Docker Security Basics 🛡️

কন্টেইনারাইজেশনের যুগে অ্যাপ্লিকেশন সিকিউরিটি নিশ্চিত করা অত্যন্ত গুরুত্বপূর্ণ। ডকার কন্টেইনার ডিফল্টভাবে কিছুটা আইসোলেটেড থাকলেও, পূর্ণ নিরাপত্তা নিশ্চিত করতে কিছু বেসিক সিকিউরিটি মেজারস (Security Measures) নেওয়া প্রয়োজন।

---

১. রুট ইউজার এড়িয়ে চলা (Run as Non-Root)

ডকার কন্টেইনার ডিফল্টভাবে রুট (Root) ইউজার হিসেবে রান করে। যদি কোনো হ্যাকার কন্টেইনারের নিয়ন্ত্রণ পায়, তবে সে পুরো হোস্ট সিস্টেমের এক্সেস পেয়ে যেতে পারে।

• সমাধান: Dockerfile-এ একটি নন-রুট ইউজার তৈরি করুন এবং সেটি ব্যবহার করুন।

RUN addgroup -S appgroup && adduser -S appuser -G appgroup
USER appuser

---

২. রিড-অনলি ফাইল সিস্টেম (Read-Only File System)

কন্টেইনারের রানটাইমে যদি ফাইল সিস্টেমে কিছু লেখার প্রয়োজন না থাকে, তবে সেটিকে রিড-অনলি হিসেবে সেট করে দেওয়া সবচেয়ে নিরাপদ। এতে হ্যাকাররা কন্টেইনারের ভেতরে কোনো ক্ষতিকর স্ক্রিপ্ট সেভ করতে পারবে না।

docker run --read-only my-image

---

৩. ক্যাপাবিলিটিজ কমানো (Drop Capabilities)

ডকার কন্টেইনারকে ডিফল্টভাবে কিছু লিনাক্স ক্যাপাবিলিটিজ (Capabilities) দেওয়া হয় যা হয়তো আপনার অ্যাপের প্রয়োজন নেই। নিরাপত্তার জন্য অপ্রয়োজনীয় সব ক্যাপাবিলিটিজ ড্রপ করে দিন।

docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE my-image

---

৪. সিকিউরিটি স্ক্যানিং (Security Scanning)

ইমেজ তৈরি করার পর সেটিতে কোনো পরিচিত সিকিউরিটি হোল (Vulnerability) আছে কিনা তা নিয়মিত স্ক্যান করুন।

• Docker Scout: ডকারের নিজস্ব স্ক্যানিং টুল।
• Trivy: একটি জনপ্রিয় ওপেন সোর্স ইমেজ স্ক্যানার।

docker scout cves my-image:latest

---

৫. ডকার কন্টেন্ট ট্রাস্ট (Docker Content Trust)

সবসময় ভেরিফাইড এবং অফিসিয়াল ইমেজ ব্যবহার করার চেষ্টা করুন। DOCKER_CONTENT_TRUST=1 সেট করলে ডকার শুধুমাত্র ডিজিটাললি সাইন করা ইমেজগুলোই রান করবে।

---

৬. সিক্রেটস ম্যানেজমেন্ট (Secrets Management)

পাসওয়ার্ড, এপিআই কি (API Key) বা সেনসিটিভ ডেটা কখনো Dockerfile-এর ENV বা সোর্স কোডে রাখবেন না। এর পরিবর্তে ডকার সিক্রেটস (Docker Secrets) বা এনভায়রনমেন্ট ভেরিয়েবল ফাইল ব্যবহার করুন যা রানটাইমে ইনজেক্ট করা হয়।

---

৭. নেটওয়ার্ক আইসোলেশন (Network Isolation)

কন্টেইনারগুলোকে ডিফল্ট ব্রিজ নেটওয়ার্কে না রেখে কাস্টম নেটওয়ার্কে রাখুন। এতে অপ্রয়োজনীয় কন্টেইনার একে অপরের সাথে যোগাযোগ করতে পারবে না, যা সিকিউরিটি বাড়ায়।

---

৮. রিসোর্স লিমিট (Resource Limits)

একটি কন্টেইনার যাতে পুরো সিস্টেমের মেমরি বা সিপিইউ ব্যবহার করে হোস্ট সিস্টেমকে ডাউন (DoS attack) না করতে পারে, সেজন্য রিসোর্স লিমিট সেট করুন।

docker run --memory="512m" --cpus="1" my-image

---

সারসংক্ষেপ (Summary)

সিকিউরিটি কোনো একটি নির্দিষ্ট স্টেপ নয়, এটি একটি কন্টিনিউয়াস প্রসেস। আপনার Docker-ভিত্তিক অ্যাপ্লিকেশনের নিরাপত্তা নিশ্চিত করতে উপরের ধাপগুলো প্রোডাকশনে অবশ্যই মেনে চলুন।

---

CAUTION

সিকিউরিটি অবহেলা করলে আপনার পুরো ইনফ্রাস্ট্রাকচার ঝুঁকির মুখে পড়তে পারে। সবসময় "Principle of Least Privilege" মেনে চলুন।