فحص الصور

يفحص فحص الصور صورة الحاوية بحثًا عن الثغرات المعروفة، وسوء الإعداد، والأسرار قبل تشغيلها.

وهو أشبه بفحص أمني لكل ما جرى تضمينه داخل الصورة.

تجمع الصورة نظام تشغيل ومكتبات وتطبيقك.

قد تحمل أي طبقة من هذه الطبقات ثغرة معروفة. ويكتشفها الفحص قبل أن يكتشفها المهاجمون.

تقارن أدوات الفحص صورتك بقواعد بيانات الثغرات العامة.

تحمل كل ثغرة معروفة معرّف CVE، مثل CVE-2023-1234، مع تصنيف لدرجة الخطورة يتراوح من منخفضة إلى حرجة.

تُبنى الصور في طبقات. وتقرأ أداة الفحص كل طبقة وتسرد كل حزمة مثبّتة وإصدارها.

ثم تتحقق من الإصدارات التي نُشرت لها ثغرات.

توجد العديد من أدوات الفحص المجانية والتجارية.

• Trivy
• Grype
• Clair

تشترك جميعها في الهدف نفسه: سرد الثغرات الموجودة في الصورة.

يُجرى الفحص عادةً باستخدام أمر واحد. فعلى سبيل المثال، باستخدام Trivy:

يسرد الناتج كل حزمة، وCVE، ودرجة الخطورة.

ركّز أولًا على درجة الخطورة. فالاكتشافات الحرجة والعالية تحتاج إلى اهتمام سريع.

يعرض كل إدخال عادةً الإصدار المثبّت والإصدار الذي تم إصلاحه، موضحًا لك بالضبط الإصدار الذي ينبغي الترقية إليه.

تتجاوز أدوات الفحص الحديثة فحص CVE. فهي تكتشف أيضًا الأسرار التي أُدرجت عن طريق الخطأ في صورة، مثل مفاتيح API أو المفاتيح الخاصة.

يساعد ذلك على اكتشاف بيانات الاعتماد المتسرّبة مبكرًا.

أفضل وقت للفحص هو أن يتم تلقائيًا ضمن خط الأنابيب الخاص بك.

يمكنك إيقاف عملية البناء عند ظهور مشكلات حرجة:

تحتوي الصور الأصغر على عناصر أقل للفحص وثغرات أقل.

يؤدي استخدام صورة أساسية minimal، مثل إحدى نسختي slim أو distroless، إلى تقليص سطح الهجوم بدرجة كبيرة.

قد تكون صورة نظيفة الشهر الماضي غير نظيفة اليوم، لأن ثغرات جديدة تُكتشف باستمرار.

أعد فحص الصور بانتظام، وليس مرة واحدة فقط عند وقت البناء.

بماذا يقارن فاحص صور الحاويات صورتك أساسًا؟

يبحث فحص الصور عن الثغرات المعروفة والأسرار المسربة في صور الحاويات.

شغّل عمليات الفحص ضمن CI/CD، وأعطِ الأولوية للنتائج الحرجة، واستخدم صورًا أساسية minimal، وأعد الفحص بانتظام للحفاظ على الحماية.