이미지 스캔

이미지 검사는 컨테이너 이미지가 실행되기 전에 알려진 취약점, 잘못된 설정 및 비밀 정보를 검사합니다.

이미지 안에 패키징된 모든 항목을 대상으로 하는 보안 점검과 같습니다.

이미지에는 운영 체제, 라이브러리 및 애플리케이션이 함께 포함됩니다.

이 계층 중 어느 하나에든 알려진 취약점이 있을 수 있습니다. 검사를 통해 공격자보다 먼저 이를 찾아낼 수 있습니다.

검사 도구는 이미지를 공개 취약점 데이터베이스와 비교합니다.

알려진 각 결함에는 CVE 식별자가 있으며, 예를 들어 CVE-2023-1234와 같이 표시되고 낮음부터 치명적까지 심각도가 지정됩니다.

이미지는 레이어로 구성됩니다. 검사 도구는 각 레이어를 읽고 설치된 모든 패키지와 버전을 나열합니다.

그런 다음 게시된 취약점이 있는 버전을 확인합니다.

무료 및 상용 검사 도구가 많이 있습니다.

• Trivy
• Grype
• Clair

이 도구들은 모두 이미지에서 발견된 취약점을 나열한다는 같은 목표를 공유합니다.

검사 실행은 보통 명령 하나면 충분합니다. 예를 들어 Trivy를 사용하면 다음과 같습니다:

출력에는 각 패키지, CVE 및 심각도가 나열됩니다.

먼저 심각도에 집중합니다. 치명적 및 높음 수준의 결과는 신속하게 처리해야 합니다.

각 항목에는 보통 설치된 버전과 수정된 버전이 표시되므로, 정확히 어느 버전으로 업그레이드해야 하는지 알 수 있습니다.

최신 검사 도구는 CVE만 확인하지 않습니다. 이미지에 실수로 포함된 비밀 정보도 탐지합니다. 예를 들면 API 키나 개인 키가 있습니다.

이를 통해 유출된 자격 증명을 조기에 발견할 수 있습니다.

검사를 수행하기 가장 좋은 시점은 파이프라인에서 자동으로 실행할 때입니다.

치명적인 문제가 나타나면 빌드를 실패 처리할 수 있습니다:

이미지가 작을수록 검사할 항목과 취약점이 줄어듭니다.

경량형 또는 배포판 없는 변형과 같은 최소한의 기본 이미지를 사용하면 공격 표면을 크게 줄일 수 있습니다.

지난달에 안전했던 이미지라도 새로운 취약점이 계속 발견되므로 오늘은 안전하지 않을 수 있습니다.

빌드할 때 한 번만 검사하지 말고 이미지를 정기적으로 다시 검사합니다.

컨테이너 이미지 스캐너는 주로 사용자의 이미지를 무엇과 비교합니까?

이미지 스캔은 컨테이너 이미지에서 알려진 취약점과 유출된 비밀 정보를 찾습니다.

CI/CD에서 스캔을 실행하고, 심각한 발견 사항을 우선 처리하며, 최소한의 기본 이미지를 사용하고, 정기적으로 다시 스캔하여 안전을 유지하십시오.