Ensure that the container's root filesystem is mounted as read only

MittelStufe 1Automatisiertdocker

Beschreibung

A read-only root filesystem stops attackers from modifying the container's binaries and configuration at runtime. The audit inspects every running container (docker ps -q) and prints the offending names; a host with no running containers is compliant.

So wird geprüft

Prüfmethode: Shell-Befehl

shell

ids=$(docker ps -q) || exit 1; [ -z "$ids" ] && { echo compliant; exit 0; }; out=$(docker inspect --format '{{.Name}} {{.HostConfig.ReadonlyRootfs}}' $ids) || exit 1; bad=$(printf '%s\n' "$out" | awk '$2!="true"{print $1}'); [ -z "$bad" ] && echo compliant || printf '%s\n' "$bad"

Erwartete Ausgabe: compliant

So wird behoben

Behebungsmethode: Anleitung oder Infrastruktur-Patch

Redeploy with --read-only (compose: 'read_only: true') and use volumes or --tmpfs for directories that must be writable.

Eigenschaften

Betriebssysteme: Beliebig
Tags: dockerruntime
Referenz: CIS Docker Benchmark v1.9.0 - 5.13 Ensure that the container's root filesystem is mounted as read only

Diesen Host prüfen

Führen Sie dies auf einem Rechner aus, den Sie prüfen dürfen. Der Scan ist schreibgeschützt.

shell

tmaegis scan --target docker