Seminar Docker Security & Hardening

Lernziele

• Bedrohungsmodell für Containerumgebungen erstellen.
• Minimal‑Images bauen, Nicht‑Root‑User einsetzen.
• Capabilities reduzieren, Seccomp/AppArmor‑Profile anwenden.
• Read‑Only‑RootFS, tmpfs‑Mounts, Ressourcengrenzen setzen.
• Rootless‑Modus bewerten und einsetzen.
• Images scannen, SBOM prüfen, Policies definieren.

Agenda und Praxislabs

Inhaltsverzeichnis dieses Kapitels

• Agenda
• Praxislabs (Step‑by‑Step)
• Methodik
• Leistungsnachweis und Artefakte

Agenda

1. Angriffsflächen, Supply‑Chain‑Risiken.
2. Härtung im Build: Minimal‑Basen, USER, --chmod, .dockerignore.
3. Laufzeithärtung: CapDrop, Seccomp, AppArmor, Read‑Only‑FS.
4. Rootless‑Betrieb und User‑Namespaces.
5. Scanning, SBOM, Richtlinien, Signatur‑Prozesse.

Praxislabs (Step‑by‑Step)

• Lab 1: Minimal‑Image & USER
  1. Multi‑Stage‑Build auf Minimal‑Basis.
  2. Nicht‑Root‑User definieren, Dateirechte prüfen.
  3. Startkommando ohne Shell.
• Lab 2: Laufzeithärtung
  1. Capabilities reduzieren.
  2. Read‑Only‑RootFS aktivieren, schreibbare Pfade als tmpfs.
  3. Seccomp/AppArmor‑Profile zuweisen.
• Lab 3: Rootless‑Modus
  1. Rootless‑Voraussetzungen prüfen.
  2. Rootless‑Daemon starten.
  3. Netzwerk‑ und Mount‑Implikationen dokumentieren.
• Lab 4: Scanning & Policies
  1. Image‑Scan durchführen und Ausnahmen begründen.
  2. SBOM erzeugen und ablegen.
  3. Gate‑Kriterien für Deployment formulieren.