Я раздаю root на своём сервере всем подряд — и он до сих пор жив
Рассказываю, что может натворить человек с root в контейнере и как я это закрыл: gVisor вместо runc, отдельная сеть на каждый запуск, лимиты, сторож диска и проверка, которую не обмануть через sudo. Плюс три дыры в «идеальной» сетевой изоляции и замеры: почему load average врёт и как 3 места на сервере превратились в 9.
https://habr.com/ru/articles/1099928/
#тренажёр #песочница #sre #cgroups #ufw #docker #gvisor #безопасность_контейнеров #изоляция_контейнеров #prodisdown