Docker & DevOps Fundamentals · درس

فحص أمان صور الحاويات

ادمج أدوات فحص الصور في مسار CI/CD لديك لاكتشاف الثغرات في صور Docker

فحص أمان صور الحاويات درس مجاني في Docker & DevOps Fundamentals على CoddyKit. هذا هو الدرس 1 من أصل 4. يمكنك قراءة الدرس كاملاً أدناه مجاناً — ثم تمرن عليه مباشرة في المتصفح باستخدام محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7. هذا الدرس جزء من مسار التعلم في Docker & DevOps Fundamentals، وتقدمك يتزامن عبر الويب وتطبيق CoddyKit. تتضمن دورة Docker & DevOps Fundamentals 4 دروس في المجموع.

لماذا تفحصون صور الحاويات؟

تُعد صور الحاويات أساس التطبيقات الحديثة. وكأي برنامج، قد تحتوي على ثغرات أمنية مخفية. ويُعد فحص الصور ممارسة أساسية لاكتشاف هذه الثغرات قبل نشر تطبيقاتكم.

وهو يساعد على ضمان أمان البرامج التي تشغّلونها وخلوّها من الثغرات الأمنية المعروفة.

المخاطر الخفية في الصور

ما أنواع الثغرات التي قد تكمن في صور حاوياتكم؟

الصور الأساسية القديمة: استخدام إصدارات قديمة من أنظمة التشغيل (مثل Ubuntu أو Alpine) التي تحتوي على أخطاء أمنية معروفة.
المكتبات المعرّضة للثغرات: قد تحتوي أي حزم برامج أو تبعيات إضافية تثبّتونها في صورتكم على ثغرات أمنية (CVEs).
الإعدادات غير الصحيحة: رغم أن الفحص يستهدف بشكل أساسي CVEs المعروفة، فإن الإعدادات غير السليمة قد تؤدي أيضًا إلى مخاطر.

كيف تعمل أدوات فحص الصور؟

تعمل أدوات فحص صور الحاويات من خلال:

تحليل الطبقات: تفحص كل طبقة من صورة Docker الخاصة بكم.
استخراج المكوّنات: تحدد جميع الحزم والمكتبات والتبعيات المثبّتة (مثل حزم نظام التشغيل ومكتبات Python ووحدات Node.js).
المقارنة بقواعد البيانات: تطابق هذه المكوّنات مع قواعد بيانات الثغرات الشاملة والمحدّثة بانتظام (مثل قواعد بيانات CVE).
إنشاء التقارير: توفّر قائمة مفصّلة بالثغرات المحددة وخطورتها، وغالبًا بالإصلاحات المقترحة.

أدوات المجال

تتوفر عدة أدوات قوية لفحص صور الحاويات، منها المفتوح المصدر والتجاري:

Trivy: أداة فحص شائعة مفتوحة المصدر، معروفة بسهولة استخدامها وشمولية تغطيتها.
Clair: خيار آخر متين مفتوح المصدر، وغالبًا ما يُدمج في سجلات الحاويات الأكبر.
Docker Scout (via docker scan): أداة مضمّنة في Docker Desktop، وتستفيد من قاعدة بيانات الثغرات الخاصة بـ Snyk لتوفير عمليات فحص محلية سريعة.

فحص صورة محليًا

لنجري فحصًا سريعًا على صورة Docker شائعة باستخدام الأمر المضمّن docker scan. يستخدم هذا الأمر Docker Scout (المدعوم من Snyk) للتحقق من وجود الثغرات الأمنية.

جرّب تشغيل هذا المثال:

docker scan nginx:latest

فهم النتائج

بعد تشغيل الفحص، سيظهر لك تقرير. إليك ما ينبغي البحث عنه:

معرّف CVE: معرّف فريد للثغرة الأمنية (مثل CVE-2023-1234).
الخطورة: مدى خطورة الثغرة الأمنية (مثل Critical وHigh وMedium وLow).
الحزمة: مكوّن البرنامج أو المكتبة المحددة التي تحتوي على الخلل.
الإصدار المُصلح: غالبًا ما يقترح التقرير إصدارًا من الحزمة أو من الصورة الأساسية يعالج المشكلة.

الفحص ضمن سير العمل

تظهر الفائدة الحقيقية لفحص الصور عند دمجه في سير عمل التطوير. بإضافة الفحص إلى مسار التكامل المستمر (CI)، يمكنك:

اكتشاف المشكلات مبكرًا: تحديد الثغرات الأمنية فور إيداع تعليمات برمجية جديدة أو إنشاء صورة.
أتمتة فحوصات الأمان: جعل الأمان جزءًا قياسيًا وآليًا من عملية الإنشاء.
منع النشر: إعداد مسار CI لفشل عملية الإنشاء عند اكتشاف ثغرات أمنية خطيرة، ومنع الصور غير الآمنة من الوصول إلى بيئة الإنتاج.

أتمتة عمليات الفحص باستخدام CI

إليك مقطعًا توضيحيًا يبيّن كيفية دمج فحص Trivy في سير عمل GitHub Actions. ويضمن ذلك فحص كل صورة يتم إنشاؤها تلقائيًا.

# .github/workflows/scan.yml
name: Image Scan

on:
  push:
    branches: [ main ]

jobs:
  build-and-scan:
    runs-on: ubuntu-latest
    steps:
    - uses: actions/checkout@v3
    - name: Build Docker Image
      run: docker build -t my-app:latest .
    - name: Run Trivy Scan
      uses: aquasecurity/trivy-action@master
      with:
        image-ref: 'my-app:latest'
        format: 'table'
        exit-code: '1' # Fail build on critical issues

معالجة ما تكتشفه

اكتشاف الثغرات الأمنية ليس سوى نصف المعركة؛ أما النصف الآخر فهو معالجتها! إليك بعض الاستراتيجيات الشائعة للمعالجة:

تحديث الصور الأساسية: استخدم دائمًا أحدث الإصدارات المُصححة من الصورة الأساسية التي اخترتها.
تقليل التبعيات: ثبّت الحزم الضرورية تمامًا لتشغيل تطبيقك فقط.
الإنشاء متعدد المراحل: استخدم Dockerfiles متعددة المراحل لتقليل حجم الصورة النهائية وإزالة أدوات الإنشاء غير اللازمة أثناء التشغيل.
تطبيق التصحيحات: طبّق تصحيحات أمان محددة عند توفرها للمكونات المتأثرة بالثغرات.

فحص الفهم

يُعد فحص الصور جزءًا أساسيًا من تطوير الحاويات الآمنة. لنختبر مدى فهمك.

أهم النقاط

لقد تعلمت الدور الحيوي لفحص أمان صور الحاويات:

يحدد الثغرات الأمنية المعروفة (CVEs) في صورك الأساسية وتبعياتك.
تساعد أدوات مثل Trivy وClair وDocker Scout في أتمتة هذه العملية.
يضمن دمج الفحص في مسار CI/CD اكتشاف المشكلات مبكرًا ويمنع نشر الصور غير الآمنة.
حدّث الصور بانتظام وقلّل التبعيات لتقليل سطح الهجوم.

واصل فحص صورك للحفاظ على وضع أمني قوي!

الأسئلة الشائعة

هل درس «فحص أمان صور الحاويات» مجاني؟

نعم — نص درس «فحص أمان صور الحاويات» كامل متاح مجاناً هنا على الويب. لتمرينه بشكل تفاعلي (محرر أكواد مدمج ومدرس ذكاء اصطناعي متاح 24/7) وفتح باقي دورة Docker & DevOps Fundamentals، انتقل إلى CoddyKit PRO. تتضمن دورة Docker & DevOps Fundamentals 4 دروس في المجموع.

ماذا ستتعلم في «فحص أمان صور الحاويات»؟

ادمج أدوات فحص الصور في مسار CI/CD لديك لاكتشاف الثغرات في صور Docker تتمرن على Docker & DevOps Fundamentals مع أكواد عملية تشغلها مباشرة في المتصفح، ومدرس ذكاء اصطناعي متاح 24/7 يجيب على أسئلتك أثناء عملك.

هل أحتاج إلى خبرة سابقة لأبدأ Docker & DevOps Fundamentals؟

لا تُشترط خبرة سابقة. Docker & DevOps Fundamentals على CoddyKit منظم للمبتدئين حتى المتقدمين، لذا يمكنك البدء من هنا أو من البداية والتقدم بسرعتك الخاصة. هذا هو الدرس 1 من أصل 4.

كم من الوقت يستغرق درس «فحص أمان صور الحاويات»؟

معظم دروس CoddyKit تستغرق حوالي 5–10 دقائق. كل منها موجز وتفاعلي، لذا تحرز تقدماً مستمراً وتستأنف من حيث توقفت عبر الويب والتطبيق.

هل يمكنني كتابة وتشغيل أكواد في درس Docker & DevOps Fundamentals هذا؟

نعم. كل درس في Docker & DevOps Fundamentals يتضمن محرر أكواد مدمج، لذا تكتب وتشغل أكواداً حقيقية مباشرة في متصفحك وتحصل على تعليقات فورية من الذكاء الاصطناعي — بدون إعداد محلي.

جميع الدروس في هذه الدورة

← العودة إلى Docker & DevOps Fundamentals