[{"data":1,"prerenderedAt":182},["ShallowReactive",2],{"publication:he:P187":3},{"meta":4,"copy":16,"relatedArticles":143,"terms":174,"term":175,"resourceParent":176,"glossaryParent":179},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":14,"preparedOn":15},"P187","\u002Fblog\u002Fdocker-security-checklist","article","רשימת בדיקה לאבטחת Docker","רשימת בדיקה לאבטחת Docker: מנוע, הרשאות וחשיפת שירותים","בדיקת Docker עסקי: גישה למנוע, משתמש ריצה, mounts, פורטים, images וסודות. טבלת קבלה והבחנה בין בידוד קונטיינר לאבטחת המארח.",[12,13],"\u002Fservices\u002Fdocker-containers","\u002Fservices\u002Flinux-vps","2026-07-02","2026-10-29",{"intro":17,"sections":18,"checklist":99,"faq":105,"sources":115,"links":121,"cta":138},"רשימת בדיקה לאבטחת Docker צריכה לכלול את המארח, המנוע, זהויות הריצה, תיקיות מחוברות, חשיפת רשת, images וסודות. עצם הפעלת יישום בקונטיינר אינה הוכחה שהוא מבודד מכל יכולת לפגוע במארח. מתחילים במשימה ובתלות, מצמצמים הרשאות ובודקים גם תפקוד וגם גבולות גישה בהיקף מורשה.",[19,28,65,77,86,91],{"title":20,"paragraphs":21,"sources":24},"מפו מי מנהל את המנוע ומה כל שירות צריך",[22,23],"רשמו מארח, גרסת מנוע, שירותים, בעלים ותפקידים. בדקו מי יכול לשלוט ב-Docker ובאילו ערוצים, לא רק מי נכנס לתוך קונטיינר. תיעוד Docker מציג את משטח המנוע ואת תצורת הקונטיינר כשכבות אבטחה נפרדות. גישה למנוע אינה הרשאת צפייה רגילה בתוכן האתר.","חשיפה של ממשק ניהול או חיבור socket לכלי אחר צריכה צורך מפורש והגנות מתאימות. אין לפתוח גישה למנוע כדי לפתור בקלות תהליך פריסה בלי להבין מה היא מאפשרת. גם כלי ניטור או אוטומציה מקבל רק את היכולת שנדרשת ושניתן לתחזק.",[25],{"label":26,"url":27},"Docker: שכבות אבטחה ומשטח הגישה למנוע","https:\u002F\u002Fdocs.docker.com\u002Fengine\u002Fsecurity\u002F",{"title":29,"paragraphs":30,"table":33,"sources":60},"בחנו משתמש, יכולות ותיקיות מחוברות",[31,32],"זהות הריצה והיכולות שניתנו לקונטיינר משפיעות על ההיקף שלו. בדקו צורך ב-privileged, במכשירים, בקבצי מארח ובכתיבה לתיקיות. Rootless הוא מנגנון ש-Docker מציע להפעלת מנוע וקונטיינרים ללא root, בכפוף לתנאים ולהתאמה; הוא אינו תיקון אוטומטי לכל חולשה ביישום.","הטבלה היא מסגרת סקירה מקורית. לא משנים משתמש, בעלות או mount בשרת חי בלי לבדוק מה היישום צריך כדי לעבוד. הצמצום צריך להיות אפקטיבי ולא רק ערך יפה בקובץ תצורה.",{"caption":34,"headers":35,"rows":39},"שכבת קונטיינר מול בדיקת קבלה",[36,37,38],"תחום","שאלת בדיקה","ראיית סיום",[40,44,48,52,56],[41,42,43],"זהות ריצה","האם נחוצות ההרשאות שניתנו","תפקיד מצומצם ותפקוד יישום",[45,46,47],"יכולות ו-privileged","מהו הצורך בחריגה","נימוק או הסרה עם בדיקה",[49,50,51],"תיקיית מארח","איזה נתיב מחובר ולקריאה או כתיבה","גישה רק למידע הנחוץ",[53,54,55],"מנוע או socket","מי יכול להפעיל ניהול","היקף והגנה שנבדקו",[57,58,59],"נתונים מתמידים","היכן נשמר מצב עסקי","יכולת גיבוי ושחזור נפרדת",[61,64],{"label":62,"url":63},"Docker: הרצה במצב Rootless ומגבלות התאמה","https:\u002F\u002Fdocs.docker.com\u002Fengine\u002Fsecurity\u002Frootless\u002F",{"label":26,"url":27},{"title":66,"paragraphs":67,"sources":70},"פרסום פורט צריך להיבדק מנתיב הגישה המתוכנן",[68,69],"Docker מתעד שפרסום פורט נעשה לכל ממשקי המארח כברירת מחדל, כאשר לא נבחרת כתובת מתאימה. שירות שנועד רק לרכיב פנימי עלול לקבל חשיפה לא מתוכננת. בדקו גם גרסה, כללי ספק, חומת אש ונתיבי IPv4\u002FIPv6 לפי הסביבה, ולא רק אם השירות נגיש מהשרת עצמו.","התיעוד מתאר גם אינטראקציה עם מנגנוני חומת אש. כלל מקומי שנראה מחמיר אינו הוכחה שכל תעבורת הקונטיינר עוברת במסלול שהנחתם. לא מבטלים כללי Docker באופן גורף; מתכננים בקרה מתאימה ומאמתים גישה מותרת וחסימה צפויה.",[71,74],{"label":72,"url":73},"Docker: פרסום פורטים וממשקי רשת","https:\u002F\u002Fdocs.docker.com\u002Fget-started\u002Fdocker-concepts\u002Frunning-containers\u002Fpublishing-ports\u002F",{"label":75,"url":76},"Docker: כללי רשת ושילוב חומת אש","https:\u002F\u002Fdocs.docker.com\u002Fengine\u002Fnetwork\u002Fpacket-filtering-firewalls\u002F",{"title":78,"paragraphs":79,"sources":82},"תמונה, סוד ותהליך עדכון הם חלק מההגנה",[80,81],"רשמו מאין מתקבל image, איזו גרסה או זהות תמונה נפרסה ומי אחראי לבנייה ולעדכון. הנחיות Docker מדגישות מקור מתאים ובנייה חוזרת לצורך קבלת עדכונים. קונטיינר שכבר פועל אינו מקבל בהכרח תיקוני image רק משום שקיימת גרסה חדשה במאגר.","סודות אינם חומר להטמעה בתמונה ציבורית או בלוג. בוחרים מנגנון מתאים לסביבה, מגבילים גישה ומתכננים החלפה. גם גיבוי קובץ תצורה יכול לכלול ערכים רגישים, ולכן הוא נכלל במפת ההרשאות. בדיקת תמונה אינה מחליפה בדיקת רשת והרשאות ריצה.",[83],{"label":84,"url":85},"Docker: מקורות images, גרסאות ובנייה חוזרת","https:\u002F\u002Fdocs.docker.com\u002Fbuild\u002Fbuilding\u002Fbest-practices\u002F",{"title":87,"paragraphs":88},"דוגמה: מסד פנימי פורסם בלי צורך עסקי",[89,90],"התרחיש להמחשה בלבד. יישום צריך לפנות למסד בתוך סביבת הפריסה, אך הפורט פורסם גם במארח. הצוות ממפה את מסלול היישום ואת צרכי הניהול, ומגדיר צמצום מתאים. הבדיקה אינה מסתיימת בפתיחת האתר; היא בוחנת גם שחיבור מורשה עובד ושמסלול לא נדרש אינו זמין לפי המדיניות.","לא סורקים מערכות של אחרים כדי להמחיש את הבעיה ולא מנסים גישה לא מאושרת. משתמשים בסביבת ניסיון או בבדיקה מצומצמת שסוכמה עם הבעלים. אם קיימים סימנים לניצול, פותחים מסלול אירוע בנפרד משינוי הפרסום.",{"title":92,"paragraphs":93,"example":96},"מסרו גבולות שניתן לבדוק שוב",[94,95],"התוצר כולל שירותים, זהויות, images, mounts, פורטים וסודות בהיקף סקירה, ללא הערכים הסודיים עצמם. רשמו שינויים וחריגות עם בעלים, תפקוד שנבדק ודרך חזרה. אחרי הוספת כלי או image בוחנים את השורות הרלוונטיות, ולא מניחים שהסקירה הישנה מכסה אוטומטית תצורה חדשה.","ב-CyberFixCrew אפשר להגדיר בדיקת פריסה וחיבורים לשירותי Docker\u002FLinux הקיימים. המדריך אינו טענה שבוצעה בדיקת חדירה או שכל חולשה נשללה. גיבוי והתאוששות נשארים בדיקה נפרדת, גם כשהרשאות הריצה נראות מצומצמות.",{"title":97,"text":98},"כרטיס גבולות לשירות Docker","מארח ושירות: __. image וגרסה: __. מנהל מנוע: __. משתמש ויכולות: __. mounts: __. פורטים ונתיבים: __. סודות במיקום מנוהל: __. בדיקות תפקוד וחסימה: __. חריגה ואחראי: __.",[100,101,102,103,104],"מופו מארח, מנוע ושירותים.","נבדקו משתמש, יכולות ותיקיות.","נבדק פרסום רשת ולא רק גישה פנימית.","הוגדרו מקור תמונה, עדכון וניהול סודות.","המסירה כוללת תפקוד, גבול וחריגות.",[106,109,112],{"question":107,"answer":108},"Docker מבודד את היישום כמו שרת נפרד בכל מצב?","אין להניח כך: היכולות, המנוע, המארח ותצורת השיתוף קובעים את הגבולות. קונטיינר אינו הוכחת הפרדה מלאה.",{"question":110,"answer":111},"Rootless מספיק כדי לסיים את הבדיקה?","לא, הוא יכול לצמצם סיכונים מסוימים אך עדיין צריך לבחון את היישום, רשת, מידע, mounts וסודות לפי הסביבה.",{"question":113,"answer":114},"סריקת image נקייה מוכיחה שהפריסה מאובטחת?","לא, היא אינה מחליפה בדיקת הרשאות, פרסום פורטים, גישה למנוע וגבולות היישום. כל בדיקה מכסה היקף מסוים.",[116,117,118,119,120],{"label":26,"url":27},{"label":62,"url":63},{"label":72,"url":73},{"label":75,"url":76},{"label":84,"url":85},[122,125,128,131,134,136],{"path":123,"label":124},"\u002Fblog\u002Fdocker-backup-volumes","גיבוי עקבי ליישום ולמסד",{"path":126,"label":127},"\u002Fblog\u002Flinux-server-hardening","הקשחת המארח",{"path":129,"label":130},"\u002Fblog\u002Fapi-keys-secrets","ניהול סודות וחיבורים",{"path":132,"label":133},"\u002Fglossary\u002Ffirewall","תפקיד חומת אש ומגבלותיה",{"path":12,"label":135},"ניהול פריסת Docker",{"path":13,"label":137},"ניהול והקשחת שרת",{"title":139,"description":140,"button":141,"type":142},"לא ברור מה הקונטיינרים חושפים או מאפשרים?","נמפה מנוע, רשת והרשאות ונגדיר סקירה ושינויים מתועדים לפי סביבת הפריסה והיקף מוסכם.","לתיאום בדיקה וטיפול","check",[144,153,160,168],{"id":145,"path":146,"title":147,"description":148,"category":149,"artwork":150,"order":151,"publishedOn":152},"P185","\u002Fblog\u002Fhosting-security-responsibility","אחסון שיתופי או VPS: מי אחראי לאבטחה ולגיבוי","איך בודקים חלוקת אחריות באחסון שיתופי וב-VPS: מערכת הפעלה, אתר, משתמשים, גיבויים ואירוע. טבלת שאלות למסירה ולבחירת הסכם שירות.","infrastructure","servers",30,"2026-06-16",{"id":154,"path":155,"title":156,"description":157,"category":149,"artwork":150,"order":158,"publishedOn":159},"P101","\u002Fblog\u002Flinux-ssh-hardening","איך מקשיחים גישת SSH לשרת בלי לאבד דרך ניהול","הקשחת SSH בתהליך מבוקר: משתמשים, מפתחות, תצורה אפקטיבית, בדיקת תחביר וכניסה חדשה. כולל דרך ניהול חלופית ותבנית מסירה.",42,"2026-07-18",{"id":161,"path":162,"title":163,"description":164,"category":149,"artwork":165,"order":166,"publishedOn":167},"P056","\u002Fblog\u002Fcloudflare-waf-false-positives","Cloudflare WAF חוסם בקשה תקינה: בירור וחריגה ממוקדת","איך בודקים חסימת שווא ב-Cloudflare: תיעוד בקשה, אירוע וכלל, חריגה מצומצמת ובדיקת תפקוד. בלי לכבות את כל ההגנות כדי לפתור תקלה.","security",26,"2026-05-31",{"id":169,"path":126,"title":170,"description":171,"category":149,"artwork":150,"order":172,"publishedOn":173},"P184","הקשחת שרת לינוקס לעסק: מה בודקים ואיך מוסרים שינוי","תוכנית הקשחת Linux לפי נכס ותפקיד: גרסה, עדכונים, גישה, שירותים, סודות, לוגים ושחזור. טבלת קבלה ותהליך שינוי בלי סקריפט גורף.",48,"2026-08-01",[],null,{"path":177,"label":178},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":180,"label":181},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134062924]