Dockerfile Güvenliği için En İyi Uygulamalar

Dockerfile Güvenliği için En İyi Uygulamalar dersine hoş geldiniz! Güvenli bir uygulama, güvenli bir temelle başlar.

Dockerfile'ınız yalnızca bir derleme betiği değildir; uygulamanızın güvenliği için bir taslaktır. Buradaki kötü uygulamalar önemli güvenlik açıklarına yol açabilir.

Bu derste Docker görüntülerinizi güçlendirmeye ve olası saldırı yüzeylerini en aza indirmeye yönelik temel stratejileri inceleyeceğiz.

FROM yönergesi ilk savunma hattınızdır. Her zaman Docker Hub gibi güvenilir kaynaklardan alınan, resmî ve iyi bakımı yapılan temel görüntüleri seçin.

• Resmî Görüntüler: Bunlar doğrulanır ve düzenli olarak güncellenir.
• Belirli Etiketler: latest kullanmaktan kaçının. Öngörülebilirlik ve kararlılık için belirli sürüm etiketlerini (ör. alpine:3.18) kullanın.
• Minimal Görüntüler: 'slim' veya 'alpine' sürümlerini tercih edin. Bunlar daha az paket içerir; dolayısıyla olası güvenlik açıkları da daha azdır.

Minimal ve belirli bir temel görüntü seçmenin güvenliği nasıl artırabileceğini görün. Bu seçim, istismar edilebilecek paket ve araçların sayısını azaltır.

Görüntünüze eklediğiniz her dosya, paket veya bağımlılık, onun 'saldırı yüzeyini' artırır. Mevcut yazılım ne kadar az olursa olası güvenlik açıkları da o kadar az olur.

Uygulamanızın çalışması için kesinlikle gerekli olanları yükleyin. Artık gerek duyulmadığında derleme araçlarını ve geçici dosyaları kaldırın.

Paketleri yüklerken paket yöneticisi önbelleklerini her zaman temizleyin ve gereksiz dosyaları kaldırın. Bu, son görüntünün boyutunu küçültür ve olası bilgi sızıntılarını ortadan kaldırır.

Ubuntu gibi Debian tabanlı görüntüler için aynı RUN yönergesinde apt-get clean komutunu kullanın ve /var/lib/apt/lists/* yolunu kaldırın.

Varsayılan olarak Docker kapsayıcısındaki işlemler root kullanıcısı olarak çalışır. Bu, ciddi bir güvenlik riskidir!

Bir saldırgan kapsayıcınızın denetimini ele geçirirse root ayrıcalıklarına sahip olur ve bu ayrıcalıklar kapsayıcıdan kaçmasına veya ana bilgisayar sistemini tehlikeye atmasına olanak tanıyabilir.

Her zaman özel, root olmayan bir kullanıcı oluşturun ve USER yönergesini kullanarak bu kullanıcıya geçin.

Yeni bir kullanıcı oluşturup Docker'a sonraki komutları bu kullanıcı olarak çalıştırmasını şu şekilde bildirebilirsiniz. Bu, kapsayıcı ele geçirilirse olası zararı önemli ölçüde sınırlar.

API anahtarları, veritabanı parolaları veya özel anahtarlar gibi hassas bilgileri hiçbir zaman doğrudan Dockerfile'ınıza sabit olarak yazmayın veya görüntünüze göndermeyin.

Bu gizli bilgiler, daha sonraki bir katmanda silseniz bile görüntüye erişimi olan herkes tarafından kolayca çıkarılabilir.

Bunun yerine çalışma zamanında Docker Secrets, ortam değişkenleri (hassas olmayan veriler için) veya Kubernetes Secrets gibi güvenli yöntemleri kullanın.

Hem COPY hem de ADD yönergeleri dosyaları görüntünüze kopyalar; ancak güvenlik ve açıklık açısından genellikle COPY tercih edilir.

• COPY: Yalnızca yerel dosya veya dizinleri kopyalar. Basit ve öngörülebilirdir.
• ADD: Dosyaları URL'lerden alabilir ve sıkıştırılmış arşivleri (tar, gzip) otomatik olarak açabilir. Bu ek işlevler, güvenilmeyen içerik indirme veya kötü amaçlı arşivleri açma gibi olası güvenlik riskleri oluşturur.

Gelişmiş özelliklerine özellikle ihtiyaç duymadığınız ve risklerini anlamadığınız sürece COPY kullanın.

Aşağıdaki Dockerfile uygulamalarından hangisi saldırı yüzeyini azaltmak ve olası güvenlik açıklarını en aza indirmek için kritik bir adımdır?

Harika iş! Güvenli kapsayıcılaştırmanın temelini oluşturan önemli Dockerfile güvenlik uygulamalarını öğrendiniz:

• Güvenilir ve Minimal Temel Görüntülerle Başlayın: Resmî, belirli sürümlü ve yalın görüntüler kullanın.
• Görüntü Boyutunu Küçültün: Yalnızca gerekenleri yükleyin ve yüklemelerden sonra temizlik yapın.
• Root Olmayan Kullanıcı Olarak Çalıştırın: Olası ihlallerin etkisini azaltmak için ayrıcalıkları sınırlayın.
• Gizli Bilgilerden Kaçının: Hassas verileri Dockerfile'ınıza hiçbir zaman sabit olarak yazmayın.
• `COPY` Yerine `ADD` Kullanmayı Tercih Edin: Daha öngörülebilir ve güvenli olan `COPY` yönergesini tercih edin.

Bu uygulamaları hayata geçirerek kapsayıcılaştırılmış uygulamalarınızın güvenlik duruşunu önemli ölçüde güçlendirirsiniz!