Sicherheitsprüfung von Container-Images

Container-Images bilden die Grundlage moderner Anwendungen. Wie jede Software können auch sie versteckte Sicherheitslücken enthalten. Image-Scanning ist eine wichtige Praxis, um diese Lücken zu finden, bevor Sie Ihre Anwendungen bereitstellen.

So können Sie sicherstellen, dass die von Ihnen ausgeführte Software sicher und frei von bekannten Schwachstellen ist.

Welche Arten von Schwachstellen können in Ihren Container-Images verborgen sein?

• Veraltete Basis-Images: Die Verwendung alter Versionen von Betriebssystemen (wie Ubuntu oder Alpine), die bekannte Sicherheitslücken aufweisen.
• Verwundbare Bibliotheken: Zusätzliche Softwarepakete oder Abhängigkeiten, die Sie in Ihrem Image installieren, können Sicherheitslücken (CVEs) enthalten.
• Fehlkonfigurationen: Obwohl das Scanning hauptsächlich auf bekannte CVEs abzielt, können auch ungeeignete Einstellungen Risiken verursachen.

Container-Image-Scanner arbeiten folgendermaßen:

• Analysieren von Layern: Sie untersuchen jede Ebene Ihres Docker-Images.
• Komponenten extrahieren: Sie identifizieren alle installierten Pakete, Bibliotheken und Abhängigkeiten (z. B. Betriebssystempakete, Python-Bibliotheken und Node.js-Module).
• Mit Datenbanken vergleichen: Sie gleichen diese Komponenten mit umfangreichen, regelmäßig aktualisierten Datenbanken für Schwachstellen ab (z. B. CVE-Datenbanken).
• Berichte erstellen: Sie liefern eine detaillierte Liste der erkannten Schwachstellen, ihres Schweregrads und häufig auch empfohlener Korrekturen.

Für das Scannen von Container-Images stehen mehrere leistungsstarke Open-Source- und kommerzielle Tools zur Verfügung:

• Trivy: Ein beliebter Open-Source-Scanner, der für seine einfache Bedienung und umfassende Abdeckung bekannt ist.
• Clair: Eine weitere leistungsfähige Open-Source-Option, die häufig in größere Container-Registries integriert wird.
• Docker Scout (über docker scan): In Docker Desktop integriert und nutzt die Schwachstellendatenbank von Snyk, um schnelle lokale Scans bereitzustellen.

Führen Sie mit dem integrierten Befehl docker scan einen schnellen Scan eines gängigen Docker-Images durch. Dieser Befehl verwendet Docker Scout (powered by Snyk), um nach Schwachstellen zu suchen.

Führen Sie dieses Beispiel aus:

Nach dem Scan erhalten Sie einen Bericht. Darauf sollten Sie achten:

• CVE-ID: Eine eindeutige Kennung für die Schwachstelle (z. B. CVE-2023-1234).
• Schweregrad: Gibt an, wie kritisch die Schwachstelle ist (z. B. Critical, High, Medium, Low).
• Paket: Die konkrete Softwarekomponente oder Bibliothek, die den Fehler enthält.
• Behobene Version: Häufig schlägt der Bericht eine Version des Pakets oder des Basis-Images vor, in der das Problem behoben ist.

Die eigentliche Stärke des Image-Scannings zeigt sich, wenn es in Ihren Entwicklungs-Workflow integriert ist. Indem Sie Scans in Ihre Continuous-Integration-(CI)-Pipeline aufnehmen, können Sie:

• Probleme früh erkennen: Schwachstellen erkennen, sobald neuer Code committet oder ein Image erstellt wird.
• Sicherheitsprüfungen automatisieren: Sicherheit zu einem standardmäßigen, automatisierten Bestandteil Ihres Build-Prozesses machen.
• Bereitstellungen verhindern: Ihre CI-Pipeline so konfigurieren, dass der Build bei erkannten kritischen Schwachstellen fehlschlägt und unsichere Images nicht in die Produktion gelangen.

Hier sehen Sie einen konzeptionellen Ausschnitt, der zeigt, wie Sie das Scannen mit Trivy in einen GitHub-Actions-Workflow integrieren könnten. Dadurch wird jedes erstellte Image automatisch gescannt.

Schwachstellen zu finden, ist nur die halbe Arbeit – sie zu beheben, ist die andere Hälfte! Hier sind gängige Strategien zur Behebung:

• Basis-Images aktualisieren: Verwenden Sie immer die neuesten, gepatchten Versionen des von Ihnen gewählten Basis-Images.
• Abhängigkeiten minimieren: Installieren Sie nur Pakete, die Ihre Anwendung unbedingt für den Betrieb benötigt.
• Multi-Stage-Builds: Verwenden Sie Dockerfiles mit mehreren Build-Stufen, um die Größe des finalen Images zu reduzieren und zur Build-Zeit benötigte Tools zu entfernen, die zur Laufzeit nicht erforderlich sind.
• Patches einspielen: Wenden Sie verfügbare spezifische Sicherheitspatches für anfällige Komponenten an.

Das Scannen von Images ist ein wichtiger Bestandteil der sicheren Container-Entwicklung. Testen Sie nun Ihr Verständnis.

Sie haben die wichtige Rolle des Sicherheits-Scannings von Container-Images kennengelernt:

• Es erkennt bekannte Schwachstellen (CVEs) in Ihren Basis-Images und Abhängigkeiten.
• Tools wie Trivy, Clair und Docker Scout helfen, diesen Prozess zu automatisieren.
• Durch die Integration von Scans in Ihre CI/CD-Pipeline werden Schwachstellen früh erkannt und unsichere Images an der Bereitstellung gehindert.
• Aktualisieren Sie Images regelmäßig und minimieren Sie Abhängigkeiten, um Ihre Angriffsfläche zu reduzieren.

Scannen Sie Ihre Images weiterhin, um ein hohes Sicherheitsniveau aufrechtzuerhalten!