Docker Bench

บทนำ

Docker Bench for Security เป็นเครื่องมืออัตโนมัติที่ถูกพัฒนาขึ้นโดยทีมผู้พัฒนา Docker เพื่อตรวจสอบการตั้งค่า Docker Engine และ Container ว่าสอดคล้องกับ CIS Docker Benchmark ซึ่งเป็นมาตรฐานความปลอดภัยระดับสากลที่ได้รับการยอมรับจากองค์กรต่างๆ

ในปี 2025 ด้วยความก้าวหน้าของ Container Technology และการใช้งาน Docker ใน Production การตรวจสอบความปลอดภัยอย่างสม่ำเสมอจึงเป็นสิ่งจำเป็นอย่างยิ่ง โดย Docker Bench จะช่วยคุณระบุช่องโหว่และจุดอ่อนในการตั้งค่าระบบ

โครงสร้างระบบ (Architecture)

Docker Bench ทำงานโดยการตรวจสอบไฟล์ configuration และ service files ของ Docker Engine และ Container ที่กำลังทำงานอยู่ โดยตรวจสอบเปรียบเทียบกับรูปแบบที่กำหนดไว้ใน CIS Benchmark

สิ่งที่ต้องเตรียม (Prerequisites)

# Check Docker version
docker --version
docker info | grep 'Server Version'

sudo ./docker-bench-security.sh
# หรือ
sudo bash docker-bench-security.sh

ขั้นตอนการติดตั้ง (Installation)

คุณสามารถติดตั้ง Docker Bench Security ได้ 3 วิธี ขึ้นอยู่กับความต้องการและสภาพแวดล้อมของคุณ

wget https://raw.githubusercontent.com/docker/docker-bench-security/main/docker-bench-security.sh
chmod +x docker-bench-security.sh

curl -o docker-bench-security.sh https://raw.githubusercontent.com/docker/docker-bench-security/main/docker-bench-security.sh
chmod +x docker-bench-security.sh
./docker-bench-security.sh

git clone https://github.com/docker/docker-bench-security.git
cd docker-bench-security
./docker-bench-security.sh

cd docker-bench-security
git pull

docker run -it --net host --pid host --cap-add audit_control \
  -e DOCKER_VERSION=$(docker version -f '{{.Server.Version}}' 2>/dev/null || echo 'unknown') \
  -e DISABLE_TESTS=$DISABLE_TESTS \
  -v /var/lib:/var/lib \
  -v /var/run:/var/run:ro \
  -v /etc:/etc:ro \
  -v /usr:/usr:ro \
  docker/docker-bench-security

docker run --rm -t docker/docker-bench-security 2>1 | tee docker-bench-results.txt

./docker-bench-security.sh --help

ขั้นตอนการใช้งาน (Usage)

sudo ./docker-bench-security.sh

sudo ./docker-bench-security.sh -c docker_daemon

sudo ./docker-bench-security.sh -c docker_container

sudo ./docker-bench-security.sh -c docker_ce

DISABLE_TESTS=\"test_1_1 test_1_2\" ./docker-bench-security.sh

# Output as JSON
./docker-bench-security.sh --output json

# Output as JSON with timestamps
./docker-bench-security.sh --output json --timestamps

# Save to file
./docker-bench-security.sh --output json > results.json

การอ่านผลลัพธ์ (Interpret Results)

หลังจากการตรวจสอบ ผลลัพธ์จะแสดงในรูปแบบสีและสัญลักษณ์ที่ช่วยให้คุณเข้าใจสถานะความปลอดภัยได้ทันที

===========================================================
Docker Bench Security v1.7.0
===========================================================

Checking Docker security configuration...

-- Section 1: Docker Daemon Configuration --

[INFO] 1.1 - Ensure AIDE is installed
[PASS] 1.1 - AIDE is installed

[INFO] 1.2 - Ensure SELinux security options are set
[WARN] 1.2 - SELinux is not enabled

[INFO] 1.3 - Ensure AppArmor profile is enabled
[PASS] 1.3 - AppArmor is enabled

-- Summary --
Total: 107 checks
PASS: 89
FAIL: 8
WARN: 10
INFO: 0

-- Score: 83.2% (89/107) --

ตัวอย่างจริง (Real Examples)

มาดูตัวอย่างผลลัพธ์จริงจาก Docker Bench Security และวิธีการวิเคราะห์

[WARN] 2.2 - Ensure Docker is allowed to make changes to iptables rules
[FAIL] 2.2 - Docker is allowed to make changes to iptables rules

[WARN] 2.3 - Ensure iptables is enabled for Docker
[WARN] 2.3 - iptables is not enabled for Docker

[FAIL] 2.6 - Ensure Docker cgroup driver is configured to "cgroupfs"

# Edit /etc/docker/daemon.json
sudo nano /etc/docker/daemon.json

# Add these settings:
{
  "iptables": true,
  "live-restore": true,
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  }
}

# Restart Docker daemon
sudo systemctl daemon-reexec
sudo systemctl restart docker

[PASS] 5.1 - Ensure Docker is installed (not just Docker CLI)
[PASS] 5.2 - Ensure a user for the container is created
[PASS] 5.3 - Ensure HTTP headers are set in containers
[PASS] 5.4 - Ensure Linux kernel capabilities are configured
[PASS] 5.5 - Ensure privileged containers are not used
[PASS] 5.6 - Ensure sensitive host system directories are not mounted on containers
[PASS] 5.7 - Ensure sshd is not run inside containers

[WARN] 6.1 - Ensure Docker images are based on images with latest security patches
[WARN] 6.2 - Ensure unnecessary packages are removed from images
[WARN] 6.3 - Ensure Docker files do not contain secrets
[WARN] 6.4 - Ensure Docker files do not contain unnecessary tools

# Install Trivy
curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sh -s -- -b /usr/local/bin

# Scan image
trivy image --severity HIGH,CRITICAL myapp:latest

# Scan for secrets
trivy config --severity HIGH,CRITICAL .

Best Practices

การใช้งาน Docker Bench Security อย่างมีประสิทธิภาพต้องมีการวางแผนและจัดการอย่างต่อเนื่อง

# 1. Create docker bench weekly script
cat > /usr/local/bin/docker-bench-weekly.sh << 'EOF'
#!/bin/bash
# Docker Bench Weekly Scan
DATE=\$(date +%Y%m%d_%H%M%S)
OUTPUT_DIR="/var/log/docker-bench"
REPORT="\${OUTPUT_DIR}/bench_report_\${DATE}.json"

mkdir -p \$OUTPUT_DIR
cd /opt/docker-bench-security
sudo ./docker-bench-security.sh --output json > \$REPORT 2>/dev/null

# Send report via email (optional)
# mail -s "Docker Bench Report \${DATE}" admin@company.com < \$REPORT
EOF

chmod +x /usr/local/bin/docker-bench-weekly.sh

# 2. Add to crontab
echo '0 2 * * 0 /usr/local/bin/docker-bench-weekly.sh >> /var/log/docker-bench/cron.log 2>&1' | sudo crontab -

# ส่ง JSON data ไป Splunk HEC
curl -k https://splunk-server:8088/services/collector \
  -H "Authorization: Splunk YOUR_TOKEN_HERE" \
  -d "@docker-bench-report.json"

# หรือใช้ filebeat สำหรับส่งไป ELK
# /etc/filebeat/filebeat.yml
- type: filestream
  paths:
    - /var/log/docker-bench/*.json
  fields:
    type: docker-bench
    environment: production

name: Docker Security Scan

on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]

jobs:
  security-scan:
    runs-on: ubuntu-latest
    steps:
    - uses: actions/checkout@v3

    - name: Clone Docker Bench
      run: |
        git clone https://github.com/docker/docker-bench-security.git
        cd docker-bench-security

    - name: Run Docker Bench Security
      run: |
        sudo chmod +x docker-bench-security.sh
        sudo ./docker-bench-security.sh --output json > ../security-report.json

    - name: Parse Results
      run: |
        # Check for FAIL results
        FAIL_COUNT=\$(grep -c '"'"'\"status\": \"fail\"'"'"' ../security-report.json)
        if [ \"\$FAIL_COUNT\" -gt 0 ]; then
          echo "Found \$FAIL_COUNT security issues!"
          exit 1
        fi
        echo "No critical security issues found."

    - name: Upload Report
      uses: actions/upload-artifact@v3
      with:
        name: security-report
        path: security-report.json

# ตัวอย่าง script สำหรับสร้าง security trend report
#!/bin/bash

# สรุปผลรายสัปดาห์
echo "Docker Security Trend Report"
echo "=============================="
echo "Date: $(date)"
echo ""

# รวมผลจากทุก file
for file in /var/log/docker-bench/*.json; do
  if [ -f "$file" ]; then
    date=$(echo "$file" | grep -oP '\d{8}_\d{6}')
    total=$(grep -c '"'"'\"check\":'\"'"' "$file") || 0
    pass=$(grep -c '"'"'\"status\": \"pass\"'"'"' "$file") || 0
    fail=$(grep -c '"'"'\"status\": \"fail\"'"'"' "$file") || 0
    
    echo "Date: $date | Total: $total | PASS: $pass | FAIL: $fail"
  fi
done

# สร้าง summary
echo "=============================="
echo "Security Score Trend: [Chart would be generated here]"

Troubleshooting

แก้ไขปัญหาที่อาจเกิดขึ้นขณะใช้งาน Docker Bench Security

# ตรวจสอบสิทธิ์
ls -la docker-bench-security.sh

# ให้สิทธิ์ execute
chmod +x docker-bench-security.sh

# เรียกใช้ด้วย sudo
sudo ./docker-bench-security.sh

# หรือเรียกใช้โดยตรงกับ bash
sudo bash docker-bench-security.sh

# ตรวจสอบสถานะ Docker
sudo systemctl status docker

# เริ่ม Docker service
sudo systemctl start docker

# รัน Docker Bench ใหม่
sudo ./docker-bench-security.sh

# ใช้ memory limit สำหรับการรัน Docker container
docker run -m 512m docker/docker-bench-security

# หรือรันเฉพาะบาง section แทนที่จะตรวจสอบทั้งหมด
sudo ./docker-bench-security.sh -c docker_daemon
sudo ./docker-bench-security.sh -c docker_container

# เข้าไปดู source code
cat /opt/docker-bench-security/bench.sh | head -100

Quick Reference

wget https://raw.githubusercontent.com/docker/docker-bench-security/main/docker-bench-security.sh
chmod +x docker-bench-security.sh

sudo ./docker-bench-security.sh

sudo ./docker-bench-security.sh -c docker_daemon

References & Resources