> For the complete documentation index, see [llms.txt](https://ssv.skill.or.kr/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://ssv.skill.or.kr/cloud-security/docker-security-vulnerability.md). # Docker 시스템 취약점 점검 가이드 {% embed url="" %} donation {% endembed %} ## Docker 시스템 취약점 점검 가이드 ![그림. Docker 취약점 진단 리스트](/files/PP4oWJR8mLdCZeKmSDaS) ## 가. Host 설정 ### DO-01. 도커 최신 패치 적용 ![그림. DO-01. 도커 최신 패치 적용 ](/files/VXebxiyAD5Y9pOp83WqX) ![그림. DO-01. 도커 최신 패치 적용 ](/files/jy8fyNkTzCXW3bQABMr9) ### DO-02. 도커 그룹에 불필요한 사용자 제거 ![그림. DO-02. 도커 그룹에 불필요한 사용자 제거 ](/files/5mFca5UwoRYTml9vPU3m) ### DO-03. Docker daemon audit 설정 ![그림. DO-03. Docker daemon audit 설정 ](/files/5zFirwiEP2ZX0GBGIvmV) ### DO-04. /var/lib/docker audit 설정 ![그림. DO-04. /var/lib/docker audit 설정 ](/files/lz4I0guNFTB8oEYa9yAR) ### DO-05. /etc/docker audit 설정 ![그림. DO-05. /etc/docker audit 설정 ](/files/1tbG8zTbMSkDKlIqGeOn) ### DO-06. docker.service audit 설정 ![그림. DO-06. docker.service audit 설정 ](/files/lr2a4Hxhjl6VUaFbxBwz) ![그림. DO-06. docker.service audit 설정 ](/files/Dhe4iK964uKbvO57qLuQ) ### DO-07. docker.socket audit 설정 ![그림. DO-07. docker.socket audit 설정 ](/files/l4mER7jRmN8QodMHSngE) ![그림. DO-07. docker.socket audit 설정 ](/files/r8jGzDziCPVpRICsafTP) ### DO-08. /etc/default/docker audit 설정 ![그림. DO-08. /etc/default/docker audit 설정 ](/files/lYt1uAIGOgK3OcYRPqUN) ![그림. DO-08. /etc/default/docker audit 설정 ](/files/xY5pa7ifpqWagQO8GH1X) ## 나. 도커 데몬 설정 ### DO-09. default bridge 를 통한 컨테이너 간 네트워크 트래픽 제한 ![그림. DO-09. default bridge 를 통한 컨테이너 간 네트워크 트래픽 제한 ](/files/lNXmoC2GsH4z7cXEv0Kl) ![그림. DO-09. default bridge 를 통한 컨테이너 간 네트워크 트래픽 제한 ](/files/HMpLPfjuioNHHSnn4Wo8) ### DO-10. 도커 클라이언트 인증 활성화 ![그림. DO-10. 도커 클라이언트 인증 활성화 ](/files/Mn8nmIlvqsyG3H0UAOb2) ![그림. DO-10. 도커 클라이언트 인증 활성화 ](/files/XJqbNfMoktzIZwgdYtNj) ![그림. DO-10. 도커 클라이언트 인증 활성화 ](/files/2GxS6CU4HPugojIR0gnf) ### DO-11. legacy registry (v1) 비활성화 ![그림. DO-11. legacy registry (v1) 비활성화 ](/files/hx1BfYyDwpiLKLgypT9C) ### DO-12. 추가 권한 획득으로부터 컨테이너 제한 ![그림. DO-12. 추가 권한 획득으로부터 컨테이너 제한 ](/files/Z9r90p9FN9CEEV4gTZQw) ![그림. DO-12. 추가 권한 획득으로부터 컨테이너 제한 ](/files/Q7gr2aqmCDLrSDSxgK59) ## 다. 도커 데몬 설정 파일 ### DO-13. docker.service 소유권 설정 ![그림. DO-13. docker.service 소유권 설정 ](/files/2UyPi18nKmsuK8vYaKoJ) ### DO-14. docker.service 파일 접근권한 설정 ![그림. DO-14. docker.service 파일 접근권한 설정 ](/files/TGTiaytmv9h0TyLLyqKC) ### DO-15. docker.socket 소유권 설정 ![그림. DO-15. docker.socket 소유권 설정 ](/files/vAu4aMzDjyBzLhUvKeqH) ### DO-16. docker.socket 파일 접근권한 설정 ![그림. DO-16. docker.socket 파일 접근권한 설정 ](/files/YUjcgb4NE6jAk8jhA5pt) ### DO-17. /etc/docker 디렉터리 소유권 설정 ![그림. DO-17. /etc/docker 디렉터리 소유권 설정 ](/files/wwFFqNRiq5W95uTtA5cn) ### DO-18. /etc/docker 디렉터리 접근권한 설정 ![그림. DO-18. /etc/docker 디렉터리 접근권한 설정 ](/files/GU87tMAyeJouqLwGZb8u) ### DO-19. /var/run/docker.socket 파일 소유권 설정 ![그림. DO-19. /var/run/docker.socket 파일 소유권 설정 ](/files/Jzxdg2xBSMcpazdaY4Iy) ### DO-20. /var/run/docker.sock 접근권한 설정 ![그림. DO-20. /var/run/docker.sock 접근권한 설정 ](/files/kAtAQG3OKYOkm0Rqg10g) ### DO-21. daemon.json 파일 소유권 설정 ![그림. DO-21. daemon.json 파일 소유권 설정 ](/files/PGUSVt07T2tVaZBFe6SX) ### DO-22. daemon.json 파일 접근권한 설정 ![그림. DO-22. daemon.json 파일 접근권한 설정 ](/files/EtICgv8bBcwBt2ybOT8j) ### DO-23. /etc/default/docker 파일 소유권 설정 ![그림. DO-23. /etc/default/docker 파일 소유권 설정 ](/files/aQDvOZs2U16AlnFbkOlS) ### DO-24. /var/default/docker 파일 접근권한 설정 ![그림. DO-24. /var/default/docker 파일 접근권한 설정 ](/files/FNLCFhCwzHprjbj0j10u) ## 라. 컨테이너 이미지 및 빌드 파일 ### DO-25. root가 아닌 user로 컨테이너 실행 ![그림. DO-25. root가 아닌 user로 컨테이너 실행 ](/files/IimaKrcZf6DGJRlHdKgj) ![그림. DO-25. root가 아닌 user로 컨테이너 실행 ](/files/FZTy3coCA4yvUfSJj3GI) ### DO-26. 도커를 위한 컨텐츠 신뢰성 활성화 ![그림. DO-26. 도커를 위한 컨텐츠 신뢰성 활성화 ](/files/AiZIXrRH4ClPnVNLI9by) ## 마. 컨테이너 런타임 ### DO-27. 컨테이너 SELinux 보안 옵션 설정 ![그림. DO-27. 컨테이너 SELinux 보안 옵션 설정 ](/files/d5XqE5qTKpBorm2s2k4I) ![그림. DO-27. 컨테이너 SELinux 보안 옵션 설정 ](/files/CP5uWUroLrbHzFyBOoet) ### DO-28. 컨테이너에서 ssh 사용 금지 ![그림. DO-28. 컨테이너에서 ssh 사용 금지 ](/files/A4XzRaegWYpGn8TfSTcS) ### DO-29. 컨테이너에 privileged 포트 매핑 금지 ![그림. DO-29. 컨테이너에 privileged 포트 매핑 금지 ](/files/PS3n0CbgWKCnypY0QW6k) ![그림. DO-29. 컨테이너에 privileged 포트 매핑 금지 ](/files/mrHVFxR6vdB1LhPiDFqQ) ### DO-30. PIDs cgroup 제한 ![그림. DO-30. PIDs cgroup 제한 ](/files/TXOoqQ4z4OfXv0OsbZYU) ### DO-31. 도커의 default bridge docker0 사용 제한 ![그림. DO-31. 도커의 default bridge docker0 사용 제한 ](/files/TEJ1w8poJYr3B5ahyJxo) ### DO-32. 호스트의 user namespaces 공유 제한 ![그림. DO-32. 호스트의 user namespaces 공유 제한 ](/files/LLvk9GGK1kqS8QNip9Kl) ![그림. DO-32. 호스트의 user namespaces 공유 제한 ](/files/BocXx124HfLSjIFEBE6i) {% embed url="" %} donation {% endembed %}