Containerskanning

Så fungerar containerskanning

1. Packa upp avbilden. Skannern läser avbildens lager utan att köra dem.
2. Lista innehållet. Den läser operativsystemets paketdatabaser och applikationsmanifest, till exempel en package-lock.json som kopierats in i avbilden.
3. Matcha mot data. Den jämför paket med sårbarhetsdata från distributioner och databaser med säkerhetsmeddelanden.
4. Kontrollera konfigurationen. Vissa verktyg flaggar också sådant som körning som root eller hemligheter som lämnats i ett lager.

Var du bör köra en skanning

Steg	Vad det ger dig	Begränsning
CI, efter att avbilden byggts	Får bygget att misslyckas innan en avbild pushas	En ögonblicksbild av den dagens säkerhetsmeddelanden
Register	Skannar om lagrade avbilder när nya säkerhetsmeddelanden dyker upp	Hittar problem efter att avbilden publicerats
Kubernetes admission	Blockerar oskannade eller underkända avbilder vid driftsättning	Kräver en policy och ett sätt att hantera undantag
Drift	Visar vilka avbilder som körs just nu och vad som är inläst	Kräver en agent i dina kluster

Verktyg för containerskanning

• Öppen källkod: Trivy och Grype är de vanliga gratisalternativen, och båda passar enkelt in i CI.
• Inbyggt i register och plattformar: Docker Scout och de stora molnregistren erbjuder skanning.
• Kommersiella plattformar: Snyk och Anchore lägger till policy, rapportering och arbetsflöden.

Så minskar du antalet fynd

• Börja med en mindre basavbild. Slim- eller distroless-avbilder innehåller färre paket, så färre säkerhetsmeddelanden gäller.
• Bygg om regelbundet. Basavbilder patchas, och en avbild som var ren i mars är inte ren nu.
• Använd flerstegsbyggen. Kompilatorer och byggverktyg ska hållas utanför den slutliga avbilden.
• Lås basavbilder med digest. En tagg kan ändras utan att du märker det, men det kan inte en digest.
• Prioritera. Många fynd saknar åtgärd än så länge eller finns i paket som din applikation aldrig använder. Se så prioriterar du sårbarheter.

Vad en containerskanning inte kan se

• Kompilerad kod. En Go- eller Rust-binär i avbilden har begränsade metadata, och en skanner måste räkna ut vad som ingick.
• Filer utan paketregistrering. Programvara som lagts till med curl eller kopierats in i ett lager har ingen post i en paketdatabas.
• Det som bygget använde och lämnade bakom sig. Flerstegsbyggen kastar verktygen som tog fram avbilden. Om ett av dem var komprometterat står det ingenting om det i den slutliga avbilden.
• Var den kom ifrån. En skanning beskriver avbilden, inte bygget som tog fram den.

Se vad en SBOM för en Docker-avbild missar för en närmare titt, och de bästa SBOM-verktygen för alternativen.

Skanna avbilder och registrera byggen

Skannrar är rätt verktyg för avbilder du inte har byggt, liksom för kluster och konfiguration. För avbilder du själv bygger går CRACI en annan väg. Som din GitHub Actions-runner ser CRACI vad som kommer in i bygget, inklusive basavbilden och dess operativsystemlager, så det registrerar vad som ingick i stället för att räkna ut det i efterhand. Sedan fortsätter CRACI att kontrollera de SBOM:erna när nya sårbarheter publiceras.

CRACI skannar inte avbilder du inte har byggt, kluster, VM-avbilder eller felkonfigurationer. Det gör Trivy, så behåll Trivy för sådant. Se CRACI vs Trivy.

Containerskanning: vanliga frågor

Vad är containerskanning?

Det är processen att granska en containeravbild efter kända sårbarheter, föråldrade paket och riskfylld konfiguration, oftast utan att köra den.

När bör du skanna containeravbilder?

I CI efter att avbilden byggts, och igen i registret när nya säkerhetsmeddelanden dyker upp. Skannar du bara en gång har du en ögonblicksbild som snabbt blir gammal.

Vilken är den bästa gratis containerskannern?

Trivy och Grype är de mest använda gratisalternativen. Båda körs i CI och täcker paket för både operativsystem och applikationer.

Vad är skillnaden mellan avbildsskanning och en SBOM?

En SBOM listar vad som finns i en avbild, medan en skanning kontrollerar innehållet mot kända problem. Många skannrar bygger först en SBOM och matchar den sedan mot säkerhetsmeddelanden.

Varför har min containeravbild så många sårbarheter?

Främst på grund av basavbilden, som för med sig ett operativsystems paket. En mindre basavbild och regelbundna ombyggen tar bort de flesta.

Kan en containerskanner läsa kompilerade binärer?

Delvis. Go- och Rust-binärer kan innehålla vissa metadata om beroenden, men mycket kompilerad kod ger en skanner lite att gå på, så den måste härleda vad som ingick.