Docker Security 2025: Güvenlik Açıkları ve Best Practices Rehberi (CVE-2025)

Güvenli Versiyonlar / Safe Versions (2025)

# Docker Desktop güvenli versiyon / safe version
Docker Desktop 4.44+ (tüm CVE'ler patch'lenmiş / all CVEs patched)

# Docker Engine güvenli versiyon
Docker Engine 27.0+ (latest security patches)

# NVIDIA Container Toolkit güvenli versiyon
nvidia-container-toolkit 1.17.8+

Hemen kontrol edin (check immediately): docker --version

# Docker Engine güncelleme / update Docker Engine
sudo apt update && sudo apt upgrade docker-ce

# Docker Desktop güncelleme (macOS/Windows)
# GUI'den "Check for updates" tıklayın

# Host kernel güncelleme (Ubuntu)
sudo apt update && sudo apt upgrade linux-image-generic

Container escape saldırılarından korunmak için (to protect against container escape attacks) kernel'i güncel tutmak kritik (keeping kernel updated is critical).

Güvenli Image Örneği / Secure Image Example

# ✅ İYİ: Official image (verified)
FROM node:20-alpine

# ❌ KÖTÜ: Bilinmeyen kaynak (unknown source)
FROM random-user/node-custom:latest

# Root kullanıcı ile ÇALIŞTIRMAYIN / DON'T run as root
# ❌ YANLIŞ
USER root

# ✅ DOĞRU: Non-root user oluşturun
FROM node:20-alpine
RUN addgroup -g 1001 -S nodejs && adduser -S nodejs -u 1001
USER nodejs

# Container çalıştırırken / when running container
docker run --user 1001:1001 myapp

Root user ile çalışan container'lar (containers running as root) privilege escalation riski taşır (carry privilege escalation risk).

# Tüm capability'leri kaldırıp sadece gerekeni ekleyin
# Drop all, add only necessary
docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE nginx

# Örnek: Sadece port 80/443 bind etme yetkisi
# Only permission to bind ports 80/443

alestaweb.com'da Linux capability'leri detaylı rehberimiz var.

# Custom network oluşturun / create custom network
docker network create --driver bridge secure-network

# Container'ı izole network'e bağlayın
docker run --network secure-network myapp

# Gereksiz port expose etmeyin / don't expose unnecessary ports
# ❌ YANLIŞ: Tüm portları aç
docker run -p 0.0.0.0:3000:3000 myapp

# ✅ DOĞRU: Sadece localhost'ta aç
docker run -p 127.0.0.1:3000:3000 myapp

# Docker Scout ile tarama / scan with Docker Scout
docker scout cve myapp:latest

# Trivy ile detaylı tarama / detailed scan with Trivy
trivy image myapp:latest

# Snyk ile güvenlik açığı kontrolü
snyk container test myapp:latest

Container scanning tools, known vulnerabilities (bilinen güvenlik açıklarını), secrets (gizli bilgileri) ve misconfigurations (yanlış yapılandırmaları) tespit eder.

Katman 1: Base Image Seçimi / Layer 1: Base Image Selection

# ✅ KÜÇÜK VE GÜVENLİ: Alpine Linux (5MB)
FROM alpine:3.19

# ✅ KÜÇÜK VE GÜVENLİ: Distroless (Node.js için 60MB)
FROM gcr.io/distroless/nodejs20-debian12

# ⚠️ DAHA BÜYÜK: Debian slim (150MB)
FROM debian:12-slim

# ❌ ÇOK BÜYÜK: Ubuntu full (300MB+)
FROM ubuntu:22.04

Küçük image = daha az paket = daha az güvenlik açığı (smaller image = fewer packages = fewer vulnerabilities).

Katman 2: Multi-Stage Build (Çok Aşamalı Derleme)

# Build stage (derleme araçları dahil / includes build tools)
FROM node:20-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build

# Production stage (sadece runtime / only runtime)
FROM node:20-alpine
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/node_modules ./node_modules
USER node
CMD ["node", "dist/index.js"]

Final image'de sadece runtime gerekli dosyalar (only runtime necessary files) olur, build tools olmaz (no build tools).

Katman 3: Software Bill of Materials (SBOM)

# SBOM oluşturma / generate SBOM
docker sbom myapp:latest > sbom.json

# SBOM ile güvenlik kontrolü / security check with SBOM
docker scout cve --sbom sbom.json

SBOM, image'deki tüm component'leri listeler (lists all components in image). Supply chain attacks'e karşı korur (protects against supply chain attacks).

Rootless Docker Kurulumu / Rootless Docker Installation

# Ubuntu/Debian
sudo apt install -y uidmap dbus-user-session

# Rootless Docker kurulumu (root olarak DEĞIL!)
# Install as regular user (NOT as root!)
curl -fsSL https://get.docker.com/rootless | sh

# PATH'e ekleme / add to PATH
export PATH=$HOME/bin:$PATH
export DOCKER_HOST=unix://$XDG_RUNTIME_DIR/docker.sock

# Systemd ile başlatma / start with systemd
systemctl --user enable docker
systemctl --user start docker

❌ YANLIŞ: HTTP ile Daemon API

# ASLA YAPMAYIN! / NEVER DO THIS!
dockerd -H tcp://0.0.0.0:2375

Bu ayar, internet üzerinden herkesin Docker daemon'unuza erişmesine izin verir (allows anyone on internet to access your Docker daemon)!

1. AppArmor/SELinux Profilleri

# AppArmor profili ile çalıştırma (Ubuntu)
docker run --security-opt apparmor=docker-default nginx

# SELinux ile çalıştırma (RHEL/CentOS)
docker run --security-opt label=type:container_runtime_t nginx

2. Seccomp Profilleri (Syscall Filtering)

# Default seccomp profili
docker run --security-opt seccomp=default.json nginx

# Seccomp tamamen kapalı (GÜVENSİZ! / INSECURE!)
# ASLA PRODUCTION'DA KULLANMAYIN
docker run --security-opt seccomp=unconfined nginx

Seccomp, tehlikeli system call'ları engeller (blocks dangerous system calls).

3. Read-Only Filesystem

# Container filesystem'i read-only yapın
docker run --read-only --tmpfs /tmp nginx

# Sadece /tmp yazılabilir, geri kalan read-only
# Only /tmp writable, rest is read-only

Saldırgan container'a girerse bile (even if attacker enters container) dosya yazamaz (can't write files).