امنیت کانتینر
درس جدید در این دوره از کلاس CISSP

بسیاری از ما در کانتینرها بر روی حفاظت از Control Plane تمرکز می‌کنیم، در حالی که در دنیای واقعی مهاجم اغلب از طریق یک برنامه آسیب‌پذیر در Data Plane وارد می‌شود. مثلاً یک RCE در وب‌سرور، API یا برنامه Front-End.

پس از ورود به یک Pod، مهاجم تلاش می‌کند به سایر Podها، Nodeها یا حتی Control Plane حرکت جانبی (Lateral Movement) انجام دهد.

🔴 سه ریسک اصلی در این بین چیه :

1️⃣سوءاستفاده از Service Accountها و مجوزهای RBAC

2️⃣فرار از Container (Container Escape)

3️⃣ایمیج آلوده و Supply Chain

🟢راهکار:


🔆جداسازی Workloadهای مرتبط با وب در Namespaceهای مستقل

🔆اعمال Least Privilege روی Service Accountها

🔆استفاده از Pod Security Standards

🔆اعمال Network Policy برای محدود کردن ارتباط Podها

🔆اعتبارسنجی و امضای Container Imageها

🔆استفاده از Sandboxهایی مانند Kata Containers و gVisor در محیط‌های حساس.
🔆استفاده از ایجنت های XDR نظیر TrendAI