Teknologi container seperti Docker dan Kubernetes telah mengubah cara perusahaan membangun, mengirim, dan menjalankan aplikasi. Developer bisa mem-packaging kode beserta seluruh dependensinya ke dalam satu unit yang ringan dan portabel. Tim operasi bisa mendeploy ratusan container dalam hitungan detik. Namun di balik kecepatan dan efisiensi ini, ada satu pertanyaan kritis yang sering terlewat: seberapa amankah container yang sedang berjalan di production?
Berdasarkan laporan Sysdig 2024 Cloud-Native Security Report, sebanyak 87% container image yang berjalan di production mengandung setidaknya satu kerentanan dengan tingkat keparahan high atau critical. Artinya, mayoritas organisasi yang menggunakan container sebenarnya menjalankan aplikasi di atas fondasi yang rentan tanpa menyadarinya. Container security bukan lagi topik khusus untuk tim DevSecOps – ini adalah fondasi yang harus dipahami semua orang yang bekerja dengan infrastruktur modern.
Mengapa Container Security Itu Penting?
Container bukanlah virtual machine. Ini adalah kesalahpahaman paling umum yang sering menyebabkan celah keamanan. Virtual machine memiliki kernel sendiri dan isolasi penuh di level hardware. Container berbagi kernel yang sama dengan host dan proses lain di dalamnya. Jika satu container berhasil dikompromikan, penyerang berpotensi melakukan container escape untuk mengakses host dan seluruh container lainnya.
Perbedaan fundamental ini membuat model ancaman untuk container sangat berbeda. Keamanan tidak cukup hanya di perimeter jaringan – harus diterapkan di setiap lapisan: dari image yang digunakan, konfigurasi runtime, orkestrasi, sampai ke host yang menjalankan container itu sendiri.
Menurut panduan NIST SP 800-190 (Application Container Security Guide), risiko utama pada container mencakup image yang tidak tepercaya, registry yang tidak aman, konfigurasi runtime yang longgar, dan kerentanan pada orkestrator. NIST merekomendasikan pendekatan defense in depth yang mencakup seluruh siklus hidup container, mulai dari build hingga runtime.
Baca juga: Apa Itu DevSecOps? Panduan Lengkap Mengintegrasikan Keamanan dalam Pipeline Development
Ancaman Utama dalam Keamanan Container
Memahami ancaman adalah langkah pertama sebelum membangun pertahanan. Berikut adalah tiga kategori ancaman paling signifikan yang dihadapi dalam ekosistem container modern:
1. Kerentanan pada Container Image
Container image adalah blueprint dari container. Jika image mengandung kerentanan, maka setiap container yang dibangun dari image tersebut mewarisi kerentanan yang sama. Masalahnya, banyak developer menggunakan base image publik dari Docker Hub tanpa memverifikasi keamanannya. Image dengan tag :latest seringkali tidak diperbarui dan mengandung puluhan CVE yang sudah diketahui.
CIS Docker Benchmark secara eksplisit merekomendasikan penggunaan image dari registry tepercaya dan penerapan proses image scanning sebelum deployment. Image yang lolos scan kerentanan memiliki risiko eksploitasi yang jauh lebih rendah dibandingkan image yang tidak pernah diperiksa.
Baca juga: Apa Itu Supply Chain Attack? Ancaman Modern yang Menyerang Rantai Pasok Perangkat Lunak
2. Container Escape
Container escape terjadi ketika proses di dalam container berhasil keluar dari isolasi dan mendapatkan akses ke sistem host. Ini adalah skenario terburuk dalam keamanan container karena satu container yang dikompromikan bisa menjadi pintu masuk ke seluruh infrastruktur. Teknik escape biasanya mengeksploitasi kerentanan pada kernel Linux, miskonfigurasi capability, atau privilege escalation di dalam container.
Salah satu celah paling umum adalah menjalankan container dengan flag --privileged atau memberikan akses ke socket Docker (/var/run/docker.sock). Kedua konfigurasi ini pada dasarnya memberikan akses root ke host, dan harus dihindari kecuali benar-benar diperlukan dengan justifikasi keamanan yang jelas.
3. Kebocoran Secret dan Kredensial
Container seringkali membutuhkan kredensial untuk mengakses database, API key, atau token autentikasi. Praktik yang buruk – seperti hardcoding password di Dockerfile atau menyimpan secret sebagai environment variable – bisa mengekspos kredensial ketika image bocor. Kredensial juga berisiko terekspos saat log container dapat diakses oleh pihak yang tidak berwenang.
OWASP Docker Security Cheat Sheet menekankan pentingnya menggunakan solusi manajemen secret seperti HashiCorp Vault, Docker Secrets (untuk Docker Swarm), atau Kubernetes Secrets yang terintegrasi dengan enkripsi etcd. Secret harus diinjeksi saat runtime, bukan disimpan di dalam image.
Best Practice Mengamankan Docker
Keamanan container bukanlah satu konfigurasi tunggal, melainkan serangkaian praktik yang diterapkan secara konsisten. Berdasarkan CIS Docker Benchmark v1.6.0 dan panduan dari CISA, berikut adalah langkah-langkah praktis yang dapat diterapkan segera:
Gunakan Image dari Sumber Tepercaya
Selalu gunakan image resmi dari Docker Hub Official Images atau registry internal yang sudah diverifikasi. Hindari image dari sumber tidak dikenal, terutama yang memiliki sedikit download atau tidak memiliki dokumentasi. Image resmi diperbarui secara berkala dan memiliki tim maintainer yang bertanggung jawab atas keamanannya.
Selain itu, gunakan tag spesifik (contoh: node:20.11-alpine) alih-alih :latest. Tag spesifik memastikan build yang reproducible dan mencegah perubahan mendadak yang bisa membawa kerentanan baru.
Terapkan Prinsip Least Privilege
Jangan pernah menjalankan proses di dalam container sebagai user root. Buat user non-root di Dockerfile menggunakan directive USER. Jika penyerang berhasil mengeksploitasi aplikasi, mereka hanya mendapatkan akses terbatas sesuai dengan permission user tersebut.
Batasi Linux capabilities hanya ke yang benar-benar dibutuhkan. Gunakan opsi --cap-drop=ALL dan tambahkan capability spesifik hanya jika diperlukan. Mount filesystem sebagai read-only dengan opsi --read-only untuk mencegah penyerang menulis malware atau memodifikasi konfigurasi.
Scan Kerentanan Secara Berkala
Image scanning harus menjadi bagian dari pipeline CI/CD, bukan aktivitas opsional. Tools seperti Trivy, Clair, atau Snyk Container dapat mendeteksi kerentanan yang sudah diketahui di sistem operasi dan dependensi yang ada di dalam image. Jadwalkan scan harian untuk image yang sudah berjalan di production.
Baca juga: 8 Tools Open Source Cloud Security yang Wajib Dicoba di 2026
Tools Keamanan Container yang Wajib Dicoba
Ekosistem keamanan container memiliki banyak tools open source yang matang. Memilih tools yang tepat bisa menghemat waktu dan meningkatkan postur keamanan secara signifikan. Berikut adalah beberapa tools yang direkomendasikan oleh komunitas dan digunakan secara luas di industri:
- Trivy – Static analysis scanner dari Aqua Security. Mendukung scan image Docker, filesystem, dan Git repository. Ringan, cepat, dan mudah diintegrasikan ke pipeline CI.
- Falco – Runtime security monitoring yang mendeteksi perilaku anomali di dalam container. Dibangun oleh Sysdig dan sekarang menjadi project CNCF graduated.
- Clair – Vulnerability scanner dari Quay/Red Hat. Cocok untuk integrasi dengan registry container seperti Harbor.
- OPA (Open Policy Agent) – Policy engine yang memungkinkan tim mendefinisikan aturan keamanan sebagai kode. Digunakan untuk memvalidasi konfigurasi Kubernetes sebelum deployment.
- kube-bench – Tool dari Aqua Security yang mengotomatiskan pengecekan compliance terhadap CIS Kubernetes Benchmark.
- Docker Bench Security – Script otomatis yang memeriksa puluhan best practice keamanan Docker berdasarkan CIS Benchmark.
Pertanyaan yang Sering Diajukan
Apakah container lebih aman dari virtual machine?
Tidak selalu. Virtual machine memiliki isolasi yang lebih kuat karena masing-masing VM menjalankan kernel sendiri. Container berbagi kernel dengan host, sehingga permukaan serang lebih luas. Namun dengan konfigurasi dan hardening yang tepat, container bisa sangat aman untuk production. Kuncinya ada pada penerapan prinsip least privilege, image scanning, dan runtime monitoring.
Apakah Kubernetes sudah aman secara default?
Tidak. Kubernetes memiliki banyak pengaturan keamanan yang perlu dikonfigurasi secara eksplisit, seperti RBAC, Network Policies, Pod Security Standards, dan enkripsi etcd. Instalasi default Kubernetes biasanya tidak menerapkan semua kontrol keamanan ini, sehingga organisasi perlu melakukan hardening sendiri.
Berapa sering container image perlu di-scan?
Minimal setiap kali ada perubahan image atau dependensi baru. Untuk image yang sudah berjalan di production, lakukan scan harian atau mingguan karena kerentanan baru terus ditemukan setiap hari. Tools seperti Trivy mendukung scheduled scan yang bisa diintegrasikan ke pipeline CI/CD.
Kesimpulan
Keamanan container bukanlah fitur tambahan – ini adalah fondasi yang harus dibangun sejak awal siklus pengembangan. Mulai dari pemilihan base image yang tepercaya, penerapan least privilege, image scanning di pipeline CI/CD, sampai monitoring runtime dengan tools seperti Falco. Setiap lapisan memainkan peran penting dalam membentuk postur keamanan secara keseluruhan.
Dengan adopsi container yang terus meningkat di Indonesia, pemahaman tentang container security menjadi semakin krusial. Baik Anda seorang developer yang baru mulai menggunakan Docker, maupun engineer infrastruktur yang mengelola cluster Kubernetes di production, prinsip-prinsip di atas adalah fondasi yang wajib dikuasai.