Analyse des images

L’analyse d’images inspecte une image de conteneur à la recherche de vulnérabilités connues, de mauvaises configurations et de secrets avant son exécution.

Il s’agit d’un contrôle de sécurité de tout ce que contient l’image.

Une image regroupe un système d’exploitation, des bibliothèques et votre application.

N’importe laquelle de ces couches peut contenir une vulnérabilité connue. L’analyse permet de les trouver avant les attaquants.

Les outils d’analyse comparent votre image à des bases de données publiques de vulnérabilités.

Chaque faille connue possède un identifiant CVE, comme CVE-2023-1234, ainsi qu’un niveau de gravité allant de faible à critique.

Les images sont construites en couches. Un outil d’analyse lit chaque couche et répertorie chaque paquet installé ainsi que sa version.

Il vérifie ensuite quelles versions présentent des vulnérabilités publiées.

De nombreux outils d’analyse gratuits et commerciaux existent.

• Trivy
• Grype
• Clair

Ils ont tous le même objectif : répertorier les vulnérabilités trouvées dans une image.

Lancer une analyse se fait généralement avec une seule commande. Par exemple, avec Trivy :

La sortie répertorie chaque paquet, le CVE et la gravité.

Commencez par la gravité. Les problèmes critiques et élevés nécessitent une intervention rapide.

Chaque entrée indique généralement la version installée et la version corrigée, ce qui vous précise exactement vers quelle version effectuer la mise à niveau.

Les outils d’analyse modernes ne se limitent pas aux CVE. Ils détectent également les secrets intégrés par inadvertance dans une image, comme les clés d’API ou les clés privées.

Cela permet de repérer rapidement les identifiants divulgués.

Le meilleur moment pour analyser est à chaque exécution automatique de votre chaîne CI/CD.

Vous pouvez faire échouer une construction si des problèmes critiques apparaissent :

Les images plus petites contiennent moins d’éléments à analyser et moins de vulnérabilités.

L’utilisation d’une image de base minimale, comme une variante allégée ou sans distribution, réduit considérablement la surface d’attaque.

Une image qui était saine le mois dernier peut ne plus l’être aujourd’hui, car de nouvelles vulnérabilités sont découvertes en permanence.

Analysez à nouveau les images régulièrement, et pas uniquement au moment de leur construction.

À quoi l’analyseur d’images de conteneurs compare-t-il principalement votre image ?

L’analyse d’images détecte les vulnérabilités connues et les secrets divulgués dans les images de conteneurs.

Exécutez des analyses dans CI/CD, donnez la priorité aux problèmes critiques, utilisez des images de base minimales et réanalysez régulièrement vos images pour rester protégé.