El concepto presentado por Docker y LXC parece ser, desde una perspectiva de seguridad, un movimiento en la dirección correcta. ¿Miedo a un MySQL de día cero? Ejecútelo en un contenedor Docker y no podrá causar daños al sistema operativo del host.
Sin embargo, definitivamente no es una bala de plata. ¿Qué se necesita hacer para asegurar los contenedores Docker y LXC? ¿Cuáles son los modelos de ataque y cómo se pueden asegurar y mitigar?
Docker y LXC son un gran concepto; aísle las aplicaciones potencialmente vulnerables del resto del sistema para limitar el daño que pueden hacer si algo sale mal.
No son balas de plata, principalmente debido a limitaciones en el diseño de Linux, es decir, la raíz es la raíz, incluso dentro de un chroot. enlace
Hay formas de tapar los orificios que LXC y la ventana acoplable aún no cubren. La forma más popular es usarlos junto con controles de acceso obligatorios como selinux. enlace
Realmente de la misma manera que proteges cualquier otra cosa. LXC no agrega nada nuevo a la ecuación, solo usa cgroups para agregar más aislamiento entre tareas. Y Docker solo es LXC automatizado.
Asegure su servidor como usted siempre asegure su servidor. Aislamiento de procesos, privilegios solo cuando sea necesario, mantener el software actualizado, administración de registros, monitoreo ... todo lo que ya ha escuchado.