Beveiligingsscanning van containerimages

Scanners voor containerimages werken als volgt:

• Lagen analyseren: ze onderzoeken elke laag van je Docker-image.
• Onderdelen extraheren: ze identificeren alle geïnstalleerde pakketten, bibliotheken en afhankelijkheden (bijvoorbeeld besturingssysteempakketten, Python-bibliotheken en Node.js-modules).
• Vergelijken met databases: ze vergelijken deze onderdelen met uitgebreide, regelmatig bijgewerkte databases met kwetsbaarheden (zoals CVE-databases).
• Rapporten genereren: ze bieden een gedetailleerde lijst van gevonden kwetsbaarheden, hun ernst en vaak ook voorgestelde oplossingen.

Er zijn verschillende krachtige hulpmiddelen beschikbaar voor het scannen van containerimages, zowel open source als commercieel:

• Trivy: een populaire open-sourcescanner die bekendstaat om het gebruiksgemak en de uitgebreide dekking.
• Clair: een andere robuuste open-sourceoptie, die vaak in grotere containerregisters wordt geïntegreerd.
• Docker Scout (via docker scan): ingebouwd in Docker Desktop; gebruikt de kwetsbaarhedendatabase van Snyk voor snelle lokale scans.

Voer een snelle scan uit op een gangbare Docker-image met de ingebouwde opdracht docker scan. Deze opdracht gebruikt Docker Scout (mogelijk gemaakt door Snyk) om kwetsbaarheden te controleren.

Probeer dit voorbeeld uit:

Na een scan krijg je een rapport. Dit is waar je op moet letten:

• CVE-ID: Een unieke identificatie voor de kwetsbaarheid (bijvoorbeeld CVE-2023-1234).
• Ernst: Hoe kritiek de kwetsbaarheid is (bijvoorbeeld Kritiek, Hoog, Gemiddeld, Laag).
• Pakket: De specifieke softwarecomponent of bibliotheek die de fout bevat.
• Opgeloste versie: Het rapport stelt vaak een versie van het pakket of de basis-image voor waarin het probleem is opgelost.

De echte kracht van image-scanning komt naar voren wanneer u dit in uw ontwikkelwerkproces integreert. Door scanning toe te voegen aan uw Continuous Integration (CI)-pijplijn, kunt u:

• Problemen vroeg ontdekken: Kwetsbaarheden identificeren zodra nieuwe code wordt vastgelegd of een image wordt gebouwd.
• Beveiligingscontroles automatiseren: Beveiliging een standaard, geautomatiseerd onderdeel van uw bouwproces maken.
• Implementatie voorkomen: Uw CI-pijplijn zo configureren dat de build mislukt wanneer kritieke kwetsbaarheden worden gevonden. Zo voorkomt u dat onveilige images productie bereiken.

Hier is een conceptueel voorbeeld van hoe u Trivy-scanning kunt integreren in een GitHub Actions-werkstroom. Zo wordt elke gebouwde image automatisch gescand.

Kwetsbaarheden vinden is slechts de helft van het werk; ze oplossen is de andere helft! Dit zijn veelgebruikte strategieën voor herstel:

• Basis-images bijwerken: Gebruik altijd de nieuwste versies van uw gekozen basis-image waarin de patches zijn toegepast.
• Afhankelijkheden beperken: Installeer alleen de pakketten die absoluut nodig zijn om uw toepassing uit te voeren.
• Builds met meerdere fasen: Gebruik Dockerfiles met meerdere fasen om de uiteindelijke image kleiner te maken en bouwtools te verwijderen die tijdens runtime niet nodig zijn.
• Patches toepassen: Pas specifieke beveiligingspatches toe als die beschikbaar zijn voor kwetsbare componenten.

U hebt geleerd welke cruciale rol het scannen van de beveiliging van container-images speelt:

• Het identificeert bekende kwetsbaarheden (CVE's) in uw basis-images en afhankelijkheden.
• Tools zoals Trivy, Clair en Docker Scout helpen dit proces te automatiseren.
• Door scanning in uw CI/CD-pijplijn te integreren, worden kwetsbaarheden vroeg ontdekt en voorkomt u dat onveilige images worden geïmplementeerd.
• Werk images regelmatig bij en beperk afhankelijkheden om uw aanvalsoppervlak te verkleinen.

Blijf uw images scannen om een sterke beveiligingspositie te behouden!