• 

Adopsi arsitektur mikroservis (microservices) berbasis container telah menjadi standar de facto dalam dunia pengembangan aplikasi web modern. Perangkat lunak seperti Docker memungkinkan tim developer mengemas aplikasi beserta seluruh pustaka ketergantungannya ke dalam satu wadah isolasi yang ringkas, konsisten, dan sangat mudah dideploy di berbagai infrastruktur cloud server. Namun, popularitas yang tinggi ini juga menjadikan Docker sebagai target utama serangan siber.

Secara default, konfigurasi awal instalasi Docker tidak dirancang dengan fokus pengamanan tingkat tinggi (insecure default). Banyak pengembang yang menjalankan proses aplikasi di dalam container dengan hak akses istimewa tertinggi (root), mengabaikan pembatasan sumber daya, atau menggunakan citra dasar (base images) yang mengandung ratusan celah keamanan bawaan. Jika satu container berhasil diretas oleh penyusup, peretas dapat melakukan serangan penembusan kontainer (container breakout) untuk mengambil alih kendali penuh atas sistem operasi server induk (host operating system) Anda.

Ancaman Keamanan Utama pada Ekosistem Docker

Sebelum melakukan proses pengerasan (hardening), Anda harus memahami tiga celah kerentanan utama yang sering dieksploitasi peretas pada ekosistem Docker:

1. Privilege Escalation via Docker Socket: Docker daemon (dockerd) berjalan dengan hak akses root. Jika Anda memasang file socket Unix Docker (/var/run/docker.sock) ke dalam container yang tidak aman, peretas di dalam container tersebut dapat mengirim perintah langsung ke daemon host untuk membuat container baru dengan akses root tanpa batas ke seluruh harddisk server induk.
2. Resource Exhaustion (Denial of Service): Secara default, Docker tidak membatasi penggunaan kapasitas memori RAM dan daya komputasi CPU untuk setiap container. Jika satu container mengalami kebocoran memori (memory leak) atau sengaja diserang dengan malware penambang kripto (cryptominer), container tersebut dapat menyerap seluruh sumber daya server induk hingga server mengalami crash total.
3. Vulnerable Base Images: Mengunduh citra dasar dari sumber tidak resmi di Docker Hub berisiko tinggi membawa paket perangkat lunak usang yang mengandung kerentanan keamanan kritis.

Rumus Alokasi Sumber Daya CPU Docker (cgroups)

Untuk mencegah serangan Denial of Service (DoS) internal akibat dominasi penggunaan sumber daya oleh satu container nakal, Anda harus mengonfigurasi batas alokasi CPU menggunakan fitur control groups (cgroups) bawaan Linux kernel.

Misalkan Anda memiliki server dengan total inti CPU sebanyak $N_{\text{cores}}$. Di dalam server tersebut berjalan beberapa container. Jika Anda menetapkan nilai pembagian daya komputasi (CPU Shares) untuk container tertentu sebesar $S_{\text{container}}$, sedangkan total nilai shares dari seluruh container aktif yang sedang berjalan di host adalah $\sum S_{\text{all}}$, maka rumus porsi maksimum alokasi CPU yang berhak didapatkan oleh container tersebut saat server mengalami beban kerja puncak adalah:

$$\text{CPU}_{\text{allocated}} = \frac{S_{\text{container}}}{\sum S_{\text{all}}} \times N_{\text{cores}}$$

Dampak Konfigurasi: Dengan menetapkan batas pembagian ini secara eksplisit pada file konfigurasi docker-compose Anda, Anda menjamin bahwa tidak akan ada satu pun container yang dapat memonopoli kinerja CPU server induk hingga membuat layanan aplikasi web lainnya di server yang sama terhenti.

Checklist Hardening Docker Container Kelas Enterprise

Guna mengamankan arsitektur microservices Anda, tim DevOps Anda wajib menerapkan praktik pengerasan (hardening) berikut di setiap siklus CI/CD:

Sektor Pengamanan	Metode Hardening	Perintah / Parameter Konfigurasi	Tujuan Utama
Hak Akses User	Jalankan Docker dalam mode Rootless.	dockerd-rootless-setuptool.sh install	Mencegah hak akses root jika container berhasil ditembus peretas.
File System	Atur sistem penyimpanan kontainer menjadi Read-Only.	parameter --read-only pada CLI	Mencegah penulisan file malware atau perubahan skrip aplikasi oleh peretas.
Sumber Daya	Batasi kapasitas memori RAM maksimal.	parameter --memory="512m"	Mencegah kelumpuhan server akibat kebocoran memori (Denial of Service).
Base Image	Gunakan citra dasar minimalis.	Gunakan base image alpine atau distroless	Meminimalkan permukaan serangan siber dengan memangkas library tidak berguna.
Network Security	Matikan fungsi interkomunikasi antar-container default.	--icc=false di konfigurasi daemon	Membatasi komunikasi antar-container yang tidak saling membutuhkan.

Panduan Praktis: Menulis Dockerfile yang Aman (Hardened Dockerfile)

Berikut adalah contoh penulisan file konfigurasi Dockerfile yang aman dan telah dioptimalkan dengan prinsip least privilege serta teknik kompilasi multi-tahap (multi-stage build) untuk aplikasi berbasis Node.js:

# Tahap 1: Proses Kompilasi Aplikasi (Build Stage)
FROM node:20-alpine AS builder
WORKDIR /app

# Salin file manifes dependency
COPY package*.json ./

# Pasang dependency bersih tanpa mengunduh library development
RUN npm ci --only=production

# Salin seluruh kode sumber aplikasi
COPY . .

# Tahap 2: Proses Produksi Akhir (Production Stage)
# Gunakan base image alpine yang super kecil (~5MB) dan aman
FROM node:20-alpine
WORKDIR /app

# Salin hasil kompilasi dan library dari tahap 1
COPY --from=builder /app/node_modules ./node_modules
COPY --from=builder /app/package.json ./package.json
COPY --from=builder /app/index.js ./index.js

# HARDENING 1: Buat user non-root khusus dan berikan hak akses terbatas ke folder aplikasi
RUN addgroup -S appgroup && adduser -S appuser -G appgroup \
    && chown -R appuser:appgroup /app

# HARDENING 2: Aktifkan user non-root tersebut untuk mengeksekusi aplikasi
USER appuser

# HARDENING 3: Konfigurasikan port non-privileged (di atas 1024)
EXPOSE 8080

# Jalankan aplikasi Node.js secara aman
CMD ["node", "index.js"]

Analisis Keamanan Dockerfile di Atas:

• Multi-Stage Build: Memisahkan proses kompilasi kode dengan proses jalannya aplikasi pada tahap akhir. Hasil akhirnya, citra kontainer produksi tidak lagi menyimpan alat-alat kompilasi sensitif (seperti git atau kompiler C++) yang dapat disalahgunakan oleh peretas setelah berhasil masuk ke sistem.
• User Non-Root (USER appuser): Secara default, Docker menjalankan aplikasi dengan pengguna root di dalam container. Dengan membuat pengguna appuser yang tidak memiliki hak akses istimewa, jika peretas berhasil menemukan celah eksekusi kode jarak jauh (Remote Code Execution) pada aplikasi Anda, mereka tetap tidak akan bisa memodifikasi file sistem atau melakukan instalasi malware tambahan karena terbentur batas hak akses user biasa Linux.

FAQ: Tanya Jawab Seputar Hardening Docker

Apakah ada batasan atau dampak negatif jika kita menjalankan Docker dalam mode Rootless? Ya, ada beberapa batasan fungsionalitas yang harus dipertimbangkan. Dalam mode Rootless, Docker tidak dapat menggunakan port istimewa di bawah angka $1024$ (seperti port standar HTTP $80$ atau HTTPS $443$) secara langsung. Anda harus mengarahkan trafik dari luar ke port tinggi di atas $1024$ (seperti port $8080$ atau $8443$) terlebih dahulu, lalu menggunakan alat pembagi beban (Reverse Proxy seperti Nginx di host) untuk mengarahkan trafik masuk ke port tersebut.

Bagaimana cara memindai kerentanan keamanan citra Docker secara otomatis di komputer lokal? Anda dapat menggunakan alat pemindai keamanan open-source gratis yang sangat populer seperti Trivy. Cukup jalankan perintah berikut di terminal Anda untuk memindai citra Docker Anda dan mendapatkan laporan daftar celah keamanan lengkap beserta rekomendasi perbaikannya:

trivy image nama-kontainer-anda:latest

Mengapa kita harus mematikan fitur Inter-Container Communication (ICC) default? Secara default, seluruh container yang terhubung ke jaringan jembatan (bridge network) default Docker dapat saling berkomunikasi secara bebas satu sama lain tanpa batas. Jika salah satu container (misalnya container portal web publik) berhasil diretas, peretas dapat dengan mudah memindai dan menyusup ke container sensitif lainnya (seperti container database) yang berada di jaringan yang sama. Mematikan fitur ICC memaksa pengembang mendefinisikan hubungan antar-container secara eksplisit menggunakan jaringan khusus (Custom Bridge Network) yang terisolasi.