Служит для обеспечения сетевой связности, безопасности и наблюдаемости между рабочими нагрузками, как подами в Kubernetes. Работает на уровне ОС. Cilium использует eBPF для гибкого и эффективного управления сетевым трафиком и политиками безопасности путем настройки сети пода через eBPF-программы в ядре хоста. Тип лицензии: Open-source Apache 2.0.

- Сетевые возможности: CNI, LoadBalancer как CiliumClusterMesh
- Политики безопасности на основе identity-aware, шифрование трафика, защита от DDoS, фильтрация DNS, соответствие FIPS
- Может использоваться через minikube или kind для тестирования сетевых политик и поведения
- CiliumNetworkPolicy можно применять как манифесты
- Policy работают на уровне приложений L7 для HTTP, gRPC, Kafka и т.д., а не только на сетевом уровне L3/L4
- CiliumNetworkPolicy сами по себе являются декларативными правилами и можно настроить default-deny режим

helm repo add cilium https://helm.cilium.io/
 
# Установка Cilium в кластер Kubernetes
helm install cilium cilium/cilium --version 1.14.4 \
  --namespace kube-system \
  --set cluster.name=my-cluster \
  --set cluster.id=1

deploy_cilium:
  stage: deploy
  image:
    name: alpine/helm:latest
    entrypoint: ['']
  script:
    - helm repo add cilium https://helm.cilium.io/
    - helm upgrade --install cilium cilium/cilium
      --version 1.14.4
      --namespace kube-system
      --set cluster.name=${CLUSTER_NAME}
      --set cluster.id=1
      --set hubble.relay.enabled=true
      --set hubble.ui.enabled=true

security_policies:
  stage: deploy
  image:
    name: bitnami/kubectl:latest
    entrypoint: ['']
  script:
    - kubectl apply -f manifests/cilium-network-policies/
  dependencies: []

apiVersion: "cilium.io/v2"
kind: CiliumNetworkPolicy
metadata:
  name: "l7-rule"
spec:
  endpointSelector:
    matchLabels:
      app: myService
  ingress:
  - fromEndpoints:
    - matchLabels:
        app: frontend
    toPorts:
    - ports:
      - port: '80'
        protocol: TCP
      rules:
        http:
        - method: "GET" # Разрешить только GET-запросы
          path: "/api/v1/data.*" # ко всем путям, начинающимся с /api/v1/data
        - method: "POST"
          path: "/api/v1/upload" # и конкретно на этот путь
        - method: "GET"
          path: "/public/.*" # Разрешить доступ к публичным ресурсам

apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: allow-dns
  namespace: production
spec:
  endpointSelector: {}  # Все pod'ы
  egress:
  - toEndpoints:
    - matchLabels:
        k8s-app: kube-dns
    toPorts:
    - ports:
      - port: "53"
        protocol: UDP
      - port: "53"
        protocol: TCP

- Cilium полностью заменяет kube-proxy, реализуя балансировку нагрузки на основе eBPF
- Для приложений с REST API или gRPC Cilium позволяет внедрить политику "наименьших привилегий"
- Cluster Mesh позволяет безопасно соединять несколько кластеров Kubernetes,
- Вместо фильтрации по IP-адресам присваивает идентификатор безопасности группам подов с одинаковыми метками, где встраивается в каждый сетевой пакет, что позволяет проверять права связи на узле-получателе, независимо от того, где запущен под
- Расширяет стандартные NetworkPolicy Kubernetes, позволяя описывать правила на основе протоколов HTTP, gRPC и Kafka. Это позволяет разрешать или запрещать конкретные API-вызовы, HTTP-методы (GET, POST) или пути URL
- Может автоматически шифровать весь трафик между подами в кластере или даже между кластерами с использованием IPsec или WireGuard
- Безопасность исходящего трафика может быть реализована через политики, привязанные к DNS-именам

docker exec -it <container_name_or_id> <command> # выполнение команды
            -i  # интерактивный режим (позволяет передать ввод)
            -t  # выделяет псевдотерминал (tty) для взаимодействия.
            <container_name_or_id>  # имя или ID контейнера.

$ docker build   
$ docker build  --no-cache 
$ docker compose build --no-cache

$ docker image ls all # все образы

# Создает только определенную службу
$ docker compose build <service>


$ docker container ls # все запущенные контейнеры
$ docker container ls -all # все контейнеры

# привилегированный режим
$ docker run -d --privileged --name docker go:1.16

$ docker compose up 
$ docker compose up -d   # Запускает контейнеры в отсоединенном режиме в фоновом режиме
$ docker compose start   # Запускает уже созданные контейнеры (не перестраивает и не создает заново)
$ docker compose up --build # Создает изображения, а затем запускает контейнеры
$ docker compose up --force-recreate # Воссоздает контейнеры, даже если ничего не изменилось
$ docker compose up --build --force-recreate # Полностью перестраивает и воссоздает контейнеры

$ docker compose stop   
$ docker compose down   # Останавливает и удаляет контейнеры, сети и тома по умолчанию
$ docker compose down --volumes  # Удаляет контейнеры, сети и именованные/анонимные тома
$ docker compose down --rmi all  # Также удаляет все построенные изображения
$ docker compose rm  # Удаляет остановленные контейнеры служб (после остановки)
$ docker compose kill # Принудительно останавливает запуск контейнеров

$ docker compose ps # Списки запущенных служб и их состояние
$ docker compose logs # Отображение журналов для всех служб
$ docker compose logs -f    
$ docker compose exec <service> sh # Открывает оболочку внутри работающего контейнера
$ docker compose config

- Определяет платформу Linux/macOS/другое и выбирает образ  как основной для аудита
- Создаёт структуру каталогов  ./audit_reports/{json,text,xlsx,odt} для результатов
- Запускает Trivy для образов, записывая JSON‑отчёты уязвимостей в  audit_reports/json/*.json
- Запускает контейнер  docker-bench-security  с маунтами и правами, выполняя аудит
- Если Python c  openpyxl  и  odfpy дополнительнос стоят рядом, то перебирает все JSON‑отчёты
- Сканирует Docker‑образы на CVE по заданному списку, включая docker/docker-bench-security, запускает по каждому инструмент анализ с перечнем уязвимых библиотек, их версий, идентификаторов уязвимостей, уровней критичности и статуса исправления
- Проводит конфигурационный аудит Docker‑хоста

set -euo pipefail

echo "Docker CIS & Image Audit"

command -v docker >/dev/null 2>&1 || { echo "no docker"; exit 1; }
docker info >/dev/null 2>&1 || { echo "docker daemon down"; exit 1; }

case "$(uname -s)" in
  Linux)  PLATFORM="Linux" ;;
  Darwin) PLATFORM="macOS" ;;
  *)      PLATFORM="Other" ;;
esac

BENCH_IMAGE="${DOCKER_BENCH_IMAGE:-docker/docker-bench-security:latest}"
REPORTS_DIR="./audit_reports"
mkdir -p "${REPORTS_DIR}"/{json,text,xlsx,odt}

echo "Platform: ${PLATFORM}"
echo "Image:    ${BENCH_IMAGE}"

docker image inspect "${BENCH_IMAGE}" >/dev/null 2>&1 || docker pull "${BENCH_IMAGE}"

if command -v trivy >/dev/null 2>&1; then
  trivy image --format json --output "${REPORTS_DIR}/json/docker-bench-security.json" "${BENCH_IMAGE}" || true
  for img in nginx:alpine python:3.11-alpine postgres:16-alpine; do
    safe=$(echo "${img}" | sed 's/[:\/]/-/g')
    trivy image --format json --output "${REPORTS_DIR}/json/${safe}.json" "${img}" || true
  done
fi

run_bench() {
  out="${REPORTS_DIR}/text/docker-bench-security-cis.txt"
  docker run --rm \
    --name "docker-bench-$(date +%s)" \
    --cap-add audit_control \
    --security-opt no-new-privileges \
    --network host --pid host --userns host \
    -e DOCKER_CONTENT_TRUST="${DOCKER_CONTENT_TRUST:-0}" \
    -v /var/run/docker.sock:/var/run/docker.sock:ro \
    -v /etc:/etc:ro -v /var/lib:/var/lib:ro -v /usr/bin:/usr/bin:ro \
    "${BENCH_IMAGE}" 2>&1 | tee "${out}"
}

[ "${PLATFORM}" = "Linux" ] && run_bench || echo "CIS аудит в Linux/WSL"

if command -v python3 >/dev/null 2>&1; then
python3 << 'PY'
import json, os, sys
from pathlib import Path
try:
    from openpyxl import Workbook
    from odf.opendocument import OpenDocumentText
    from odf.text import P
except ImportError:
    sys.exit(0)

BASE = Path("./audit_reports")
for jf in (BASE / "json").glob("*.json"):
    with jf.open() as f:
        data = json.load(f)

    xlsx = BASE / "xlsx" / (jf.stem + ".xlsx")
    wb, ws = Workbook(), Workbook().active
    ws = wb.active
    ws.append(["Target","Type","VulnID","Severity","Status","Title"])
    for r in data.get("Results", []):
        t = r.get("Target","N/A")
        for v in r.get("Vulnerabilities", []) + r.get("Misconfigurations", []):
            ws.append([
                t, r.get("Type","unknown"),
                v.get("VulnerabilityID","N/A"),
                v.get("Severity","UNKNOWN"),
                v.get("Status","N/A"),
                v.get("Title","N/A")[:80],
            ])
    wb.save(xlsx)

    odt = BASE / "odt" / (jf.stem + ".odt")
    doc = OpenDocumentText()
    doc.text.addElement(P(text=f"Report: {jf.name}"))
    for r in data.get("Results", []):
        doc.text.addElement(P(text=f"\nTarget: {r.get('Target','N/A')}"))
        for i, v in enumerate(r.get("Vulnerabilities", []) + r.get("Misconfigurations", []), 1):
            doc.text.addElement(P(text=f"[{i}] {v.get('VulnerabilityID','N/A')} ({v.get('Severity','UNKNOWN')}): {v.get('Title','N/A')}"))
    doc.save(str(odt))
PY
fi

echo "Done -> ${REPORTS_DIR}/{json,text,xlsx,odt}"