קונטיינר
אבטחת Kubernetes

1# Dockerfile מאובטח
2FROM ubuntu:22.04  # ✅ תמונת בסיס נתמכת
3RUN apt-get update && apt-get install -y --no-install-recommends \
4    package1=1.2.3 package2=4.5.6 && \\  # ✅ הצמדת חבילות
5    rm -rf /var/lib/apt/lists/*  # ✅ צמצום גודל תמונה
6COPY --chown=app:app . /app/  # ✅ הרשאות נכונות
7RUN useradd -r app
8USER app  # ✅ משתמש שאינו root
9EXPOSE 8080  # ✅ פורט לא-מוגן
10# ✅ סודות מנוהלים דרך סביבה
11COPY . /app/
12CMD [python, app.py]
13 

1# Dockerfile פגיע
2FROM ubuntu:18.04  # ❌ תמונת בסיס EOL (367 CVEs)
3RUN apt-get update  # ❌ אין הצמדת חבילות
4COPY secrets.json /app/  # ❌ סודות בתמונה
5RUN useradd app
6USER root  # ❌ רץ כ-root
7EXPOSE 22  # ❌ SSH חשוף
8ENV API_KEY=sk-1234567890  # ❌ סוד במשתנה סביבה
9COPY . /app/
10CMD [python, app.py]
11 

1apiVersion: v1
2kind: Pod
3metadata:
4  name: secure-app
5spec:
6  containers:
7  - name: app
8    image: nginx:1.21  # ✅ גרסה מעודכנת ובטוחה
9    securityContext:
10      allowPrivilegeEscalation: false  # ✅ ללא הסלמת הרשאות
11      runAsNonRoot: true              # ✅ משתמש שאינו root
12    
13        runAsUser: 1000                 # ✅ UID ספציפי
14      readOnlyRootFilesystem: true    # ✅ מערכת קבצים לקריאה בלבד
15      capabilities:
16        drop: [ALL]                 # ✅ הסרת כל היכולות
17        add: [NET_BIND_SERVICE]     # ✅ רק יכולות נדרשות
18    resources:
19      limits:
20        memory: 256Mi               # ✅ מגבלות משאבים
21        cpu: 200m
22        ephemeral-storage: 1Gi
23      requests:
24        memory: 128Mi
25        cpu: 100m
26    livenessProbe:                    # ✅ בדיקות בריאות
27      httpGet:
28        path: /health
29        port: 8080
30    readinessProbe:
31      httpGet:
32        path: /ready
33        port: 8080
34 

1apiVersion: v1
2kind: Pod
3metadata:
4  name: vulnerable-app
5spec:
6  containers:
7  - name: app
8    image: nginx:1.14  # ❌ גרסה פגיעה
9    securityContext:
10      privileged: true  # ❌ גישה מלאה למארח
11      runAsUser: 0     # ❌ משתמש root
12    volumeMounts:
13    - name: host-root
14      mountPath: /host  # ❌ גישה למערכת הקבצים של המארח
15  volumes:
16  - name: host-root
17    hostPath:
18      path: /          # ❌ הרכבת שורש המארח
19  hostNetwork: true    # ❌ גישה לרשת המארח
20  hostPID: true        # ❌ מרחב שמות PID של המארח
21