1. GİRİŞ

Konteyner teknolojileri (Docker, containerd, CRI‑O vb.) yazılım teslimini hızlandırıp taşıma kolaylığı sağladıkça, güvenlik meseleleri de aynı hızla önem kazandı. Konteynerler, monolitik VM tabanlı süreçlere göre farklı tehdit yüzeylerine sahip; image tedarik zinciri, registry konfigürasyonu, runtime davranış ve orkestrasyon platformunun (ör. Kubernetes) yanlış konfigürasyonları kritik riskler doğuruyor. Bu yüzden konteyner güvenliği sadece bir bileşen değil, yazılım geliştirme yaşam döngüsüne (SDLC) entegre edilmesi gereken disiplinler arası bir programdır.

Bu neden bugün önemli?

• Konteyner teknolojilerinin hızlı benimsenmesi, yanlış konfigürasyonların geniş etki alanına yayılmasını kolaylaştırdı.
• Tedarik zinciri saldırıları (image poisoning, dependency tampering) arttı; imzasız veya taranmamış image'lar yüksek risk oluşturuyor.
• Orkestrasyon platformları (Kubernetes gibi) merkezi kontrol noktaları olduğundan, bu platformlardaki zafiyetler tüm uygulamaları etkileyebilir.

Kimler için önemli?

• Platform mühendisleri ve SRE'ler — runtime ve orchestration güvenliği
• Güvenlik mühendisleri — pipeline ve detection engineering
• Geliştiriciler — secure-by-default image ve manifest yazımı
• CTO/CISO — risk yönetimi ve uyumluluk

2. KAVRAMSAL TEMELLER

2.1 Konteyner güvenliğinin temel kavramları

• Image hardening: Minimal base image, dependency pinning, vulnerability scanning ve image signing.
• Runtime protection: Resource limits, seccomp/AppArmor/SELinux, root olmayan kullanıcı, readOnly filesystem.
• Supply chain security: CI/CD içinde SBOM, imza, artifact provenance ve build reproducibility.
• Orchestration security: Kubernetes RBAC, PodSecurity, NetworkPolicy, admission controller'lar.
• Registry security: Private registry, access control, immutable tags, vulnerability scanning.

2.2 Terminoloji

• OCI image: Open Container Initiative standardına uygun container image formatı.
• SBOM: Software Bill of Materials — imaj içindeki bileşenlerin listesi.
• Cosign / Notary: Image imzalama ve doğrulama araçları.
• Admission Controller: Kubernetes API taleplerini validate veya mutate eden eklentiler.

3. NASIL ÇALIŞIR? — TEKNİK MİMARİ VE VERİ AKIŞI

3.1 Uçtan uca konteyner güvenlik akışı

Konteyner güvenliği, tipik olarak şu zinciri kapsar: geliştirici kodu → CI pipeline (build, test, scan, sign) → registry (artifact storage, scanning) → orchestration (deploy, admission, runtime policies) → runtime monitoring & response. Her aşamada güvenlik kontrolleri uygulanmalı, metadata (SBOM, signature, scan report) saklanmalı ve üretim hareketleri audit edilir hale getirilmelidir.

3.2 Image oluşturma ve hardening

• Minimal base image kullanın (Alpine, distroless) ve yalnızca gerekli paketleri ekleyin.
• Dependency versiyonlarını sabitleyin, otomatik vulnerability scanning entegre edin (Trivy, Clair, Snyk).
• Build sırasında secret'ları direkt image içine koymayın; secrets injection için build-time secret mekanizmalarını veya ephemeral build agents kullanın.
• SBOM üretin ve imajı cosign ile imzalayın; imaj dağıtımı sırasında signature doğrulama zorunlu olsun.

3.3 Registry güvenliği

• Private registry kullanın; public pull'ları kısıtlayın ve caching proxy ile kontrol sağlayın.
• Immutable tags: üretim imajları için aynı tag'i yeniden yazmayı engelleyin; digest ile referans verin.
• Registry erişimlerini IAM veya rol‑temelli kontrol ile yönetin; pull/push için farklı izinler tanımlayın.

3.4 Orkestrasyon platformu kontrolları (Kubernetes merkezli)

• Admission controller ile image signing ve vulnerability policy enforcement (e.g. reject unscanned images).
• Pod Security Standards / PodSecurity admission ile baseline/strict profiling uygulayın (non‑privileged, readOnly root fs, drop capabilities).
• Namespace ve RBAC mantığını katı şekilde uygulayın; servis hesaplarına (ServiceAccount) minimal izin verin.
• NetworkPolicy ile pod‑pod trafiğini deny‑by‑default modeline geçirip sadece gerekli iletişime izin verin.

3.5 Runtime izleme ve cevap

• Pod ve node metric'lerini, audit log'ları, container stdout/stderr log'larını merkezi bir sisteme (ELK, Loki, Datadog) aktarın.
• Runtime protection: eBPF, Falco, Sysdig gibi çözümlerle anomali bazlı event detection uygulayın (shell spawn, unexpected file writes, process injection).
• EDR/NDR entegrasyonu ile signal fusion kurun; network bazlı anomaliler ile host/process bazlı anomalileri korele edin.

4. GERÇEK DÜNYA KULLANIMLARI

4.1 Büyük ölçekli platform örnekleri

Netflix, Spotify, Amazon gibi firmalar konteynerleri microservice olarak üretimde yoğun kullanır; güvenlik otomasyonunu CI/CD'ye gömerek, immutable infrastructure ve canary deployment ile riskleri minimize ederler. Image scanning, SBOM ve runtime detection üretim hattının vazgeçilmez parçalarıdır.

4.2 Finans ve regüle sektörlerde uygulama

Finans kurumları için container güvenliği ek yükümlülükler getirir: güçlü kimlik doğrulama, ayrıntılı audit, immutable backup ve sıkı change control politikaları gereklidir. Ayrıca regülatif uyumluluk için image provenance ve key management merkezidir.

4.3 Startup ve küçük ekiplerin uygulamaları

Küçük ekipler managed Kubernetes veya PaaS çözümleri kullanarak hızlıca başlamalı; temel olarak image scanning, private registry, RBAC ve basic network policy ile güvenliği sağlamaya yönelmeli. Zamanla policy as code ve admission controller'ları entegre ederek olgunluk artırılmalıdır.

5. AVANTAJLAR VE SINIRLAMALAR

Avantajlar

• Konteyner güvenliği programı, yazılım geliştirme ve operasyon ekipleri arasında sorumlulukları netleştirir ve otomatik güvenlik kontrolleri sağlar.
• Image signing ve SBOM ile tedarik zinciri görünürlüğü artar; tehlikeli bileşenlerin tespiti kolaylaşır.
• Runtime monitoring ile anormal davranışlar hızlı tespit edilip izolasyon adımları otomatikleştirilebilir.

Sınırlamalar

• Konteyner altyapısı karmaşıktır; yanlış yapılandırma ve policy drift riski yüksektir.
• Sidecar/service mesh ve ajan tabanlı çözümler performans ve operasyonel maliyet getirir.
• Ephemeral kaynaklar adli analiz ve post‑mortem süreçlerini zorlaştırır; log ve metadata toplama kritik öneme sahiptir.

6. ALTERNATİFLER VE KARŞILAŞTIRMA

7. EN İYİ PRATİKLER

7.1 CI/CD ve supply chain

• Pipeline'da otomatik vulnerability scanning ve SBOM üretimi zorunlu olsun.
• Image'ları cosign veya Notary ile imzalayın; admission controller ile imza doğrulamasını enforce edin.
• Build reproducibility: deterministik build ve base image yönetimi ile değişkenlikleri azaltın.

7.2 Image ve registry yönetimi

• Private registry, immutability ve digest‑based deployment kullanın.
• Retention politikası ve garbage collection ile storage yönetimini düzenli yapın.
• Registry web UI ve access log'larını mutlaka izleyin; anomalous pull/push aktivitelerini tespit edin.

7.3 Runtime güvenlik

• Seccomp, AppArmor/SELinux profilleri ve container capabilities drop ile attack surface azaltın.
• Resource limits (CPU, memory) ve liveness/readiness probe ile uygulama istikrarı sağlayın.
• Runtime detection (Falco, eBPF tabanlı çözümler) ile beklenmeyen sistem çağrılarını algılayın.

7.4 Orchestration ve policy

• RBAC ve least privilege: servis hesaplarına 필요한 minimum rolleri verin.
• Admission controller'lar (OPA/Gatekeeper) ile policy as code uygulayın ve CI'de test edin.
• NetworkPolicy ve egress kontrolü ile dışa erişimi yönetin; default deny yaklaşımı benimseyin.

8. SIK YAPILAN HATALAR

• Image'ları otomatik taramadan production'a çekmek.
• Root olarak container çalıştırmak veya excessive capabilities vermek.
• Secrets'ları image içinde veya ConfigMap olarak saklamak.
• Admission controller veya network policy olmadan trust‑by‑default yaklaşımıyla deploy etmek.
• Log ve metric toplamayı yetersiz yapılandırmak; ephemeral pod'lar için adli kayıt eksikliği.

9. GELECEK TRENDLER

9.1 Otomasyon ve AI destekli detection

Makine öğrenmesi ve davranış modelleri runtime anormalliklerini tespit etmede daha etkin olacak; ancak model yönetimi ve adversarial robustness dikkate alınmalı. Otomatik remediation (kademeli izolasyon, network kısıtlama) SOAR playbook'ları ile entegre edilecek.

9.2 Confidential containers ve attestation

Donanımsal attestation (TPM, SGX/SEV), confidential container konseptleriyle birleşerek yüksek güvenlik gerektiren yükler için yeni koruma katmanları sağlayacak. Bu, regülasyon ve veri gizliliği gereksinimleri için önemli bir trenddir.

9.3 Supply chain assurance

SBOM, sigstore ile imza, provenance tracking ve vulnerability feed entegrasyonları tedarik zinciri güvenliğinin standart parçaları hâline gelecek; otomatik risk scoring sistemleri yaygınlaşacak.

EK BÖLÜMLER

Sık Sorulan Sorular (FAQ)

1. 1. Konteyner güvenliğine nereden başlamalıyım?

   Öncelikle pipeline'a vulnerability scanning ve SBOM ekleyin, private registry ve imzalama uygulayın; ardından runtime detection ve admission controller'larla deploy aşamasını güvenli hale getirin.

2. 2. Image signing neden gerekli?

   Image signing, image'ın kaynağını doğrular ve tedarik zinciri saldırılarına karşı koruma sağlar. Runtime'da imza doğrulaması ile yalnızca onaylı image'lar çalıştırılabilir.

3. 3. Secrets yönetimi için en pratik yol nedir?

   External secrets manager (Vault, cloud KMS) kullanın ve pod'lara injection için CSI Secrets Store veya platform entegrasyonları uygulayın.

4. 4. Falco nedir, neden kullanmalıyım?

   Falco, runtime için anomali tabanlı bir intrusion detection aracıdır; sistem çağrıları ve konteyner etkinliklerini izleyerek beklenmeyen davranışları algılar.

5. 5. Service mesh güvenliği zorunlu mu?

   Her proje için zorunlu değildir; mTLS ve detaylı telemetry sağlamak istiyorsanız faydalıdır. Ancak operasyonel maliyeti ve performans etkisi göz önünde tutulmalıdır.

6. 6. SBOM nasıl üretilir?

   Build pipeline içinde bağımlılık tarayıcıları ve SBOM üreticileri (CycloneDX, SPDX) ile otomatik SBOM oluşturun ve registry ile ilişkilendirerek arşivleyin.

7. 7. Ephemeral pod'larda adli analiz nasıl yapılır?

   Centralized logging, audit forwarding ve short‑term packet capture çözümleri ile olay anındaki veriyi yakalayın; ayrıca immutable storage'a belirli telemetry'leri gönderin.

8. 8. Küçük ekipler için hızlı önlemler nelerdir?

   Private registry, basic image scanning (Trivy), RBAC ve Pod Security admission ile başlayın; secrets manager kullanın ve production image'ları imzalayın.

Anahtar Kavramlar

• SBOM: Yazılım bileşenleri listesi — tedarik zinciri görünürlüğü sağlar.
• Cosign: Container image imzalama ve doğrulama aracı.
• Falco: Runtime anomali tespiti için açık kaynak çözüm.
• Admission Controller: Kubernetes API isteklerini validate/mutate eden mekanizma.
• Seccomp/AppArmor/SELinux: Host ve konteyner seviyesinde syscall/permission kısıtlama mekanizmaları.

Öğrenme Yol Haritası

1. 0–1 ay: Container temelleri (Docker, OCI), temel security kavramları ve minimal image inşa etme pratiklerini öğrenin.
2. 1–3 ay: CI/CD pipeline'a image scanning, SBOM ve basic signing ekleyin; Trivy, cosign ve registry konfigürasyonlarını deneyin.
3. 3–6 ay: Runtime detection (Falco), admission controller'lar (OPA/Gatekeeper) ve network policy uygulamalarını entegre edin.
4. 6–12 ay: Service mesh, workload attestation, confidential containers ve otomatik remediation/soar playbook'ları üzerinde derinleşin.