Сканирование образов

Сканирование образов проверяет контейнерный образ на наличие известных уязвимостей, неправильных настроек и секретов до его запуска.

Это похоже на проверку безопасности всего, что упаковано внутри образа.

Образ объединяет операционную систему, библиотеки и ваше приложение.

Любой из этих слоёв может содержать известную уязвимость. Сканирование обнаруживает их раньше злоумышленников.

Сканеры сравнивают ваш образ с общедоступными базами данных уязвимостей.

У каждой известной уязвимости есть идентификатор CVE, например CVE-2023-1234, и оценка серьёзности от низкой до критической.

Образы создаются из слоёв. Сканер читает каждый слой и перечисляет все установленные пакеты и их версии.

Затем он проверяет, для каких версий опубликованы уязвимости.

Существует множество бесплатных и коммерческих сканеров.

• Trivy
• Grype
• Clair

У всех одна цель: перечислить уязвимости, обнаруженные в образе.

Обычно для запуска сканирования достаточно одной команды. Например, с помощью Trivy:

В выводе перечисляются каждый пакет, CVE и степень серьёзности.

Сначала обращайте внимание на степень серьёзности. Критические уязвимости и уязвимости высокой степени требуют быстрого внимания.

В каждой записи обычно указаны установленная версия и исправленная версия, поэтому вы точно знаете, до какой версии нужно обновить пакет.

Современные сканеры ищут не только CVE. Они также обнаруживают секреты, случайно встроенные в образ, например ключи API или закрытые ключи.

Это помогает заранее выявлять утёкшие учётные данные.

Лучше всего выполнять сканирование автоматически, в вашем конвейере.

Вы можете завершить сборку с ошибкой, если обнаружены критические проблемы:

В небольших образах меньше компонентов для сканирования и меньше уязвимостей.

Использование минимального базового образа, например варианта slim или distroless, значительно уменьшает поверхность атаки.

Образ, который был безопасен в прошлом месяце, сегодня может уже не быть безопасным, поскольку новые уязвимости обнаруживаются постоянно.

Регулярно выполняйте повторное сканирование образов, а не только один раз во время сборки.

С чем в первую очередь сравнивает ваш образ сканер образов контейнеров?

Сканирование образов обнаруживает известные уязвимости и утёкшие секреты в образах контейнеров.

Запускайте сканирование в CI/CD, расставляйте приоритеты для критических находок, используйте минимальные базовые образы и регулярно повторяйте сканирование, чтобы сохранять защиту.