Container
Kubernetes Güvenliği

1# Güvenli Dockerfile
2FROM ubuntu:22.04  # ✅ Desteklenen taban imaj
3RUN apt-get update && apt-get install -y --no-install-recommends \
4    package1=1.2.3 package2=4.5.6 && \\  # ✅ Paket sabitleme
5    rm -rf /var/lib/apt/lists/*  # ✅ İmaj boyutunu azalt
6COPY --chown=app:app . /app/  # ✅ Uygun izinler
7RUN useradd -r app
8USER app  # ✅ Root olmayan kullanıcı
9EXPOSE 8080  # ✅ Ayrıcalıksız port
10# ✅ Sırlar çevre üzerinden yönetiliyor
11COPY . /app/
12CMD [python, app.py]
13 

1# Güvenlik Açığı Bulunan Dockerfile
2FROM ubuntu:18.04  # ❌ EOL taban imajı (367 CVE)
3RUN apt-get update  # ❌ Paket sabitleme yok
4COPY secrets.json /app/  # ❌ İmajda sırlar
5RUN useradd app
6USER root  # ❌ Root olarak çalışıyor
7EXPOSE 22  # ❌ SSH açık
8ENV API_KEY=sk-1234567890  # ❌ Çevre değişkeninde sır
9COPY . /app/
10CMD [python, app.py]
11 

1apiVersion: v1
2kind: Pod
3metadata:
4  name: secure-app
5spec:
6  containers:
7  - name: app
8    image: nginx:1.21  # ✅ Güncellenmiş güvenli sürüm
9    securityContext:
10      allowPrivilegeEscalation: false  # ✅ Ayrıcalık yükseltme yok
11      runAsNonRoot: true              # ✅ Kök olmayan kullanıcı
12      runAsUser: 1000                 # ✅ Belirli UID
13      readOnlyRootFilesystem:
14 true    # ✅ Salt okunur dosya sistemi
15      capabilities:
16        drop: [ALL]
17                 # ✅ Tüm yetenekleri düşür
18        add: [NET_BIND_SERVICE]
19     # ✅ Sadece gerekli yetenekler
20    resources:
21      limits:
22        memory:
23 256Mi               # ✅ Kaynak limitleri
24        cpu: 200m
25        ephemeral-storage:
26 1Gi
27      requests:
28        memory: 128Mi
29        cpu: 100m
30    livenessProbe:
31                    # ✅ Sağlık kontrolleri
32      httpGet:
33        path: /health
34 
35        port: 8080
36    readinessProbe:
37      httpGet:
38        path: /ready
39 
40        port: 8080
41 

1apiVersion: v1
2kind: Pod
3metadata:
4  name: vulnerable-app
5spec:
6  containers:
7  - name: app
8    image: nginx:1.14  # ❌ Güvenlik açığı olan sürüm
9    securityContext:
10      privileged: true  # ❌ Tam ana makine erişimi
11      runAsUser: 0     # ❌ Root kullanıcı
12    volumeMounts:
13    - name: host-root
14      mountPath: /host  # ❌ Ana makine dosya sistemi erişimi
15  volumes:
16  - name: host-root
17    hostPath:
18      path: /          # ❌ Ana makine kökünü bağla
19  hostNetwork: true    # ❌ Ana makine ağ erişimi
20  hostPID: true        # ❌ Ana makine PID alanı
21