Инструменты для поиска проблем в докере 💻

На каждом собеседовании заходит речь про докеры. "Что это?", "Как их использовать?", "Зачем нужны?" и самое главное, — "Как из них выходить?". Есть множество способов, которые можно найти на hacktricks, но сегодня разговор зайдет про инструментарий.

Мне, как нынешнему DevSecOps-у удалось потыкать несколько видов развёртывания инструментов в нем. Я сейчас строю процесс на Gitlab Ci\Cd и у его раннера есть возможность работать как в обычном докере, так и в его "улучшенной" версии.

💻 Docker
Возможен запуск с привилегиями (обычно от этого и отталкиваемся)

💻 Docker in docker
Всегда запущен с привилегиями

💻 Kaniko (dind от Google), buildah, umoci, img
Всегда запущен с привилегиями

🔵 Инструменты Automatic Enumeration/Escape

🌐 deepce — Docker Enumeration, Escalation of Privileges and Container Escapes (DEEPCE);
🌐 CDK — инструментарий для проникновения в контейнеры с открытым исходным кодом, предназначенный для обеспечения стабильной эксплуатации в различных тонких контейнерах без зависимости от ОС;
🌐 grype — cканер уязвимостей для образов контейнеров и файловых систем;
🌐 LinPEAS — да, у него есть замечательная функция работы с контейнерами;
🌐 dive — инструмент для изучения образа docker, содержимого слоев и поиска способов уменьшения размера образа Docker/OCI.

#opensource #devsecops #blueteam #redteam

🖼️ Redis снова стал open source
#redis #opensource #OSS

После прошлогоднего перехода на проприетарные лицензии, который вызвал массовое недовольство и появление форков (Valkey, Redict, Garnet, KeyDB), Redis 8.0 теперь распространяется под свободной лицензией AGPLv3. Это стало возможным благодаря возвращению создателя проекта Сальвадора Санфилиппо, который настоял на открытости кода.

Ключевые изменения в новой версии:
➡️Redis снова официально open source - теперь под AGPLv3, а не под ограничительными SSPL/RSAL.
➡️В состав Redis 8.0 вошли новые векторные расширения (Vector Sets), важные для AI-задач.
➡️Новый лицензионный подход должен восстановить доверие и активность сообщества, ведь AGPLv3 требует раскрытия исходников при сетевом использовании и совместима с GPLv3.

Почему это важно:
➡️Возвращение к open source ускорит развитие, повысит доверие и вовлечённость комьюнити.
➡️AGPLv3 защищает проект от эксплуатации крупными облачными провайдерами без вклада в разработку.
➡️Новые возможности Redis 8.0 делают его актуальным для современных задач.

🔗Подробнее

🌚 @poxek | 🌚 blog.poxek.cc | 📺 YT | 📺 RT | 📺 VK | 🌚 Мерч

Docker Hardened Images (DHI) вышел в Open Source под лицензией Apache 2.0
#Docker #OpenSource #DHI #SecOps #appsec #devsecops

♾️CVE "из коробки"♾️

Стандартные образы (nginx, apache, pytorch и др.) «из коробки» часто содержат сотни уязвимостей и избыточных системных библиотек, увеличивающих поверхность атаки. Из-за этого ранее у команд было два пути:

▪️Тратить ресурсы на сборку и поддержку собственных Golden Images.
▪️Покупать доступ к hardened-образам у сторонних вендоров, попадая на vendor-lock.

Docker решает проблему системно, делая безопасный фундамент стандартом. Компания заявляет о Near-zero CVEs и гарантирует честный скоринг уязвимостей — без их скрытия ради зеленых отчетов сканеров.

♾️Смысл рождения DHI♾️

Docker Hardened Images — это огромная коллекция из образов, реализующих концепцию secure-by-default. Они построены на distroless-архитектуре: из среды выполнения удалены оболочки, пакетные менеджеры и лишние бинарные файлы. Это не просто чистые образы, а прозрачная цепочка поставок: каждый образ имеет подписанный SBOM и подтверждение происхождения уровня SLSA Build Level 3.

♾️Миграция♾️

Переход на DHI максимально прост. Поскольку образы базируются на стандартных Alpine и Debian, сохраняется высокая совместимость на уровне библиотек.
Миграция часто сводится к замене одной строки в Dockerfile:
▪️Было: FROM node:24
▪️Стало: FROM dhi.io/node:24

Это позволяет мгновенно отсечь большинство CVE без поломки зависимостей и переписывания кода. Но лучше проверяйте на дев стейдже, иначе есть вероятность с прогиба сломать прод))

Образы уже доступны на Docker Hub. Доп инфа:
https://www.docker.com/blog/docker-hardened-images-for-every-developer/
https://www.docker.com/products/hardened-images/

🌚 @poxek | 📲 MAX |🌚 Блог | 📺 YT | 📺 RT | 📺 VK