{"id":80371,"url":"https://github.com/xiaomingx/awesome-docker-security","name":"awesome-docker-security","description":"📚 A curated list of awesome Docker security resources","projects_count":33,"last_synced_at":"2026-07-30T01:00:28.470Z","repository":{"id":264436280,"uuid":"893371032","full_name":"XiaomingX/awesome-docker-security","owner":"XiaomingX","description":"📚 A curated list of awesome Docker security resources","archived":false,"fork":false,"pushed_at":"2025-09-17T03:34:06.000Z","size":18,"stargazers_count":5,"open_issues_count":0,"forks_count":0,"subscribers_count":1,"default_branch":"main","last_synced_at":"2025-10-12T06:03:02.952Z","etag":null,"topics":["awesome","cve","docker","exp","poc","rce"],"latest_commit_sha":null,"homepage":"https://twitter.com/seclink","language":null,"has_issues":true,"has_wiki":null,"has_pages":null,"mirror_url":null,"source_name":null,"license":"apache-2.0","status":null,"scm":"git","pull_requests_enabled":true,"icon_url":"https://github.com/XiaomingX.png","metadata":{"files":{"readme":"README.md","changelog":null,"contributing":null,"funding":null,"license":"LICENSE","code_of_conduct":null,"threat_model":null,"audit":null,"citation":null,"codeowners":null,"security":null,"support":null,"governance":null,"roadmap":null,"authors":null,"dei":null,"publiccode":null,"codemeta":null,"zenodo":null,"notice":null,"maintainers":null,"copyright":null,"agents":null,"dco":null,"cla":null}},"created_at":"2024-11-24T09:07:03.000Z","updated_at":"2025-09-17T03:34:09.000Z","dependencies_parsed_at":null,"dependency_job_id":"bf28ce6b-0efe-4b2d-9c40-de1a57f56fb3","html_url":"https://github.com/XiaomingX/awesome-docker-security","commit_stats":null,"previous_names":["xiaomingx/awesome-docker-security"],"tags_count":0,"template":false,"template_full_name":null,"purl":"pkg:github/XiaomingX/awesome-docker-security","repository_url":"https://repos.ecosyste.ms/api/v1/hosts/GitHub/repositories/XiaomingX%2Fawesome-docker-security","tags_url":"https://repos.ecosyste.ms/api/v1/hosts/GitHub/repositories/XiaomingX%2Fawesome-docker-security/tags","releases_url":"https://repos.ecosyste.ms/api/v1/hosts/GitHub/repositories/XiaomingX%2Fawesome-docker-security/releases","manifests_url":"https://repos.ecosyste.ms/api/v1/hosts/GitHub/repositories/XiaomingX%2Fawesome-docker-security/manifests","owner_url":"https://repos.ecosyste.ms/api/v1/hosts/GitHub/owners/XiaomingX","download_url":"https://codeload.github.com/XiaomingX/awesome-docker-security/tar.gz/refs/heads/main","sbom_url":"https://repos.ecosyste.ms/api/v1/hosts/GitHub/repositories/XiaomingX%2Fawesome-docker-security/sbom","scorecard":null,"host":{"name":"GitHub","url":"https://github.com","kind":"github","repositories_count":279584198,"owners_count":26195237,"icon_url":"https://github.com/github.png","version":null,"created_at":"2022-05-30T11:31:42.601Z","updated_at":"2022-07-04T15:15:14.044Z","status":"online","status_checked_at":"2025-10-18T02:00:06.492Z","response_time":62,"last_error":null,"robots_txt_status":"success","robots_txt_updated_at":"2025-07-24T06:49:26.215Z","robots_txt_url":"https://github.com/robots.txt","online":true,"can_crawl_api":true,"host_url":"https://repos.ecosyste.ms/api/v1/hosts/GitHub","repositories_url":"https://repos.ecosyste.ms/api/v1/hosts/GitHub/repositories","repository_names_url":"https://repos.ecosyste.ms/api/v1/hosts/GitHub/repository_names","owners_url":"https://repos.ecosyste.ms/api/v1/hosts/GitHub/owners"}},"created_at":"2024-11-29T23:09:00.017Z","updated_at":"2026-07-30T01:00:28.522Z","primary_language":"Go","list_of_lists":false,"displayable":true,"categories":["博客：获取前沿实践与漏洞动态","博客","视频","视频：直观学习实战操作与场景化方案","工具：覆盖攻防全流程的实用利器","工具","案例","书籍：系统构建 Docker 安全知识体系","书籍"],"sub_categories":["3. 合规检查（对齐行业基准，自动化加固）","测试环境","4. 运行时监控（实时发现异常行为）","其他工具","6. 辅助工具（优化 Docker 安全配置）","2. 容器扫描（检测镜像/容器中的风险）","容器扫描","1. 容器运行时（增强隔离，降低逃逸风险）","容器运行时","合规检查","渗透测试","5. 攻防测试（模拟攻击，验证防护效果）"],"readme":"# awesome-docker-security（Docker 安全资源大全）\n这里收集了 **实用、前沿且权威** 的 Docker 安全资源，涵盖从基础理论到实战工具、从攻击案例到防护方案的全维度内容，帮你快速掌握 Docker 安全核心知识与实践方法。\n\n\n## 书籍：系统构建 Docker 安全知识体系\n书籍是夯实理论基础的核心载体，以下资源覆盖容器安全原理、实战防护、渗透测试等方向，适合不同阶段的学习者。\n\n| 书名 | 作者 | 核心价值 | 链接 |\n|------|------|----------|------|\n| 《容器安全：从基础到进阶的实战指南》 | Liz Rice | 容器安全领域的“圣经”，从 Linux 内核隔离机制（namespace/cgroups）讲到生产环境防护，适合入门到进阶 | [O'Reilly 链接](https://learning.oreilly.com/library/view/container-security/9781492056690/) |\n| 《Docker 安全与合规》 | Adrian Mouat | 聚焦 Docker 原生安全特性（如镜像安全、守护进程配置），搭配大量生产环境案例，实用性极强 | [O'Reilly 链接](https://learning.oreilly.com/library/view/docker-security/9781492042297/) |\n| 《云原生安全：容器与 Kubernetes 防护实战》 | Chris Dotson | 新增 Docker 与 Kubernetes 集成场景的安全防护，涵盖供应链安全、运行时监控，贴合当前云原生架构 | [Amazon 链接](https://www.amazon.com/Cloud-Native-Security-Container-Kubernetes/dp/1492083786/) |\n\n\n## 博客：获取前沿实践与漏洞动态\n博客内容更新快、聚焦细节，以下资源来自 Docker 官方、OWASP 等权威机构及一线安全专家，覆盖最新最佳实践与漏洞分析。\n\n- **官方指南与基准**\n  - [Docker 官方安全最佳实践（2024 更新）](https://docs.docker.com/engine/security/)：Docker 官方发布的权威指南，包括镜像安全、守护进程加固、Rootless 模式配置等核心内容，必看入门资料。\n  - [OWASP Docker 安全Top 10（2023 修订版）](https://github.com/OWASP/Docker-Security)：梳理容器环境最常见的 10 类风险（如镜像污染、API 暴露），附防御方案。\n\n- **核心技术深度解析**\n  - [Rootless Docker 完全指南：告别特权容器风险](https://docs.docker.com/engine/security/rootless/)：详解 Rootless 模式的原理、部署步骤及适用场景，解决“容器逃逸即主机沦陷”的核心风险。\n  - [Docker 镜像供应链安全：从构建到分发的防护](https://blog.aquasec.com/docker-image-supply-chain-security)：覆盖 SBOM 生成（Syft）、镜像签名（Cosign）、恶意代码扫描，应对供应链攻击。\n\n- **漏洞与应急响应**\n  - [CVE-2023-28840 深度分析：Docker 容器逃逸漏洞的利用与修复](https://blog.trailofbits.com/2023/04/19/cve-2023-28840-analysis/)：2023 年高严重性漏洞，详解漏洞原理、影响范围及修复方案。\n  - [容器镜像“隐写术”：恶意镜像的检测与溯源](https://medium.com/@securitylab/docker-image-steganography-detection-7f3b6a5a5d8f)：揭秘黑客如何隐藏恶意代码，及对应的检测工具（如 Trivy、Dagda）使用方法。\n\n\n## 视频：直观学习实战操作与场景化方案\n视频适合直观理解复杂操作，以下资源涵盖工具使用、攻防演示、大厂实践，建议搭配实操练习。\n\n- **基础实战与工具**\n  - [《构建安全 Docker 镜像的 10 个技巧》（2023）](https://www.youtube.com/watch?v=7G3tYpM0c54)：从 Dockerfile 优化（多阶段构建、非 root 用户）到镜像扫描，手把手教学。\n  - [《Trivy 全面教程：容器漏洞扫描与 SBOM 管理》](https://www.youtube.com/watch?v=QVQf4Nz688g)：热门扫描工具 Trivy 的实战演示，包括 CI/CD 集成、误报处理。\n\n- **大厂实践与进阶**\n  - [DockerCon 2023：Netflix 容器安全防护体系](https://www.youtube.com/watch?v=zXa7Z3aFh3k)：揭秘 Netflix 如何应对大规模容器环境的安全挑战（监控、合规、应急）。\n  - [RSA 2024：容器逃逸与防御技术前沿](https://www.rsaconference.com/library/presentation/usa/2024/container-escape-and-defense-technologies-frontier)：分析最新容器逃逸手段，及 gVisor、Kata Containers 等隔离方案的效果。\n\n- **攻防演练**\n  - [《实时容器夺旗赛：从 API 暴露到主机控制》](https://www.youtube.com/watch?v=iWkiQk8Kdk8)：模拟黑客视角，演示“暴露 Docker API → 远程执行 → 容器逃逸”全流程。\n\n\n## 工具：覆盖攻防全流程的实用利器\n工具是落地安全能力的核心，以下按“防护-检测-合规-攻防”分类，标注工具核心用途与优势。\n\n### 1. 容器运行时（增强隔离，降低逃逸风险）\n| 工具 | 核心用途 | 优势 | 链接 |\n|------|----------|------|------|\n| gVisor | 轻量级应用内核，为容器提供独立“内核视图” | 隔离性强于原生 Docker，避免直接依赖主机内核 | [GitHub](https://github.com/google/gvisor) |\n| Kata Containers | 轻量级虚拟机伪装成容器，兼具性能与 VM 级隔离 | 解决特权容器风险，适合多租户场景 | [GitHub](https://github.com/kata-containers/kata-containers) |\n| Sysbox | 支持容器内运行 Docker/K8s，模拟完整服务器环境 | 安全隔离且兼容原生 Docker 命令，适合测试环境 | [GitHub](https://github.com/nestybox/sysbox) |\n\n### 2. 容器扫描（检测镜像/容器中的风险）\n- **Trivy**：**最流行的轻量级扫描工具**，支持漏洞（CVE）、恶意代码、SBOM 生成，集成 CI/CD 极其简单。[GitHub](https://github.com/aquasecurity/trivy)\n- **Grype**：Anchore 开源工具，扫描精度高，支持自定义策略，适合企业级合规场景。[GitHub](https://github.com/anchore/grype)\n- **Dagda**：不仅扫漏洞，还能检测木马、病毒等恶意软件，支持对运行中容器的实时扫描。[GitHub](https://github.com/eliasgranderubio/dagda/)\n- **Syft + Cosign**：供应链安全组合，Syft 生成镜像 SBOM（物料清单），Cosign 验证镜像签名，防止篡改。[Syft](https://github.com/anchore/syft) / [Cosign](https://github.com/sigstore/cosign)\n\n### 3. 合规检查（对齐行业基准，自动化加固）\n- **Docker Bench Security**：Docker 官方合规脚本，检查 40+ 项生产环境最佳实践（如守护进程权限、日志配置）。[GitHub](https://github.com/docker/docker-bench-security)\n- **CIS Docker 基准（InSpec 版）**：自动化实现 CIS 最新基准（2.0+ 版本），支持生成合规报告，满足审计需求。[GitHub](https://github.com/dev-sec/cis-docker-benchmark)\n- **OPA + Conftest**：通用策略引擎，可自定义 Dockerfile/镜像的合规规则（如“禁止使用 latest 标签”“必须用非 root 用户”）。[OPA](https://www.openpolicyagent.org/) / [Conftest](https://github.com/open-policy-agent/conftest)\n\n### 4. 运行时监控（实时发现异常行为）\n- **Falco**：云原生运行时安全“标杆”，基于 eBPF 监控容器异常行为（如特权升级、文件篡改），秒级告警。[GitHub](https://github.com/falcosecurity/falco)\n- **Wazuh**：企业级监控平台，支持容器日志分析、完整性监控、漏洞扫描，可对接 SIEM 系统。[官网](https://wazuh.com)\n- **Weave Scope**：可视化监控工具，自动绘制容器拓扑，直观发现“异常通信”“资源滥用”等问题。[官网](https://www.weave.works/oss/scope/)\n\n### 5. 攻防测试（模拟攻击，验证防护效果）\n- **DEEPCE**：容器逃逸专用工具，支持检测 10+ 种逃逸漏洞，适合测试环境验证隔离效果。[GitHub](https://github.com/stealthcopter/deepce)\n- **Gorsair**：扫描暴露的 Docker API，模拟黑客远程控制容器，用于检测“API 未授权访问”风险。[GitHub](https://github.com/Ullaakut/Gorsair)\n- **OWASP WrongSecrets**：漏洞演示应用，包含 Docker 中“硬编码密钥”“镜像泄露敏感信息”等常见问题，适合学习避坑。[GitHub](https://github.com/commjoen/wrongsecrets)\n\n### 6. 辅助工具（优化 Docker 安全配置）\n- **Dive**：可视化探索镜像分层，帮你发现“冗余依赖”“隐藏敏感文件”，优化镜像安全性。[GitHub](https://github.com/wagoodman/dive)\n- **Hadolint**：Dockerfile 代码检查工具，自动识别“使用 root 用户”“ADD 替代 COPY”等不安全写法。[GitHub](https://github.com/hadolint/hadolint)\n- **Secret-Diver**：扫描容器/镜像中的敏感信息（密钥、证书、密码），避免“秘密泄露”。[GitHub](https://github.com/cider-rnd/secret-diver)\n\n\n## 案例：从真实事件中吸取教训\n真实案例是最好的“教科书”，以下事件覆盖常见风险场景，帮你规避同类问题。\n\n1. **2023 年“镜像污染”供应链攻击**：某流行 Python 基础镜像被植入恶意代码，使用该镜像的企业遭遇数据泄露。原因是未验证镜像签名、未扫描恶意代码，解决方案：引入 Cosign 签名 + Trivy 扫描。\n2. **2022 年 Log4j 漏洞在 Docker 中的爆发**：大量 Docker 镜像内置了存在漏洞的 Log4j 依赖，且未及时更新。教训：定期扫描镜像依赖（用 Syft 生成 SBOM 跟踪版本），建立镜像更新机制。\n3. **2023 年 Docker API 暴露导致的加密劫持**：黑客扫描公网暴露的 Docker API（2375 端口），植入加密矿工程序，占用主机资源。防御：禁用公网 API 访问，启用 TLS 认证 + 身份授权。\n4. **CVE-2023-28840 容器逃逸事件**：某云厂商用户因未修复该漏洞，导致容器内攻击者逃逸至主机，获取其他容器数据。应对：及时更新 Docker 引擎，用 Kata Containers 降低逃逸风险。\n5. **2024 年 Portainer 配置漏洞导致的权限绕过**：部分用户使用默认密码部署 Portainer（Docker 管理工具），被黑客登录后控制整个容器集群。教训：修改默认凭证，启用 MFA 认证。\n","projects_url":"https://awesome.ecosyste.ms/api/v1/lists/xiaomingx%2Fawesome-docker-security/projects"}