Merhaba,
Konteyner "guvenli gelir" diye dusunulur ama varsayilan ayarlarla calisan bir Docker ortami ciddi riskler tasir. Bu konuda 2026 icin guncel, pratik bir Docker sertlestirme listesi paylasiyorum: rootless mod, imaj tarama ve calisma zamani kisitlamalari.
Konuda Anlatilacaklar
- Neden varsayilan Docker riskli?
- Rootless mod
- Trivy ile imaj zafiyet taramasi
- Calisma zamani sertlestirme
- CI'ya entegre etme
1) Varsayilan Risk
Klasik kurulumda Docker daemon root olarak calisir ve docker grubundaki kullanici pratikte root'a esdegerdir. Ayrica cogu imaj gereksiz paketlerle ve root kullaniciyla gelir. Bu iki nokta bile ciddi saldiri yuzeyidir.
2) Rootless Mod
Rootless mod, daemon ve konteynerleri host root'u olmadan calistirir; bir kacis durumunda etki alani daralir.
Kod:
curl -fsSL https://get.docker.com/rootless | sh
export DOCKER_HOST=unix://$XDG_RUNTIME_DIR/docker.sock
systemctl --user enable --now dockerSubordinate UID/GID eslemelerinin tanimli oldugundan emin olun (/etc/subuid, /etc/subgid). Her senaryo rootless'i desteklemez ama cogu web uygulamasi icin uygundur.
3) Trivy ile Tarama
Trivy, imajlardaki bilinen zafiyetleri hizlica tarar. CI'da HIGH/CRITICAL bulgularda derlemeyi kirmak iyi bir politikadir.
Kod:
trivy image --exit-code 1 --severity HIGH,CRITICAL myapp:latest
# SBOM uretme
trivy image --format cyclonedx -o sbom.json myapp:latestVeritabanini guncel tutun ve yalnizca bir kez degil, kayit defterindeki imajlari duzenli tarayin.
4) Calisma Zamani Sertlestirme
Birkac bayrak saldiri yuzeyini ciddi dusurur:
Kod:
docker run --rm \
--read-only \
--cap-drop ALL \
--security-opt no-new-privileges \
--user 10001:10001 \
myapp:latestOzetle: root olmayan kullanici, salt-okunur dosya sistemi, tum yeteneklerin dusurulup yalnizca gerekenin eklenmesi, no-new-privileges ve asla host docker.sock'unu konteynere baglamamak.
5) Imaj Hijyeni
Minimal temel imaj (distroless, alpine) kullanin, etiket yerine digest sabitleyin, gereksiz paket koymayin. Kucuk imaj hem daha hizli hem daha guvenlidir.
Kaynaklar
Alıntı:Yasal not: Tarama ve sertlestirmeyi yalnizca kendi imaj ve sunucularinizda uygulayin.