Scansione delle immagini

La scansione delle immagini esamina un'immagine di container alla ricerca di vulnerabilità note, configurazioni errate e segreti prima che venga eseguita.

È come un controllo di sicurezza per tutto ciò che è incluso nell'immagine.

Un'immagine include un sistema operativo, librerie e la propria app.

Ognuno di questi livelli può contenere una vulnerabilità nota. La scansione le individua prima degli aggressori.

Gli scanner confrontano l'immagine con i database pubblici delle vulnerabilità.

Ogni vulnerabilità nota ha un identificatore CVE, come CVE-2023-1234, con un livello di gravità da basso a critico.

Le immagini vengono create in layer. Uno scanner legge ogni layer ed elenca tutti i pacchetti installati e le relative versioni.

Controlla quindi quali versioni presentano vulnerabilità pubblicate.

Esistono molti scanner gratuiti e commerciali.

• Trivy
• Grype
• Clair

Hanno tutti lo stesso obiettivo: elencare le vulnerabilità presenti in un'immagine.

Di solito eseguire una scansione richiede un solo comando. Ad esempio, con Trivy:

L'output elenca ogni pacchetto, il CVE e il livello di gravità.

Si concentri prima sulla gravità. I problemi critici e gravi richiedono un intervento rapido.

Ogni voce mostra in genere la versione installata e la versione corretta, indicando esattamente a quale versione aggiornare.

Gli scanner moderni fanno più che cercare i CVE. Rilevano anche i segreti inclusi accidentalmente in un'immagine, come chiavi API o chiavi private.

Questo aiuta a individuare tempestivamente le credenziali esposte.

Il momento migliore per eseguire la scansione è automaticamente, nella propria pipeline.

È possibile far fallire una build se vengono rilevati problemi critici:

Le immagini più piccole contengono meno elementi da analizzare e presentano meno vulnerabilità.

L'uso di un'immagine di base minimale, come una variante slim o distroless, riduce drasticamente la superficie d'attacco.

Un'immagine che era sicura il mese scorso potrebbe non esserlo oggi, perché vengono scoperte continuamente nuove vulnerabilità.

Esegua nuovamente la scansione delle immagini con regolarità, non solo una volta al momento della build.

Rispetto a quale principale riferimento confronta un'immagine uno scanner di immagini dei container?

La scansione delle immagini rileva vulnerabilità note e segreti trapelati nelle immagini dei container.

Esegua le scansioni in CI/CD, assegni priorità ai risultati critici, utilizzi immagini di base minime e ripeta regolarmente le scansioni per mantenere la protezione.