# Захардить мониторинг-стек (netdata / dozzle / goaccess)

**Приоритет:** средний

Мониторинг-контейнеры — самые привилегированные на хосте и при этом торчат в общую
`web_proxy_network` рядом с приложениями:

- **netdata** (`files/netdata/docker-compose.template.yml`) — `SYS_ADMIN` +
  `SYS_PTRACE` + `apparmor:unconfined`, плюс весь `/` и docker.sock: фактически
  root-контейнер. Для метрик обычно хватает `SYS_PTRACE`; `SYS_ADMIN` и
  `apparmor:unconfined` попробовать убрать (netdata деградирует мягко).
- **dozzle** (`files/dozzle/docker-compose.template.yml`) — RW docker.sock +
  `DOZZLE_AUTH_PROVIDER: forward-proxy` (верит заголовку `Remote-User` от кого
  угодно). Любой контейнер в `web_proxy_network` может напрямую сходить на
  `dozzle_app:8080` с поддельным `Remote-User` и читать логи всех контейнеров (в
  логах бывают токены/ссылки).
- docker.sock обоим пустить через `tecnativa/docker-socket-proxy` (только нужные
  GET), напрямую не монтировать.
- перенести netdata/dozzle/goaccess в существующую `monitoring_network`
  (`playbook-docker.yml`), а Caddy подключить к обеим сетям — уводит их из общей
  сети с приложениями и устраняет lateral movement.

Из sec-ревью (fable, 2026-07-13).

Связано: files/netdata, files/dozzle, files/goaccess, files/caddyproxy, playbook-docker.yml.