --no-cache dumb-init

# Пользователь без root
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

WORKDIR /app
COPY --from=builder --chown=appuser:appgroup /app/dist ./dist
COPY --from=builder --chown=appuser:appgroup /app/node_modules ./node_modules

USER appuser

HEALTHCHECK --interval=30s --timeout=3s --start-period=5s --retries=3 \
  CMD wget -qO- http://localhost:3000/health || exit 1

ENTRYPOINT ["dumb-init", "--"]
CMD ["node", "dist/server.js"]

# Сканирование с Trivy (рекомендуется)
docker run --rm \
  -v /var/run/docker.sock:/var/run/docker.sock \
  aquasec/trivy:latest image myapp:latest

# Только критические и высокие уязвимости
docker run --rm \
  -v /var/run/docker.sock:/var/run/docker.sock \
  aquasec/trivy:latest image \
  --severity CRITICAL,HIGH \
  myapp:latest

# Монтировать Docker socket только для чтения (для мониторинга)
docker run -d \
  --name monitoring \
  -v /var/run/docker.sock:/var/run/docker.sock:ro \
  monitoring-app:latest

# НИКОГДА не монтировать Docker socket в production-контейнерах!

# Использовать Docker secrets (режим Swarm)
echo "StrongPass123!" | docker secret create db_password -

docker service create \
  --name myapp \
  --secret db_password \
  myapp:latest
# Секрет доступен по пути /run/secrets/db_password

# Открывать только необходимые порты
docker run -d \
  --name myapp \
  -p 127.0.0.1:8080:8080 \
  myapp:latest

# Лимиты CPU и памяти
docker run -d \
  --name myapp \
  --memory 512m \
  --memory-swap 512m \
  --cpus 1.0 \
  --pids-limit 100 \
  myapp:latest

// /etc/docker/daemon.json
{
  "icc": false,
  "no-new-privileges": true,
  "userns-remap": "default",
  "live-restore": true,
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  }
}