Skanowanie obrazów

Skanowanie obrazów sprawdza obraz kontenera pod kątem znanych luk w zabezpieczeniach, błędnych konfiguracji i sekretów, zanim zostanie on uruchomiony.

Przypomina to kontrolę bezpieczeństwa wszystkiego, co spakowano w obrazie.

Obraz zawiera system operacyjny, biblioteki i aplikację.

Każda z tych warstw może zawierać znaną lukę w zabezpieczeniach. Skanowanie pozwala znaleźć je, zanim zrobią to atakujący.

Skanery porównują obraz z publicznymi bazami danych luk w zabezpieczeniach.

Każda znana luka ma identyfikator CVE, na przykład CVE-2023-1234, oraz ocenę ważności od niskiej do krytycznej.

Obrazy są budowane z warstw. Skaner odczytuje każdą warstwę i wyświetla listę wszystkich zainstalowanych pakietów oraz ich wersji.

Następnie sprawdza, które wersje mają opublikowane luki w zabezpieczeniach.

Dostępnych jest wiele bezpłatnych i komercyjnych skanerów.

• Trivy
• Grype
• Clair

Wszystkie mają ten sam cel: wyświetlić luki znalezione w obrazie.

Uruchomienie skanowania zwykle wymaga jednej komendy. Na przykład za pomocą Trivy:

Wynik zawiera listę pakietów, identyfikator CVE i ocenę ważności.

W pierwszej kolejności należy zwrócić uwagę na ważność. Wyniki o krytycznej i wysokiej ważności wymagają szybkiej reakcji.

Każdy wpis zwykle pokazuje zainstalowaną wersję oraz wersję z poprawką, wskazując dokładnie, do której wersji należy zaktualizować pakiet.

Nowoczesne skanery robią więcej niż tylko wyszukują CVE. Wykrywają również sekrety przypadkowo zapisane w obrazie, takie jak klucze API lub klucze prywatne.

Pomaga to wcześnie wykrywać ujawnione dane uwierzytelniające.

Najlepiej skanować automatycznie w potoku.

Można przerwać kompilację, jeśli pojawią się problemy o krytycznej ważności:

Mniejsze obrazy zawierają mniej elementów do przeskanowania i mniej luk w zabezpieczeniach.

Użycie minimalnego obrazu bazowego, takiego jak wariant slim lub distroless, znacznie zmniejsza powierzchnię ataku.

Obraz, który w zeszłym miesiącu był wolny od problemów, dziś może już taki nie być, ponieważ nowe luki w zabezpieczeniach są stale odkrywane.

Należy regularnie ponownie skanować obrazy, a nie tylko raz w czasie kompilacji.

Z czym skaner obrazów kontenerów przede wszystkim porównuje obraz?

Skanowanie obrazu wykrywa znane luki w zabezpieczeniach i ujawnione sekrety w obrazach kontenerów.

Należy uruchamiać skanowanie w CI/CD, nadawać priorytet krytycznym znaleziskom, używać minimalnych obrazów bazowych i regularnie skanować ponownie, aby zachować ochronę.