Docker: أفضل ممارسات أمان الحاويات

# تأمين الأمان: غير root + صلاحيات دنيا
docker run -d \
  --user 1000:1000 \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  --security-opt no-new-privileges \
  --read-only \
  myapp:1.0

# تثبيت Trivy (Linux)
curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sh

# فحص صورة بحثًا عن الثغرات
trivy image nginx:1.25-alpine

# فحص مع مرشح الخطورة
trivy image --severity HIGH,CRITICAL nginx:1.25-alpine

# فحص وإخراج JSON
trivy image --format json --output report.json myapp:1.0

nginx:1.25-alpine (alpine 3.19.0)
=========================
Total: 5 (HIGH: 2, CRITICAL: 0)

┌──────────┬────────────┬──────────┬──────────┬─────────────────┐
│ Library  │ Vulnerability│ Severity │ Version  │ Fixed Version   │
├──────────┼────────────┼──────────┼──────────┼─────────────────┤
│ libcurl  │ CVE-2023-xxxx│ HIGH     │ 8.4.0    │ 8.5.0           │
│ openssl  │ CVE-2023-yyyy│ HIGH     │ 3.1.3    │ 3.1.4           │
└──────────┴────────────┴──────────┴──────────┴─────────────────┘

# Docker Scout (مدمج في Docker Desktop)
docker scout quickview nginx:latest

# تقرير CVE مفصل
docker scout cves nginx:latest

# مقارنة صورتين
docker scout compare --from nginx:1.24 --to nginx:1.25

# إسقاط جميع القدرات، وإضافة الضرورية فقط
docker run -d \
  --name secure-app \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  --security-opt no-new-privileges \
  -p 80:8080 \
  myapp:1.0

# التشغيل بملف تعريف seccomp مخصص
docker run -d \
  --security-opt seccomp=chrome.json \
  --name browser \
  chromium:latest

# تمكين DCT للجلسة الحالية
export DOCKER_CONTENT_TRUST=1

# دفع صورة موقعة
docker push myorg/myapp:v1.0

# سحب: DCT يتحقق من التوقيع
docker pull myorg/myapp:v1.0

# سحب صورة غير موقعة: مرفوض (مع تمكين DCT)
docker pull myorg/myapp:unsigned
# Error: No trust data for unsigned

# تشغيل فحص CIS Docker Benchmark
docker run --rm --net host --pid host \
  --userns host --cap-drop audit_control \
  -e DOCKER_CONTENT_TRUST=$DOCKER_CONTENT_TRUST \
  -v /etc:/etc:ro \
  -v /lib/systemd/system:/lib/systemd/system:ro \
  -v /usr/bin/containerd:/usr/bin/containerd:ro \
  -v /usr/bin/runc:/usr/bin/runc:ro \
  -v /usr/lib/systemd:/usr/lib/systemd:ro \
  -v /var/lib:/var/lib:ro \
  -v /var/run/docker.sock:/var/run/docker.sock:ro \
  docker/docker-bench-security

[INFO] 1 - Host Configuration
[INFO] 1.1  - Ensure Docker is up to date
[PASS] 1.2  - Ensure only trusted users are allowed to control Docker daemon
[WARN] 1.4  - Ensure a separate partition for containers has been created

[INFO] 4 - Container Images
[PASS] 4.1  - Ensure a user for the container has been created
[WARN] 4.7  - Ensure HEALTHCHECK instructions have been added
[WARN] 4.9  - Ensure COPY is used instead of ADD

# ============================================
# شرح كامل: تأمين حاوية الإنتاج
# من درجة التدقيق 45 ← 92
# ============================================

# الخطوة 1: فحص الثغرات
trivy image --severity HIGH,CRITICAL myapp:1.0
# إصلاح: تحديث الصورة الأساسية، تثبيت الإصدارات

# الخطوة 2: التشغيل بأقصى قيود الأمان
docker run -d \
  --name hardened-app \
  --user 1000:1000 \
  --cap-drop ALL \
  --cap-add NET_BIND_SERVICE \
  --security-opt no-new-privileges \
  --security-opt seccomp=default.json \
  --read-only \
  --tmpfs /tmp:rw,noexec,nosuid \
  --tmpfs /run:rw,noexec,nosuid \
  -v app-logs:/app/logs \
  --log-driver json-file \
  --log-opt max-size=10m \
  --log-opt max-file=3 \
  --health-cmd="curl -f http://localhost:8080/health || exit 1" \
  --health-interval=30s \
  --health-retries=3 \
  -p 8080:8080 \
  myapp:hardened

# الخطوة 3: التحقق من تكوين الأمان
docker inspect hardened-app --format='
User: {{.Config.User}}
ReadOnly: {{.HostConfig.ReadonlyRootfs}}
Capabilities: {{.HostConfig.CapAdd}}
NoNewPrivileges: {{.HostConfig.SecurityOpt}}
'

# الخطوة 4: تشغيل معيار CIS
docker run --rm ... docker/docker-bench-security

# الخطوة 5: إعادة الفحص بعد التأمين
trivy image myapp:hardened