Docker security

Docker est sous les feux de l’actualité par rapport aux aspects sécurité, à cause des failles de sécurité OS et applicatifs, à la politique de release management des images docker officielles. Docker Inc. et d’autres proposent des guides de bonnes pratiques, et des outils sécurité pour Docker. Je vais vous en présenter un panorama.

Les problèmes de sécurité Docker

Les problèmes de sécurité existent sur tous les systèmes, les containers et donc Docker n’échappent pas à ce constat ! Néanmoins, avec cette nouvelle prolifération de Docker, et son utilisation en production, il faut adresser la sécurité, appliquer de bonnes pratiques, auditer l’existant.

Le site de Banya vient d’indiquer, que selon son audit, le Docker HUB contiendrait dans 30% des Images Docker officielles, des vulnérabilités plus ou moins critiques, dont les fameuses failles qui ont jalonnées l’année 2014 et le début 2015 :

  • ShellShock (bash),
  • Heartbleed (OpenSSL),
  • Poodle (OpenSSL)

Official Images with Vulnerabilities

Lire l’article complet Over 30% of Official Images in Docker Hub Contain High Priority Security Vulnerabilities

White papers et best-practices sécurité Docker

CIS Security Benchmarks a publié il y a quelques mois, un document rédigé par de nombreux contributeurs Docker, Virtualisation et spécialistes de la sécurité, pour développer, déployer des solutions pour Docker :

En parallèle, Docker Inc. a publié un document qui introduit la sécurité des containers Docker : Introduction to Container Security

Gotham Digital Science propose un guide intéressant sur les options d’exécution de Docker : Deployment checklist for securely deploying Docker.

Des outils pour sécuriser Docker

Cosify propose un outil d’audit de sécurité pour les Unix, fonctionnant sur architecture x86 et ARM (RaspberryPi ou QNAP), nommé Lynis

Diogo Mónica propose également un outil, relayé par Docker qui vérifie automatiquement les bonnes pratiques sécurité Docker proposées par le CIS pour vérifier le niveau sécurité des containers Docker : Docker-bench-security

Docker audit tools

Conclusion provisoire sur le sécurité Docker

Je vous engage a lire les différents guides et a utiliser les outils disponibles pour améliorer la sécurité de vos containers Docker en production !