Análise de imagens

A análise de imagens verifica uma imagem de contêiner em busca de vulnerabilidades conhecidas, configurações incorretas e segredos antes de sua execução.

É como uma avaliação de segurança de tudo o que foi empacotado dentro da imagem.

Uma imagem reúne um sistema operacional, bibliotecas e seu aplicativo.

Qualquer uma dessas camadas pode conter uma vulnerabilidade conhecida. A análise as encontra antes que os invasores o façam.

Os analisadores comparam sua imagem com bancos de dados públicos de vulnerabilidades.

Cada falha conhecida tem um identificador CVE, como CVE-2023-1234, com uma classificação de gravidade que vai de baixa a crítica.

As imagens são criadas em camadas. Um analisador lê cada camada e lista todos os pacotes instalados e suas versões.

Em seguida, ele verifica quais versões têm vulnerabilidades divulgadas.

Existem muitos analisadores gratuitos e comerciais.

• Trivy
• Grype
• Clair

Todos têm o mesmo objetivo: listar as vulnerabilidades encontradas em uma imagem.

Executar uma análise geralmente exige apenas um comando. Por exemplo, com o Trivy:

A saída lista cada pacote, o CVE e a gravidade.

Concentre-se primeiro na gravidade. As descobertas críticas e altas precisam de atenção rápida.

Cada entrada geralmente mostra a versão instalada e a versão corrigida, indicando exatamente para qual versão você deve atualizar.

Os analisadores modernos fazem mais do que procurar CVEs. Eles também detectam segredos incorporados acidentalmente a uma imagem, como chaves de API ou chaves privadas.

Isso ajuda a identificar credenciais expostas logo no início.

O melhor momento para analisar é automaticamente, no seu fluxo de integração.

Você pode fazer uma compilação falhar se surgirem problemas críticos:

Imagens menores têm menos itens para analisar e menos vulnerabilidades.

Usar uma imagem de base mínima, como uma variante enxuta ou sem distribuição, reduz drasticamente a superfície de ataque.

Uma imagem que estava limpa no mês passado pode não estar limpa hoje, porque novas vulnerabilidades são descobertas constantemente.

Analise as imagens novamente com regularidade, não apenas uma vez durante a compilação.

A que um analisador de imagens de contêiner compara principalmente a sua imagem?

A análise de imagens encontra vulnerabilidades conhecidas e segredos expostos nas imagens de contêiner.

Execute análises no CI/CD, priorize as descobertas críticas, use imagens base mínimas e faça novas análises regularmente para manter a proteção.