DevOps Artisan – Bezpieczeństwo Dockera

Moduł 1: Podsumowanie Dockera

• Wiek wirtualizacji
• Dlaczego kontenery?
• Historia Dockera
• Konteneryzacja
• Składniki systemu operacyjnego (przestrzenie nazw, grupy kontrolne)
• Silnik Dockera
• Kontenery i maszyny wirtualne
• Wersje Dockera
• Kanały aktualizacji Dockera
• Instalacja Dockera na Linuksie z instrukcjami
• Obrazy Dockera
• Zawartość obrazu
• Warstwy obrazu
• Obsługa wielu architektur
• Rejestr obrazów
• Bezpieczeństwo obrazu
• Repozytoria
• Polecenia dokowane
• Uruchamianie i zatrzymywanie kontenerów
• Typy sieci
• Praca z sieciami
• Testowanie sieci
• Trwałe przechowywanie w Dockerze
• Tworzenie i montowanie woluminu
• Wyświetlanie listy, sprawdzanie i usuwanie woluminów
• Rejestrowanie Dockera
• Wyjaśnienie różnych typów dzienników

Moduł 2: Bezpieczne połączenie Docker

• Luki w zabezpieczeniach obrazu Docker Hub
• Możliwe wektory ataku
• W jaki sposób Docker dba o bezpieczeństwo?
• Różne warstwy zabezpieczeń
• Przegląd bezpiecznego połączenia Docker
• Wyjaśnienie TLS
• Czym jest Urząd Certyfikacji?
• Konfigurowanie bezpiecznego połączenia Docker z instrukcjami

Laboratorium praktyczne: Bezpieczna łączność Docker

Moduł 3: Bezpieczny rejestr Docker

• Czym jest Docker Registry?
• Zabezpieczanie rejestru Docker
• Opcje autoryzacji
• Podstawowa konfiguracja uwierzytelniania
• Konfiguracja uwierzytelniania oparta na tokenie

Laboratorium praktyczne: wdrażanie bezpiecznego rejestru Docker

Moduł 4: Kontrola dostępu oparta na rolach

• Korzystanie z autoryzacji i ról
• Interfejs API wtyczki Dockera dla RBA
• Włączanie wtyczki autoryzacyjnej
• Konfiguracja Open Policy Agent (OPA)

Laboratorium praktyczne: Implementacja RBAC przy użyciu AuthN i AuthZ w Dockerze

Moduł 5: Docker Swarm

• Czym jest Docker Swarm?
• Wyjaśnienie komponentów Docker Swarm
• Polecenia klastra Docker CLI
• Bezpieczeństwo Docker Swarm
• Bootstrapping ciepłego klastra
• Sekrety w klastrze roju z rotacją sekretów
• Automatyczne blokowanie w klastrach ciepłych
• Tworzenie kopii zapasowej i odzyskiwanie klastra roju

Laboratorium praktyczne: Instalacja Docker Swarm i bezpieczny klaster Docker Swarm

Moduł 6: Sieci

• Typy sieci
• Praca z sieciami
• Testowanie sieci

Laboratorium praktyczne: Sieci Docker

Moduł 7: Zarządzanie sekretami

• Czym są sekrety?
• Jak zarządzać sekretami Dockera

Laboratorium praktyczne: Zarządzanie sekretami

Moduł 8: Zaufanie do treści

• Zaufanie do treści Docker
• Tagi obrazów podpisane lub niepodpisane
• Klucz zaufania do zawartości Docker
• Podpisywanie obrazów za pomocą DCT
• Czym jest notariusz?

Laboratorium praktyczne: Zaufanie do treści Docker

Moduł 9: Możliwości Linuksa

• Jakie są możliwości Linuksa?
• Możliwości upuszczania
• Korzystanie z narzędzia pscap
• Dodaj do białej listy
• Możliwości wystawiania list

Laboratorium praktyczne: możliwości jądra Linux

Moduł 10: Kontrolowanie dostępu do zasobów za pomocą grup kontrolnych

• Grupa kontrolna
• Podsystemy grupy kontrolnej, hierarchia
• Zarządzanie grupą cgroup dla kontenerów
• Kontekst nadrzędny grupy C
• Limity zasobów Docker Cgroup

Laboratorium praktyczne: Docker i Cgroups

Moduł 11: AppArmor

• Modele bezpieczeństwa Linuksa
• Wyjaśnienie AppArmor
• Tworzenie profilu AppArmor
• Profile Docker i AppArmor
• Debugowanie AppArmor

Laboratorium praktyczne: AppArmor i Docker

Moduł 12: Seccomp

• W jaki sposób Docker wykorzystuje Seccomp?
• Tworzenie niestandardowego profilu Seccomp
• Korzystanie z profili niestandardowych dla wszystkich kontenerów
• Korzystanie z białej listy

Laboratorium praktyczne: Seccomp

Moduł 13: SELinux

• Wyjaśnienie SELinux
• Polityka SELinux, etykietowanie i egzekwowanie typu
• Włącz SELinux w Dockerze
• Zmiana zachowania SELinux dla każdego kontenera

Laboratorium praktyczne: SELinux

Moduł 14: Ataki DDoS

• Podejście bezpieczeństwa w przypadku ataków DoS

Laboratorium praktyczne: Wydajność ataków Docker DDoS

Moduł 15: Narzędzia bezpieczeństwa

• Ławka Docker
• Czym jest Docker Bench?
• Opcje Docker Bench
• InSpec
• Czym jest InSpec?
• Instalacja InSpec
• Uruchamianie Chef InSpec
• Struktura profilu InSpec
• Profile społeczności InSpec
• Kotwica
• Jak działa Anchore?
• Kotwice silnika
• Instalowanie Anchor Engine
• Korzystanie z kotwic
• Rurociągi Jenkinsa
• Ciągły przepływ integracji
• Ciągły przepływ dostaw
• Ciągły przepływ wdrażania
• Co to jest Jenkins?
• Czym jest rurociąg?
• Zabezpieczanie Jenkins CI/CD Pipeline z kotwicami
• Dagda
• Czym jest Dagda?
• Instalowanie i uruchamianie Dagdy
• Dagda database
• Analiza obrazów/kontenerów Docker
• Monitorowanie działających kontenerów
• Pobieranie zdarzeń demona Dockera
• System wydobywczy Falco
• Czym jest Sisdig?
• Czym jest Falco?
• Zasady Falco
• Instalowanie Falco
• Uruchamianie Falco jako demona
• Laboratorium praktyczne: Docker Bench
• Laboratorium praktyczne: InSpec
• Laboratorium praktyczne: Kotwice
• Laboratorium praktyczne: Tworzenie potoku Jenkins do skanowania bezpieczeństwa obrazu Docker z użyciem Anchor
• Praktyczne laboratorium: Dagda
• Laboratorium praktyczne: Sysdig Falco

Moduł 16: Najlepsze praktyki

• Zabezpiecz proces kompilacji
• Zabezpiecz sieć
• Zabezpiecz hosta
• Zabezpiecz środowisko wykonawcze kontenera
• Zabezpiecz konfigurację Orchestrator
• Zabezpiecz dane