実行中の Linux ホストと Docker ワークロードを保護する方法を、30 個の DevSecOps チャレンジラボで練習します。6 つの段階を通じて実際のランタイム状態を調査し、危険な公開範囲や権限境界を見つけ、的を絞った修正を行い、保護後もアプリケーションが動作することを確認します。
これはセキュリティ理論や手順付き解説ではなく、運用上の堅牢化に重点を置く中級コースです。前半は Linux のサービス、Web コンテンツ、権限、ID、シークレット、特権自動化を扱い、後半は Docker のランタイム監査から最小権限、Compose 分離、イメージ管理、インシデント清掃へ進みます。
学習内容
修了すると、次のことができるようになります。
- リスニングソケット、ホストバインド、Web ディレクトリ動作、公開ファイルを監査し、正確な Linux 公開範囲を把握する。
- 正当なサービスアクセスを壊さずに、シークレット、アップロード、環境ファイル、ログの権限を絞る。
- サービスを root から専用 ID へ移し、設定読込とログ書込に必要な所有権境界を保つ。
- スクリプトとプロセスから認証情報を除き、sudo 規則を限定し、コマンド解決と root cron のパスを強化する。
- Docker と Compose のイメージ、公開ポート、ユーザー、マウント、環境値、ボリューム、ネットワークを調査する。
- 読み取り専用マウント、非 root ユーザー、privileged mode と Docker socket の削除、シークレットの限定で権限を下げる。
- Compose ネットワークを分離し、ランタイムとビルドのトークンを除去し、ベースイメージを固定して一時的なインシデント設定を清掃する。
- プロセス、権限、HTTP、コンテナ、イメージ履歴、接続性の確認で各変更を検証する。
このコースの対象者
Linux と Docker の基礎を持ち、現実的な運用セキュリティのずれを調査・修正したい方を対象とします。公開範囲と権限を減らしながらアプリケーションの動作を保つ経験を積みたい DevSecOps、プラットフォーム、運用担当者に適しています。
前提知識： Linux の操作、設定・シェルファイルの編集、権限とプロセス出力の解釈、sudo、基本的な Docker と Docker Compose コマンドが必要です。要件とヒントはありますが、これらの基礎をゼロから教えるコースではありません。
学習環境： 前半 15 問は提供済みの Ubuntu 22.04 ターミナル、後半 15 問はアプリ、イメージ、スクリプト、Compose スタックを準備した Docker 対応 Ubuntu 22.04 環境で実施します。対象はすべてラボ内にあり、外部クラウド、レジストリ、本番システムは使いません。
よくある質問
手順付きセキュリティコースですか、それともチャレンジ形式ですか？
チャレンジ形式です。各ラボはシナリオ、目標、要件、ヒント、検証を示しますが、調査する証拠と修正方法は自分で判断します。Linux と Docker が初めてなら、先にガイド付き基礎コースをおすすめします。
脆弱性スキャンや DevSecOps ライフサイクル全体を扱いますか？
いいえ。Linux と Docker の運用設定、つまり公開範囲、権限、ID、シークレット、最小権限、Compose 分離、イメージ、インシデント後のずれに集中します。SAST、依存関係スキャン、クラウド IAM、完全なセキュリティパイプライン設計は対象外です。
クラウドアカウント、レジストリ、自分の Docker ホストが必要ですか？
必要ありません。サービス、コンテナ、イメージ、Compose プロジェクトは隔離ラボに準備済みです。外部レジストリへの push や本番ホストの変更は行いません。
毎日 1 問ずつ完了する必要がありますか？
いいえ。30 問は段階的な 30 日間ルートとして並びますが、別のペースでも進められます。後半は調査、最小権限、検証に慣れている前提なので、順番どおりの学習を推奨します。
