Image-Scanning

Image-Scanning untersucht ein Container-Image vor seiner Ausführung auf bekannte Schwachstellen, Fehlkonfigurationen und Secrets.

Es ist wie eine Sicherheitsprüfung für alles, was im Image gebündelt ist.

Ein Image bündelt ein Betriebssystem, Bibliotheken und Ihre Anwendung.

Jede dieser Schichten kann eine bekannte Schwachstelle enthalten. Durch das Scannen werden diese gefunden, bevor Angreifer sie entdecken.

Scanner vergleichen Ihr Image mit öffentlichen Datenbanken für Schwachstellen.

Jede bekannte Schwachstelle hat eine CVE-Kennung wie CVE-2023-1234 und eine Bewertung des Schweregrads von niedrig bis kritisch.

Images werden in Layern erstellt. Ein Scanner liest jeden Layer und listet jedes installierte Paket und dessen Version auf.

Anschließend prüft er, für welche Versionen Schwachstellen veröffentlicht wurden.

Es gibt viele kostenlose und kommerzielle Scanner.

• Trivy
• Grype
• Clair

Sie verfolgen alle dasselbe Ziel: die in einem Image gefundenen Schwachstellen aufzulisten.

Ein Scan wird normalerweise mit einem einzigen Befehl ausgeführt. Mit Trivy sieht das beispielsweise so aus:

Die Ausgabe listet jedes Paket, die CVE und den Schweregrad auf.

Konzentrieren Sie sich zuerst auf den Schweregrad. Kritische und schwerwiegende Befunde müssen schnell bearbeitet werden.

Jeder Eintrag zeigt normalerweise die installierte Version und die behobene Version an und teilt Ihnen damit genau mit, auf welche Version Sie aktualisieren müssen.

Moderne Scanner können mehr als CVEs erkennen. Sie entdecken auch Secrets, die versehentlich in ein Image eingebettet wurden, beispielsweise API-Schlüssel oder private Schlüssel.

So lassen sich offengelegte Zugangsdaten frühzeitig erkennen.

Am besten scannen Sie automatisch in Ihrer Pipeline.

Sie können einen Build fehlschlagen lassen, wenn kritische Probleme auftreten:

Kleinere Images enthalten weniger zu scannende Komponenten und weniger Schwachstellen.

Ein minimales Basis-Image, etwa eine slim- oder distroless-Variante, verkleinert die Angriffsfläche erheblich.

Ein Image, das im letzten Monat noch sauber war, muss es heute nicht mehr sein, da ständig neue Schwachstellen entdeckt werden.

Scannen Sie Images regelmäßig erneut und nicht nur einmal zum Zeitpunkt der Erstellung.

Womit vergleicht ein Scanner für Container-Images Ihr Image hauptsächlich?

Beim Scannen von Images werden bekannte Schwachstellen und geleakte Secrets in Container-Images gefunden.

Führen Sie Scans in CI/CD aus, priorisieren Sie kritische Befunde, verwenden Sie minimale Basis-Images und scannen Sie regelmäßig erneut, um geschützt zu bleiben.