Docker-ის უსაფრთხოება

# image-ის სკანირება მოწყვლადობებზე Snyk ინტეგრაციით
docker scan my-image:latest

# სკანირება Trivy-ით (პოპულარული ღია კოდის სკანერი)
trivy image my-image:latest

# გამოიყენეთ კონკრეტული image-ის ვერსიები 'latest' თეგის ნაცვლად
docker pull nginx:1.21.6-alpine

# გამოიყენეთ მინიმალური საბაზისო image-ები თავდასხმის ზედაპირის შესამცირებლად
docker pull alpine:3.15.0

# image-ების ხელმოწერა და ვერიფიკაცია Docker Content Trust-ით
export DOCKER_CONTENT_TRUST=1
docker trust sign my-image:latest
docker trust inspect my-image:latest

# Verify image integrity with digest
docker pull nginx@sha256:2834dc507516af02784808c5f48b7cbe38b8ed5d0f4837f16e78d00deb7e7767

version: '3.8'
services:
  secure-app:
    image: my-app:latest
    # პრივილეგიების ესკალაციის თავიდან აცილება
    security_opt:
      - no-new-privileges:true
      # მორგებული seccomp პროფილის გამოყენება syscall-ების შესაზღუდად
      - seccomp:security-profile.json
      # AppArmor პროფილის ჩართვა (Linux)
      - apparmor=docker-default
    # root ფაილური სისტემის მხოლოდ წაკითხვადად ქცევა
    read_only: true
    # ჩაწერადი დროებითი საცავის უზრუნველყოფა
    tmpfs:
      - /tmp:size=64M,mode=1777
      - /var/run:size=32M
      - /var/cache:size=32M
    # გაშვება არა-root მომხმარებლით
    user: non-root-user
    # ყველა შესაძლებლობის მოშორება ნაგულისხმევად
    cap_drop:
      - ALL
    # მხოლოდ აუცილებელი შესაძლებლობების დამატება
    cap_add:
      - NET_BIND_SERVICE  # 1024-ზე დაბალ პორტებზე მიბმის ნებართვა
    # რესურსების ლიმიტების დაყენება
    deploy:
      resources:
        limits:
          cpus: '0.50'
          memory: 256M
        reservations:
          memory: 128M
    # Health check მონიტორინგისთვის
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost:8080/health"]
      interval: 30s
      timeout: 10s
      retries: 3
    # ლოგირების კონფიგურაცია
    logging:
      driver: "json-file"
      options:
        max-size: "10m"
        max-file: "3"
    # გარემოს ცვლადების დაყენება
    environment:
      - NODE_ENV=production
    # ქსელზე წვდომის კონტროლი
    networks:
      - internal
    # სათანადო გადატვირთვის პოლიტიკა
    restart: unless-stopped

networks:
  internal:
    # შიდა ქსელი პირდაპირი გარე წვდომის გარეშე
    internal: true

# CA-სა და სერტიფიკატების გენერირება Docker daemon TLS-ისთვის
mkdir -p ~/.docker/tls
cd ~/.docker/tls

# სერტიფიკატის ავტორიტეტის შექმნა
openssl genrsa -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -out ca.pem

# სერვერის სერტიფიკატის შექმნა
openssl genrsa -out server-key.pem 4096
openssl req -subj "/CN=docker-host" -new -key server-key.pem -out server.csr
openssl x509 -req -days 365 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem

# კლიენტის სერტიფიკატის შექმნა
openssl genrsa -out key.pem 4096
openssl req -subj "/CN=client" -new -key key.pem -out client.csr
openssl x509 -req -days 365 -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out cert.pem

# TLS-ის კონფიგურაცია Docker daemon-ისთვის
sudo dockerd \
  --tlsverify \
  --tlscacert=ca.pem \
  --tlscert=server-cert.pem \
  --tlskey=server-key.pem \
  -H=0.0.0.0:2376 \
  -H unix:///var/run/docker.sock

# Docker daemon-ის კონფიგურაციის განახლება daemon.json-ში
cat <<EOF | sudo tee /etc/docker/daemon.json
{
  "tls": true,
  "tlscacert": "/path/to/ca.pem",
  "tlscert": "/path/to/server-cert.pem",
  "tlskey": "/path/to/server-key.pem",
  "hosts": ["tcp://0.0.0.0:2376", "unix:///var/run/docker.sock"],
  "log-level": "info",
  "icc": false,
  "no-new-privileges": true,
  "userland-proxy": false,
  "live-restore": true,
  "default-ulimits": {
    "nofile": {
      "Name": "nofile",
      "Hard": 64000,
      "Soft": 64000
    }
  }
}
EOF

# Docker daemon-ის გადატვირთვა
sudo systemctl restart docker

# Docker სოკეტზე წვდომის შეზღუდვა
sudo chmod 660 /var/run/docker.sock
sudo chown root:docker /var/run/docker.sock

# Docker კლიენტის გამოყენება TLS-ით
docker --tlsverify \
  --tlscacert=ca.pem \
  --tlscert=cert.pem \
  --tlskey=key.pem \
  -H=docker-host:2376 version

# Trivy - ყოვლისმომცველი მოწყვლადობის სკანერი
trivy image my-image:latest

# დეტალური სკანირება Trivy-ით
trivy image --severity HIGH,CRITICAL --format json --output results.json my-image:latest

# Clair scanner - სტატიკური მოწყვლადობის ანალიზატორი
clair-scanner --ip $(hostname -i) my-image:latest

# Docker Bench Security - ამოწმებს ათობით გავრცელებულ საუკეთესო პრაქტიკას
docker run -it --net host --pid host --userns host --cap-add audit_control \
    -v /var/lib:/var/lib \
    -v /var/run/docker.sock:/var/run/docker.sock \
    -v /usr/lib/systemd:/usr/lib/systemd \
    -v /etc:/etc --label docker_bench_security \
    docker/docker-bench-security

# Anchore Engine - image-ის ღრმა ინსპექტირება და პოლიტიკის შეფასება
docker run -d --name anchore-engine anchore/anchore-engine
docker exec anchore-engine anchore-cli image add my-image:latest
docker exec anchore-engine anchore-cli image wait my-image:latest
docker exec anchore-engine anchore-cli image vuln my-image:latest os

# Falco - runtime უსაფრთხოების მონიტორინგი
docker run -d --name falco --privileged \
    -v /var/run/docker.sock:/var/run/docker.sock \
    -v /dev:/host/dev \
    -v /proc:/host/proc:ro \
    -v /boot:/host/boot:ro \
    -v /lib/modules:/host/lib/modules:ro \
    -v /usr:/host/usr:ro \
    falcosecurity/falco:latest

# Syft - SBOM (Software Bill of Materials) გენერატორი
syft my-image:latest

# Grype - მოწყვლადობის სკანერი SBOM-ზე დაფუძნებული
grype my-image:latest

# GitHub Actions სამუშაო პროცესის მაგალითი უსაფრთხოების სკანირებით
name: Docker Security Scan

on:
  push:
    branches: [ main ]
  pull_request:
    branches: [ main ]

jobs:
  security-scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v3
      
      - name: image-ის აგება
        run: docker build -t test-image:${{ github.sha }} .
      
      - name: სკანირება Trivy-ით
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: 'test-image:${{ github.sha }}'
          format: 'sarif'
          output: 'trivy-results.sarif'
          severity: 'CRITICAL,HIGH'
      
      - name: Trivy სკანირების შედეგების ატვირთვა
        uses: github/codeql-action/upload-sarif@v2
        with:
          sarif_file: 'trivy-results.sarif'

# Docker daemon-ის ლოგირების კონფიგურაცია
dockerd \
  --log-driver json-file \
  --log-opt max-size=10m \
  --log-opt max-file=3 \
  --log-level info

# daemon.json-ის კონფიგურაცია ლოგირებისთვის
cat <<EOF > /etc/docker/daemon.json
{
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "5",
    "labels": "production_status",
    "env": "os,customer"
  },
  "debug": true,
  "experimental": false
}
EOF

# რეალურ დროში კონტეინერის მოვლენების მონიტორინგი
docker events --filter 'type=container' --format '{{.ID}} {{.Type}} {{.Action}}'

# კონტეინერის რესურსების გამოყენების შემოწმება დეტალური სტატისტიკით
docker stats --all --format "table {{.Name}}\t{{.CPUPerc}}\t{{.MemUsage}}\t{{.NetIO}}\t{{.BlockIO}}"

# კონტეინერის სასიცოცხლო ციკლის მოვლენების მონიტორინგი
docker events --filter 'type=container' --filter 'event=start' --filter 'event=die'

# კონტეინერის ლოგირების კონფიგურაცია
docker run --log-driver=syslog --log-opt syslog-address=udp://syslog-server:514 nginx

# cAdvisor-ის გამოყენება კონტეინერის მონიტორინგისთვის
docker run \
  --volume=/:/rootfs:ro \
  --volume=/var/run:/var/run:ro \
  --volume=/sys:/sys:ro \
  --volume=/var/lib/docker/:/var/lib/docker:ro \
  --publish=8080:8080 \
  --detach=true \
  --name=cadvisor \
  --restart=always \
  google/cadvisor:latest

# Prometheus-ის გამოყენება მეტრიკების შესაგროვებლად
docker run -d \
  --name=prometheus \
  --publish=9090:9090 \
  --volume=/path/to/prometheus.yml:/etc/prometheus/prometheus.yml \
  prom/prometheus:latest

# Falco-ს გამოყენება runtime უსაფრთხოების მონიტორინგისთვის
docker run -d \
  --name falco \
  --privileged \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v /dev:/host/dev \
  -v /proc:/host/proc:ro \
  -v /boot:/host/boot:ro \
  -v /lib/modules:/host/lib/modules:ro \
  -v /usr:/host/usr:ro \
  falcosecurity/falco:latest

# prometheus.yml
global:
  scrape_interval: 15s

scrape_configs:
  - job_name: 'cadvisor'
    static_configs:
      - targets: ['cadvisor:8080']
  
  - job_name: 'node-exporter'
    static_configs:
      - targets: ['node-exporter:9100']

# falco_rules.yaml
- rule: Container Shell Activity
  desc: კონტეინერში shell-ი გაეშვა
  condition: container.id != "" and proc.name = bash
  output: "Shell გაეშვა კონტეინერში (user=%user.name container=%container.name container_id=%container.id)"
  priority: WARNING

- rule: Unauthorized Files Access
  desc: მგრძნობიარე ფაილებზე წვდომის მცდელობების გამოვლენა
  condition: >
    container and
    (fd.name startswith "/etc/shadow" or
     fd.name startswith "/etc/passwd")
  output: "მგრძნობიარე ფაილზე წვდომა (user=%user.name file=%fd.name container=%container.name)"
  priority: ALERT