Kontti- ja
Kubernetes-turvallisuus

1# Turvallinen Dockerfile
2FROM ubuntu:22.04 # ✅ Tuettu peruskuva
3RUN apt-get update && apt-get install -y --no-install-recommends \\
4    package1=1.2.3 package2=4.5.6 && \\ # ✅ Pakettien kiinnitys
5    rm -rf /var/lib/apt/lists/* # ✅ Pienennä kuvan kokoa
6COPY --chown=app:app . /app/ # ✅ Oikeat käyttöoikeudet
7RUN useradd -r app
8USER app # ✅ Muu kuin root-käyttäjä
9EXPOSE 8080 # ✅ Etuoikeudeton portti
10# ✅ Salaisuudet hallitaan ympäristömuuttujien kautta
11COPY . /app/
12CMD [python, app.py]
13 

1# Haavoittuva Dockerfile
2FROM ubuntu:18.04 # ❌ EOL-peruskuva (367 CVE:tä)
3RUN apt-get update # ❌ Ei pakettien kiinnitystä
4COPY secrets.json /app/ # ❌ Salaisuuksia kuvassa
5RUN useradd app
6USER root # ❌ Suoritetaan root-käyttäjänä
7EXPOSE 22 # ❌ SSH paljastettu
8ENV API_KEY=sk-1234567890 # ❌ Salaisuus ympäristömuuttujassa
9COPY . /app/
10CMD [python, app.py]
11 

1apiVersion: v1
2kind: Pod
3metadata:
4  name: secure-app
5spec:
6  containers:
7  - name: app
8    image: nginx:1.21 # ✅ Päivitetty turvallinen versio
9    securityContext:
10      allowPrivilegeEscalation: false # ✅ Ei oikeuksien laajentamista
11      runAsNonRoot: true # ✅ Muu kuin root-käyttäjä
12      runAsUser: 1000 # ✅ Tietty UID
13      readOnlyRootFilesystem: true # ✅ Vain luku -tiedostojärjestelmä
14      capabilities:
15        drop: [ALL] # ✅ Pudota kaikki ominaisuudet
16        add: [NET_BIND_SERVICE] # ✅ Vain vaaditut ominaisuudet
17    resources:
18      limits:
19        memory: 256Mi # ✅ Resurssirajoitukset
20        cpu: 200m
21        ephemeral-storage: 1Gi
22      requests:
23        memory: 128Mi
24        cpu: 100m
25    livenessProbe: # ✅ Terveystarkistukset
26      httpGet:
27        path: /health
28        port: 8080
29    readinessProbe:
30      httpGet:
31        path: /ready
32        port: 8080
33 

1apiVersion: v1
2kind: Pod
3metadata:
4  name: vulnerable-app
5spec:
6  containers:
7  - name: app
8    image: nginx:1.14 # ❌ Haavoittuva versio
9    securityContext:
10      privileged: true # ❌ Täysi isäntäpääsy
11      runAsUser: 0 # ❌ Root-käyttäjä
12    volumeMounts:
13    - name: host-root
14      mountPath: /host # ❌ Isäntätiedostojärjestelmäpääsy
15  volumes:
16  - name: host-root
17    hostPath:
18      path: / # ❌ Asenna isäntä-root
19  hostNetwork: true # ❌ Pääsy isäntäverkkoon
20  hostPID: true # ❌ Isäntä-PID-nimiavaruus
21