Пропуски Middle Безопасность контейнеров обновлено
Флаги безопасного запуска
Вопрос
Запусти контейнер без capabilities, вернув только привязку к низким портам, с корнем только для чтения и запретом повышения прав:
docker run -d --cap-drop=__(1)__ --cap-add=__(2)__ --__(3)__ --tmpfs /tmp --security-opt __(4)__ nginx-unprivileged:1.27
Попробуйте сами
Заполните пропуски по номерам.
1
2
3
4
Показать ответ и разбор
Коротко
--cap-drop=ALL снимает все capabilities, --cap-add=NETBINDSERVICE возвращает только право слушать порты ниже 1024. --read-only делает корневую ФС неизменяемой, /tmp в памяти для записи. no-new-privileges блокирует повышение прав через SUID.
Что в пропусках
1
ALL или all
2
NET_BIND_SERVICE или CAP_NET_BIND_SERVICE
3
read-only
4
no-new-privileges или no-new-privileges:true или no-new-privileges=true
Разбор
--cap-drop=ALL снимает все capabilities, --cap-add=NET_BIND_SERVICE возвращает только право слушать порты ниже 1024. --read-only делает корневую ФС неизменяемой, /tmp в памяти для записи. no-new-privileges блокирует повышение прав через SUID.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.