Tere, Habr!

Kaasaegses reaalsuses, arvestades konteinerimise kasvavat rolli arendusprotsessides, on konteineritega seotud erinevate etappide ja subjektide turvalisuse tagamine oluline teema. Manuaalsed kontrollid on aeganõudvad, seega oleks hea teha vähemalt esimesed sammud selle protsessi automatiseerimiseks.

Selles artiklis jagan valmis skripte, et rakendada mitmeid Docker'i turvalisuse tööriistu ja juhiseid selle protsessi testimiseks väikese demo keskkonna seadistamiseks. Materjale saab kasutada, et katsetada, kuidas korraldada turvatestide protsessi Docker'i piltide ja Dockerfile'i käskude jaoks. On selge, et igalühel on erinev arendus- ja juurutus-infrastruktuur, seega toon allpool mõned võimalikud lahendused.

Turvalisuse kontrollimise tööriistad

On olemas palju erinevaid abirakendusi ja skripte, mis teostavad kontrollimist erinevate aspektide üle Docker'i infrastruktuuris. Osad neist on juba eelnevas artiklis kirjeldatud (https://habr.com/ru/company/swordfish_security/blog/518758/#docker-security), kuid käesolevas materjalis soovin peatuda kolmel, mis katab suurima osa Docker'i piltide turvanõuetest, mille loomine toimub arendusprotsessis. Lisaks näitan ka näidet, kuidas neid kolme tööriista kokku ühendada ühe võrgustikku turvalisuse kontrollimiseks.

Hadolint
https://github.com/hadolint/hadolint

Suhteliselt lihtne konsoolitööriist, mis aitab esialgu hinnata Dockerfile'i käskude korrektsust ja turvalisust (näiteks ainult lubatud piltide registrite kasutamine või sudo kasutamine).

Dockle
https://github.com/goodwithtech/dockle

Konsoolitööriist, mis töötab pildiga (või salvestatud pildi tar-archiiviga), kontrollides konkreetse pildi korrektsust ja turvalisust, analüüsides selle kihte ja konfiguratsiooni – millised kasutajad on loodud, milliseid käske kasutatakse, millised vabrikud on ühendatud, olemasolu tühja parooli jne. Hetkel on kontrollide arv veel üsna väike ning põhineb mitmetel enda kontrollidel ja soovitustel. CIS (Center for Internet Security) Benchmark Docker'i jaoks.


Trivy
https://github.com/aquasecurity/trivy

See tööriist on suunatud kahe tüüpi haavatavuste leidmisele – operatsioonisüsteemi kogumite probleemid (toetatakse Alpine, RedHat (EL), CentOS, Debian GNU ja Ubuntu) ning sõltuvuste probleemid (Gemfile.lock, Pipfile.lock, composer.lock, package-lock.json, yarn.lock, Cargo.lock). Trivy suudab skaneerida nii pilti hoidlas kui ka kohalikku pilti ja viia skaneerimist läbi edastatud .tar-faili põhjal, mis sisaldab Docker-pilti.

Tööriistade juurutamise variandid

Kuna soovin proovida kirjeldatud rakendusi isoleeritud tingimustes, toon välja juhised kõikide tööriistade installimiseks lihtsustatud protsessi raames.

Peamine idee on näidata, kuidas automaatset kontrolli Dockerfile'i ja arendusprotsessi käigus loodud Docker-piltide sisu rakendada.

Kontroll koosneb järgmistest etappidest:

1. Dockerfile'i käskude õigsuse ja turvalisuse kontrollimine - linteri tööriistaga Hadolint
2. Lõpp- ja vahepilti õigsuse ja turvalisuse kontrollimine - tööriistaga Dockle
3. Tuntud haavatavuste (CVE) olemasolu kontrollimine põhijoonel ja mitmesse sõltuvusse - tööriistaga Trivy

Edasiartiklis toon välja kolm varianti nende sammude juurutamiseks:
Esimene - CI/CD pipeline'i konfigureerimise teel GitLabi näitel (võttes arvesse testinstantsi tõstmisprotsessi).
Teine - shell-skripti abil.
Kolmas - Docker-pildi loomisega Docker-piltide skaneerimiseks.
Saate valida variandi, mis sobib teile kõige paremini, viia selle oma infrastruktuuri ja kohandada oma vajadustega.

Kõik vajalikud failid ja täiendavad juhised on samuti hoidlas: https://github.com/Swordfish-Security/docker_cicd

Integreerimine GitLab CI/CD-sse

Esimeses variandis vaatame, kuidas saab juurutada turvaparandusi GitLabi hoidlasüsteemi näitel. Siin käime samm-sammult läbi, kuidas seadistada nullist testkeskkond GitLabiga, koostada skaneerimisprotsess ja käivitada tööriistad test Dockerfile'i ja juhusliku pildi - rakenduse JuiceShop - kontrollimiseks.

GitLabi installimine
1. Installige Docker:

sudo apt-get update && sudo apt-get install docker.io

2. Lisage praegune kasutaja docker-gruppi, et saaksite Dockeriga töötada ilma sudo't kasutamata:

sudo addgroup  docker

3. Leidke oma IP:

ip addr

4. Installige ja käivitage GitLab konteineris, asendades hostname'is IP aadress oma omaga:

docker run --detach 
--hostname 192.168.1.112 
--publish 443:443 --publish 80:80 
--name gitlab 
--restart always 
--volume \/srv\/gitlab\/config:\/etc\/gitlab 
--volume \/srv\/gitlab\/logs:\/var\/log\/gitlab 
--volume \/srv\/gitlab\/data:\/var\/opt\/gitlab 
gitlab\/gitlab-ce:latest

Ootame, kuni GitLab täidab kõik vajalikud installatsiooniprotseduurid (protsessi saab jälgida logifaili väljundi kaudu: docker logs -f gitlab).

5. Avame oma kohaliku IP-aadressi brauseris ja näeme lehte, kus pakutakse muuta root kasutaja parooli:

Seame uue parooli ja siseneme GitLabi.

6. Loome uue projekti, näiteks cicd-test, ja initsialiseerime selle algfailiga README.md:

7. Nüüd peame installima GitLab Runneri: agendi, mis käivitab kõik vajalikud toimingud vastavalt päringule.
Laadime alla uusima versiooni (sel juhul - Linux 64-bit):

sudo curl -L --output \/usr\/local\/bin\/gitlab-runner https:\/\/gitlab-runner-downloads.s3.amazonaws.com\/latest\/binaries\/gitlab-runner-linux-amd64

8. Teeme selle käivitatavaks:

sudo chmod +x \/usr\/local\/bin\/gitlab-runner

9. Lisame operatsioonisüsteemi kasutaja Runner-ile ja käivitame teenuse:

sudo useradd --comment 'GitLab Runner' --create-home gitlab-runner --shell \/bin\/bash
sudo gitlab-runner install --user=gitlab-runner --working-directory=\/home\/gitlab-runner
sudo gitlab-runner start

Tulemus peaks olema ligikaudu järgmine:

local@osboxes:~$ sudo gitlab-runner install --user=gitlab-runner --working-directory=\/home\/gitlab-runner
Runtime platform arch=amd64 os=linux pid=8438 revision=0e5417a3 version=12.0.1
local@osboxes:~$ sudo gitlab-runner start
Runtime platform arch=amd64 os=linux pid=8518 revision=0e5417a3 version=12.0.1

10. Nüüd registreerime Runneri, et see saaks suhelda meie GitLabi instantsiga.
Selleks avame lehe Settings-CI\/CD (http:\/\/OUR_ IP_ADDRESS\/root\/cicd-test\/-\/settings\/ci_cd) ja vahekaardil Runners leiame URL-i ja Registration tokeni:

11. Registreerime Runneri, asetades URL-i ja Registration tokeni:

sudo gitlab-runner register 
--non-interactive 
--url "http:\/\/<URL>\/" 
--registration-token "<Registration Token>" 
--executor "docker" 
--docker-privileged 
--docker-image alpine:latest 
--description "docker-runner" 
--tag-list "docker,privileged" 
--run-untagged="true" 
--locked="false" 
--access-level="not_protected"

Lõpuks saame töötava GitLabi, kuhu tuleb lisada juhiseid meie utiliitide käivitamiseks. Antud demonstreerimisel puuduvad meil rakenduse koostamise ja konteineriseerimise etapid, kuid reaalses keskkonnas järgnevad need skaneerimise etappidele ja loovad analüüsiks pildid ja Dockerfile.

Pipeline'i konfiguratsioon

1. Lisame reposse failid mydockerfile.df (see on teatud testimiseks mõeldud Dockerfile, mida me vaatame) ja GitLab CI\/CD protsessi konfiguratsioonifaili .gitlab-cicd.yml, mis loetleb skanneritele antud juhised (tähelepanu punkt faili nimetuses).

YAML konfiguratsioonifail sisaldab juhiseid kolme tööriista (Hadolint, Dockle ja Trivy) käivitamiseks, mis analüüsivad valitud Dockerfile'i ja pilti, mis on määratud muutuja DOCKERFILE kaudu. Kõik vajalikud failid on saadaval hoidlas: https://github.com/Swordfish-Security/docker_cicd/

Väljavõte mydockerfile.df (see on abstraktne fail juhuslike käskude kogumiga, mis on mõeldud ainult tööriista demonstreerimiseks). Otsene link faili juurde: mydockerfile.df

mydockerfile.df sisu

FROM amd64/node:10.16.0-alpine@sha256:f59303fb3248e5d992586c76cc83e1d3700f641cbcd7c0067bc7ad5bb2e5b489 AS tsbuild
COPY package.json .
COPY yarn.lock .
RUN yarn install
COPY lib lib
COPY tsconfig.json tsconfig.json
COPY tsconfig.app.json tsconfig.app.json
RUN yarn build
FROM amd64/ubuntu:18.04@sha256:eb70667a801686f914408558660da753cde27192cd036148e58258819b927395
LABEL maintainer="Rhys Arkins <rhys@arkins.net>"
LABEL name="renovate"
...
COPY php.ini /usr/local/etc/php/php.ini
RUN cp -a /tmp/piik/* /var/www/html/
RUN rm -rf /tmp/piwik
RUN chown -R www-data /var/www/html
ADD piwik-cli-setup /piwik-cli-setup
ADD reset.php /var/www/html/
## ENTRYPOINT ##
ADD entrypoint.sh /entrypoint.sh
ENTRYPOINT ["/entrypoint.sh"]
USER root

YAML konfiguratsioon näeb välja järgmine (ise faili saab siit otse alla laadida: .gitlab-ci.yml):

.gitlab-ci.yml sisu

muutujad:
    DOCKER_HOST: "tcp://docker:2375/"
    DOCKERFILE: "mydockerfile.df" # analüüsidokumendi nimi
    DOCKERIMAGE: "bkimminich/juice-shop" # analüüsitava Docker pildi nimi
    # DOCKERIMAGE: "knqyf263/cve-2018-11235" # test Docker pilt, kus on mitu KRIITILIST CVE
    SHOWSTOPPER_PRIORITY: "CRITICAL" # milline kriitilisus tõukab Trivy töö ebaõnnestuma
    TRIVYCACHE: "$CI_PROJECT_DIR/.cache" # kus salvestada Trivy haavatavuste andmebaas kiiremaks kasutamiseks
    ARTIFACT_FOLDER: "$CI_PROJECT_DIR"

teenused:
    - docker:dind # et saaksime Runneris Docker piltide ehitamiseks

etapid:
    - skaneerida
    - raport
    - avalikustada

HadoLint:
    # Dockerfile'i juhiste põhianalüüs
    etapp: skaneerida
    pilt: docker:git

    pärast_skripti:
    - cat $ARTIFACT_FOLDER/hadolint_results.json

    skript:
    - eksport VERSION=$(wget -q -O - https://api.github.com/repos/hadolint/hadolint/releases/latest | grep '"tag_name":' | sed -E 's/.*"v([^"]+)".*//1/')
    - wget https://github.com/hadolint/hadolint/releases/download/v${VERSION}/hadolint-Linux-x86_64 && chmod +x hadolint-Linux-x86_64
    
    # NB: hadolint lahkub alati 0 väljumise koodiga
    - ./hadolint-Linux-x86_64 -f json $DOCKERFILE > $ARTIFACT_FOLDER/hadolint_results.json || exit 0

    artefaktid:
        kui: alati # tagastage artefaktid isegi pärast töö ebaõnnestumist
        teed:
        - $ARTIFACT_FOLDER/hadolint_results.json

Dockle:
    # Parimate praktikate analüüs docker pildi kohta (kasutajaõigused, juhised, mida järgiti pildi ehitamisel jne)
    etapp: skaneerida
    pilt: docker:git

    pärast_skripti:
    - cat $ARTIFACT_FOLDER/dockle_results.json

    skript:
    - eksport VERSION=$(wget -q -O - https://api.github.com/repos/goodwithtech/dockle/releases/latest | grep '"tag_name":' | sed -E 's/.*"v([^"]+)".*//1')
    - wget https://github.com/goodwithtech/dockle/releases/download/v${VERSION}/dockle_${VERSION}_Linux-64bit.tar.gz && tar zxf dockle_${VERSION}_Linux-64bit.tar.gz
    - ./dockle --exit-code 1 -f json --output $ARTIFACT_FOLDER/dockle_results.json $DOCKERIMAGE
    
    artefaktid:
        kui: alati # tagastage artefaktid isegi pärast töö ebaõnnestumist
        teed:
        - $ARTIFACT_FOLDER/dockle_results.json

Trivy:
    # Analüüsib docker pilti ja pakettide sõltuvusi erinevate CVE baaside vastu
    etapp: skaneerida
    pilt: docker:git

    skript:
    # viimase Trivy saamine
    - apk add rpm
    - eksport VERSION=$(wget -q -O - https://api.github.com/repos/knqyf263/trivy/releases/latest | grep '"tag_name":' | sed -E 's/.*"v([^"]+)".*//1')
    - wget https://github.com/knqyf263/trivy/releases/download/v${VERSION}/trivy_${VERSION}_Linux-64bit.tar.gz && tar zxf trivy_${VERSION}_Linux-64bit.tar.gz
    
    # kõik haavatavused ilma ehitust ebaõnnestumata
    - ./trivy -d --cache-dir $TRIVYCACHE -f json -o $ARTIFACT_FOLDER/trivy_results.json --exit-code 0 $DOCKERIMAGE
    
    # kirjutage haavatavuste info stdout-i inimeste loetavas formaadis (puhta json-i lugemine ei ole lõbus, eks?). Saate selle eemaldada, kui te ei vaja seda.
    - ./trivy -d --cache-dir $TRIVYCACHE --exit-code 0 $DOCKERIMAGE
    
    # ehitamise ebaõnnestumine, kui SHOWSTOPPER prioriteet tuvastatakse
    - ./trivy -d --cache-dir $TRIVYCACHE --exit-code 1 --severity $SHOWSTOPPER_PRIORITY --quiet $DOCKERIMAGE
    
    artefaktid:
        kui: alati # tagastage artefaktid isegi pärast töö ebaõnnestumist
        teed:
        - $ARTIFACT_FOLDER/trivy_results.json

    vahemälu:
        teed:
        - .cache

Raport:
    # ühendab tööriistade väljundid üheks HTML-iks
    etapp: raport
    kui: alati
    pilt: python:3.5
    
    skript:
    - mkdir json
    - cp $ARTIFACT_FOLDER/*.json ./json/
    - pip install json2html
    - wget https://raw.githubusercontent.com/shad0wrunner/docker_cicd/master/convert_json_results.py
    - python ./convert_json_results.py
    
    artefaktid:
        teed:
        - results.html

Vajadusel on võimalik skannida ka salvestatud pilte .tar-arhiivina (kuid YAML-failis tuleb muuta utiliitide sisendparameetreid)

NB: Trivy nõuab oma käivitamiseks installitud rpm ja git. Vastasel juhul annavad nad skannimise ajal RedHat-põhiste piltide ja haavatavuste andmebaasi värskenduste puhul vigu.

2. Pärast failide lisamist reposse alustab GitLab automaatselt koostamise ja skaneerimise protsessi vastavalt meie konfiguratsioonifaili juhistele. CI/CD → Pipelines vahekaardil saab jälgida juhiste täitmise käiku.

Kokku on meil neli ülesannet. Kolm neist tegelevad otse skaneerimisega ja viimane (Report) kogub skaneerimistulemustest kokku lihtsa aruande.

Vaikimisi lõpetab Trivy oma toimimise, kui avastatakse pildis või sõltuvustes CRITICAL haavatavusi. Samas tagastab Hadolint alati Success väljakoodiga, kuna selle täitmisel on alati tähelepanekud, mis viivad koostamise lõpetamiseni.

Sõltuvalt konkreetsetest nõudmistest on võimalik konfigureerida väljakoodi, et need utiliidid katkestaksid ka koostamisprotsessi teatud kriitilisuse probleemide tuvastamisel. Meie juhul peatub koostamine ainult siis, kui Trivy avastab haavatavuse, mille kriitilisuse oleme määranud muutuja SHOWSTOPPER'isse .gitlab-ci.yml.


Iga utiliidi töö tulemust saab vaadata iga skaneerimisülesande logis, otse json-failides artifacts ja lihtsas HTML-aruandes (millest räägime natuke madalamal):


3. Utiliitide aruannete esitamiseks veidi loetavamal viisil kasutatakse väikest Python-skripti kolme json-faili konverteerimiseks üheks HTML-failiks koos defektide tabeliga.
Seda skripti käivitab eraldi ülesanne Report, mille lõpptooteks on HTML-fail aruandega. Skripti lähtekood on samuti repos ja seda saab kohandada vastavalt oma vajadustele, värvidele jne.

Shell-skript

Teine variant sobib juhtudeks, kui on vajalik kontrollida Docker-pilte mitte CI/CD süsteemi kontekstis või kui on vajalik, et kõik juhised oleksid vormingus, mida saab otse hostis täita. See variant on kaetud valmis shell-skriptiga, mida saab käivitada puhtal virtuaal- (või isegi füüsilisel) masinal. Skript täidab samu juhiseid, mis eelmainitud gitlab-runner.

Skripti edukaks tööks peab süsteemis olema installitud Docker ja praegune kasutaja peab olema docker rühmas.

Kogu skripti saab leida siit: docker_sec_check.sh

Faili alguses määratakse muutujate abil, millist pilti on vaja skannida ja milliseid tõrkeid eri tõsidustega põhjustab utiliit Trivy kaugtöötlusest väljumisega koos määratud veakoodiga.

Skripti täitmise käigus laaditakse kõik utiliidid katalooge docker_tools, nende töö tulemused salvestatakse katalooge docker_tools/json, ja HTML aruanne asub failis results.html.

Skripti väljundi näide

~\/docker_cicd$ .\/docker_sec_check.sh

[+] Keskkonnamuutujate seadmine
[+] Nõutavate pakettide installimine
[+] Vajalikud kataloogid ettevalmistamine
[+] Näidis Dockerfile'i hankimine
2020-10-20 10:40:00 (45.3 MB/s) - 'Dockerfile' salvestatud [8071/8071]
[+] Pildi tõmbamine skannimiseks
latest: Tõmbamine from bkimminich\/juice-shop
[+] Hadolint'i käitamine
...
Dockerfile:205 DL3015 Vältige lisapakette, määrates `--no-install-recommends`
Dockerfile:248 DL3002 Viimane KASUTAJAS ei tohiks olla root
...
[+] Dockle'i käitamine
...
WARN    - DKL-DI-0006: Vältige viimast märgendit
        * Vältige 'latest' märgendit
INFO    - CIS-DI-0005: Lülitage Dockerisse sisu usaldus
        * eksportige DOCKER_CONTENT_TRUST=1 enne docker pull/buildi
...
[+] Trivy käitamine
juice-shop\/frontend\/package-lock.json
=====================================
Kokku: 3 (UNKNOWN: 0, LOW: 1, MEDIUM: 0, HIGH: 2, CRITICAL: 0)

+---------------------+------------------+----------+---------+-------------------------+
|       TEGEVUS       | TÕRGE ID        | TÕSIDUS  | VERSIOON|             PEALKIRI   |
+---------------------+------------------+----------+---------+-------------------------+
| object-path         | CVE-2020-15256   | HIGH     | 0.11.4  | Prototüübi saastumine  |
|                     |                  |          |         | object-path             |
+---------------------+------------------+          +---------+-------------------------+
| tree-kill           | CVE-2019-15599   |          | 1.2.2   | Koodi sisestamine      |
+---------------------+------------------+----------+---------+-------------------------+
| webpack-subresource | CVE-2020-15262   | LOW      | 1.4.1   | Kaitsmata dünaamilised  |
|                     |                  |          |         | laaditud tükid         |
+---------------------+------------------+----------+---------+-------------------------+

juice-shop\/package-lock.json
============================
Kokku: 20 (UNKNOWN: 0, LOW: 1, MEDIUM: 6, HIGH: 8, CRITICAL: 5)

...

juice-shop\/package-lock.json
============================
Kokku: 5 (CRITICAL: 5)

...
[+] Jääkide eemaldamine
[+] Väljundi ilusaks muutmine
[+] JSON tulemuste konverteerimine
[+] Tulemuste HTML-i kirjutamine
[+] Ühepoolne väljumine ============================================================
[+] Kõik on tehtud. Leidke valminud HTML aruanne failist results.html

Docker-pilt koos kõigi utiliitidega

Kolmanda alternatiivina koostasin kaks lihtsat Dockerfile'i, et luua pilt turbeutiliitidega. Üks Dockerfile aitab koguda komplekti pildi skaneerimiseks oma hoidlast, teine (Dockerfile_tar) - koguda komplekti tar-failist pildi skaneerimiseks.

1. Võtame asjakohase Docker faili ja skriptid hoidlast https://github.com/Swordfish-Security/docker_cicd/tree/master/Dockerfile.
2. Käivitame selle koostamiseks:

docker build -t dscan:image -f docker_security.df .

3. Pärast koostamise lõppu loome konteineri pildist. Selle käigus edastame keskkonnamuutujate DOCKERIMAGE koos meid huvitava pildi nimega ja monteerime analüüsitava Dockerfile'i oma masinal failina /Dockerfile (pange tähele, et selle faili jaoks on vajalik absoluutne tee):

docker run --rm -v $(pwd)\/results:\/results -v $(pwd)\/docker_security.df:\/Dockerfile -e DOCKERIMAGE="bkimminich\/juice-shop" dscan:image

[+] Keskkonnamuutujate seadmine
[+] Käitame Hadolinti
\/Dockerfile:3 DL3006 Alati märgistage pildi versioon selgelt
[+] Käitame Dockle'i
HOIATUS - DKL-DI-0006: Vältige viimase sildi kasutamist
        * Vältige 'viimane' silt
INFO - CIS-DI-0005: Luba Dockeris sisu usaldus
        * eksportige DOCKER_CONTENT_TRUST=1 enne docker pull\/build
INFO - CIS-DI-0006: Lisage tervise kontrollimise juhis konteineri pilti
        * ei leitud tervise kontrollimise avaldust
INFO - DKL-LI-0003: Pange ainult vajalikud failid
        * mittevajalik fail : juice-shop\/node_modules\/sqlite3\/Dockerfile
        * mittevajalik fail : juice-shop\/node_modules\/sqlite3\/tools\/docker\/architecture\/linux-arm64\/Dockerfile
        * mittevajalik fail : juice-shop\/node_modules\/sqlite3\/tools\/docker\/architecture\/linux-arm\/Dockerfile
[+] Käitame Trivy
...
juice-shop\/package-lock.json
============================
Kokku: 20 (TUNNULIK: 0, MADAL: 1, KESKMINE: 6, KÕRGE: 8, KRIITILINE: 5)
...
[+] Väljaande ilustamine
[+] Peamooduli käivitamine ============================================================
[+] Muudame JSON tulemused
[+] Kirjutame tulemused HTML
[+] Puhta väljapääs ============================================================
[+] Kõik on valmis. Leidke tulemuste HTML aruanne failist results.html

tulemused näitasid ainult nelja ebaolulise koodibloki kattuvust, mis olid tingitud POSIX ja ANSI C nõuetest.

Oleme käsitlenud ainult ühte põhilist utiliitide komplekti Docker artefaktide skaneerimiseks, mis minu arvates katab tõhusalt suure osa piltide turvanõuetest. On veel palju tasulisi ja tasuta tööriistu, mis saavad teha samu kontrolle, koostada ilusaid aruandeid või töötada puhtalt konsoolis, katma konteinerite haldus süsteeme jne. Ülevaade nendest tööriistadest ja nende integreerimise viisidest võib ilmuda natuke hiljem.

Positiivne külg artiklis kirjeldatud tööriistade komplekti puhul on see, et kõik need on loodud avatud lähtekoodiga ning saate katsetada neid ja teisi sarnaseid tööriistu, et leida, mis kõige paremini vastab teie nõudmistele ja infrastruktuuri omadustele. Ilma kahtluseta tuleks uurida kõiki leitud haavatavusi nende sobivuse osas konkreetsetes tingimustes, kuid see on tulevase suure artikli teema.

Loodetavasti aitavad see juhend, skriptid ja utiliidid teid ning saavad lähtepunktiks turvalisema infrastruktuuri väljatöötamisel konteineriseerimise valdkonnas.

Allikas: habr.com