Container Security

Définition

La sécurité des conteneurs (Container Security) englobe l'ensemble des pratiques, outils et techniques visant à protéger les applications conteneurisées tout au long de leur cycle de vie : de la construction de l'image Docker jusqu'à l'exécution en production dans des orchestrateurs comme Kubernetes, ECS ou GKE. Elle couvre quatre couches distinctes : l'image, le runtime, l'orchestrateur, et l'hôte. La sécurité des images de conteneurs est le premier rempart. Elle inclut le scanning de CVE (Common Vulnerabilities and Exposures) pour identifier les vulnérabilités dans les packages du système d'exploitation et les bibliothèques applicatives, l'utilisation d'images de base minimales (Distroless, Alpine, Chainguard) réduisant la surface d'attaque, et la signature des images (Cosign/Notary) pour garantir leur intégrité. La sécurité du runtime conteneur se concentre sur l'isolation et la détection comportementale. Les conteneurs partagent le noyau Linux de l'hôte, créant des risques d'évasion (container escape) si un attaquant exploite une vulnérabilité du runtime (containerd, CRI-O) ou des mauvaises configurations (conteneur privilégié, montage du socket Docker). Les outils de protection runtime (Falco, Sysdig) détectent les comportements anormaux via les syscalls Linux. La sécurité de l'orchestrateur (principalement Kubernetes) couvre le RBAC Kubernetes, les NetworkPolicies, les Pod Security Standards, les Admission Controllers (OPA/Gatekeeper, Kyverno), et la gestion sécurisée des secrets dans Kubernetes. Ces contrôles limitent ce que les conteneurs peuvent faire et avec qui ils peuvent communiquer. La sécurité de l'hôte conteneur (nœuds Kubernetes ou instances EC2/VMs) implique le hardening du système d'exploitation (CIS Benchmark pour Linux), la gestion des patchs, et le monitoring des accès root et des modifications du filesystem.