Pemindaian Image

Pemindaian citra memeriksa citra kontainer untuk menemukan kerentanan, kesalahan konfigurasi, dan rahasia yang telah diketahui sebelum citra tersebut dijalankan.

Proses ini seperti pemeriksaan keamanan untuk segala sesuatu yang dikemas di dalam citra.

Sebuah citra menggabungkan sistem operasi, pustaka, dan aplikasi Anda.

Salah satu lapisan tersebut mungkin membawa kerentanan yang telah diketahui. Pemindaian menemukannya sebelum penyerang menemukannya.

Pemindai membandingkan citra Anda dengan basis data kerentanan publik.

Setiap kelemahan yang telah diketahui memiliki pengenal CVE, seperti CVE-2023-1234, dengan tingkat keparahan dari rendah hingga kritis.

Citra dibuat dalam beberapa lapisan. Pemindai membaca setiap lapisan dan mencantumkan setiap paket yang terpasang beserta versinya.

Selanjutnya, pemindai memeriksa versi mana yang memiliki kerentanan yang telah dipublikasikan.

Tersedia banyak pemindai gratis dan komersial.

• Trivy
• Grype
• Clair

Semuanya memiliki tujuan yang sama: mencantumkan kerentanan yang ditemukan dalam sebuah citra.

Menjalankan pemindaian biasanya hanya memerlukan satu perintah. Misalnya, dengan Trivy:

Keluaran mencantumkan setiap paket, CVE, dan tingkat keparahannya.

Fokuslah terlebih dahulu pada tingkat keparahan. Temuan kritis dan tinggi memerlukan perhatian segera.

Setiap entri biasanya menampilkan versi yang terpasang dan versi perbaikan, sehingga Anda mengetahui dengan tepat versi yang harus digunakan untuk peningkatan.

Pemindai modern melakukan lebih dari sekadar menemukan CVE. Pemindai juga mendeteksi rahasia yang secara tidak sengaja ditanamkan dalam citra, seperti kunci API atau kunci pribadi.

Hal ini membantu menemukan kredensial yang bocor sejak dini.

Waktu terbaik untuk melakukan pemindaian adalah secara otomatis, di dalam alur kerja Anda.

Anda dapat menggagalkan proses pembuatan jika masalah kritis muncul:

Citra yang lebih kecil memiliki lebih sedikit hal untuk dipindai dan lebih sedikit kerentanan.

Menggunakan citra dasar minimal, seperti varian slim atau distroless, secara drastis memperkecil permukaan serangan.

Citra yang bersih bulan lalu mungkin tidak lagi bersih hari ini karena kerentanan baru terus ditemukan.

Pindai ulang citra secara berkala, bukan hanya sekali saat proses pembuatannya.

Terhadap apa pemindai citra kontainer terutama membandingkan citra Anda?

Pemindaian citra menemukan kerentanan yang diketahui dan rahasia yang bocor dalam citra kontainer.

Jalankan pemindaian dalam CI/CD, prioritaskan temuan kritis, gunakan citra dasar minimal, dan lakukan pemindaian ulang secara berkala agar tetap terlindungi.