如何在 Docker 上創建示例安全問題？

Question

我正在嘗試為學生創建一個包含以下內容的作業：

1. 一張 docker 圖像，其中包含必須掃描和修復的問題。 （在 kube.netes 中使用開源掃描器）
2. （可能）可以利用這些漏洞的示例攻擊場景。

當我試圖找到合適的易受攻擊的圖像或創建一個時，問題就出現了。 我根本找不到安全問題的基礎。 我真的竭盡全力想在谷歌中找到一個合適的短語，但一切都只會導致一些關於如何掃描圖像的博客文章。 我期望一個數據庫可能包含多個 sec 問題以及導致它們的原因。 我還希望有某種方法可以辨別哪些是最受歡迎的。

你有我需要的來源嗎？ 也許您可以向我提供 3-4 個常見的安全問題，這些問題在您第一次使用 docker 時需要了解並具有教育意義？ （以及如何制造這些問題？）

如果我自己是該領域的專家，整個情況可能會更容易，但我所做的事情也是我作為學生的作業。 （所以作為學生，我們為彼此設計作業。）

Answer 1

看起來您可能正在尋找Container 安全強化和 Kube.netes 安全選項。

您可以使用一些工具，例如

• kubesec - Kube.netes 資源的安全風險分析
• checkov - 防止雲配置錯誤，並在構建時以代碼、容器鏡像和開源包的形式在基礎設施中發現漏洞
• Trivy - 漏洞、錯誤配置、秘密、容器中的 SBOM、Kube.netes、代碼存儲庫、雲等等

如果您正在尋找一些可以設置的問題，這是 CKS（Certified Kube.netes Security）考試問題

• 在“spectacle”命名空間中運行着許多 pod/容器。 識別並刪除具有 CRITICAL 漏洞的 pod。

對於這種瑣碎的開源工具，可以掃描您將在部署 Kube.netes 或 docker 中使用的圖像

trivy image --severity CRITICAL nginx:1.16 (Image running in container)

您可以從中創建實驗室的幾個問題列表： https://github.com/moabukar/CKS-Exercises-Certified-Kube.netes-Security-Specialist/tree/main/7-mock-exam-questions