Container Security

Cycle de vie sécurisé

• Build : images minimales (distroless, Alpine), multi-stage builds, pas de secrets dans les layers
• Registry : scanning des vulnérabilités (Trivy, Grype), signature des images (Cosign), registre privé
• Runtime : utilisateur non-root, read-only filesystem, seccomp/AppArmor, network policies

Menaces spécifiques

• Container escape : exploitation kernel pour sortir du namespace
• Supply chain : images publiques compromises
• Secrets leaking : variables d'environnement ou fichiers montés
• Lateral movement : réseau plat entre conteneurs

Outils

Trivy (scanning), Falco (runtime), Cilium (networking), Docker Bench for Security (audit).