İmaj Tarama

İmaj taraması, bir kapsayıcı çalıştırılmadan önce imajı bilinen güvenlik açıkları, yanlış yapılandırmalar ve gizli bilgiler açısından inceler.

Bu, imajın içine paketlenmiş her şey için yapılan bir güvenlik kontrolü gibidir.

Bir imaj; işletim sistemini, kitaplıkları ve uygulamanızı bir araya getirir.

Bu katmanlardan herhangi biri bilinen bir güvenlik açığı taşıyabilir. Tarama, saldırganlar bulmadan önce bunları ortaya çıkarır.

Tarayıcılar imajınızı herkese açık güvenlik açığı veritabanlarıyla karşılaştırır.

Bilinen her kusurun CVE tanımlayıcısı bulunur; örneğin CVE-2023-1234. Bu tanımlayıcıya düşükten kritiğe kadar bir önem derecesi verilir.

İmajlar katmanlar hâlinde oluşturulur. Bir tarayıcı her katmanı okur ve kurulu her paketi ve sürümünü listeler.

Ardından hangi sürümlerde yayımlanmış güvenlik açıkları bulunduğunu denetler.

Birçok ücretsiz ve ticari tarayıcı vardır.

• Trivy
• Grype
• Clair

Hepsinin amacı aynıdır: bir imajda bulunan güvenlik açıklarını listelemek.

Tarama yapmak genellikle tek bir komutla mümkündür. Örneğin Trivy ile:

Çıktı; her paketi, CVE'yi ve önem derecesini listeler.

Öncelikle önem derecesine odaklanın. Kritik ve yüksek önem derecesine sahip bulgular hızlıca ele alınmalıdır.

Her giriş genellikle kurulu sürümü ve düzeltilmiş sürümü gösterir; böylece hangi sürüme yükseltmeniz gerektiğini tam olarak öğrenirsiniz.

Modern tarayıcılar CVE'lerden fazlasını yapar. Ayrıca API anahtarları veya özel anahtarlar gibi yanlışlıkla imaja gömülmüş gizli bilgileri de algılar.

Bu, sızdırılmış kimlik bilgilerini erkenden yakalamanıza yardımcı olur.

Tarama yapmak için en iyi zaman, bunu işlem hattınızda otomatik olarak gerçekleştirdiğiniz zamandır.

Kritik sorunlar ortaya çıkarsa bir derlemeyi başarısız kılabilirsiniz:

Daha küçük imajlarda taranacak daha az şey ve daha az güvenlik açığı bulunur.

Yalın veya dağıtımsız bir varyant gibi minimum bir temel imaj kullanmak, saldırı yüzeyini büyük ölçüde küçültür.

Geçen ay temiz olan bir imaj bugün temiz olmayabilir; çünkü sürekli yeni güvenlik açıkları keşfedilir.

İmajları yalnızca oluşturma sırasında değil, düzenli olarak yeniden tarayın.

Bir konteyner imajı tarayıcısı, imajınızı öncelikle neyle karşılaştırır?

İmaj taraması, konteyner imajlarındaki bilinen güvenlik açıklarını ve sızdırılmış gizli bilgileri bulur.

Korunmaya devam etmek için taramaları CI/CD'de çalıştırın, kritik bulgulara öncelik verin, en küçük temel imajları kullanın ve düzenli olarak yeniden tarayın.