關(guān)于容器鏡像安全，你做對了嗎？ | IDCF

來源：CIO Talk

作者：馬景賀 

一、鏡像的特點(diǎn)

• 復(fù)雜性

• 便捷性

• 混亂性

二、鏡像掃描在SDLC中的位置

1. 開發(fā)人員提交代碼變更；
2. 觸發(fā)一個(gè)構(gòu)建流程；
3. 進(jìn)行鏡像構(gòu)建(docker build)；
4. 鏡像鏡像推送(docker push);
5. 進(jìn)行鏡像掃描(利用鏡像倉庫內(nèi)置掃描工具進(jìn)行);
6. 進(jìn)行鏡像部署(docker run)。

• 掃描滯后

• 不能有效的終止CI/CD流程

• 浪費(fèi)資源

三、鏡像掃描前置

四、容器鏡像安全最佳實(shí)踐

用Anchore對 openjdk:8-jdk-alpine和openjdk:8-jdk進(jìn)行掃描，結(jié)果顯示openjdk:8-jdk有128個(gè)漏洞，而openjdk:8-jdk-alpine卻只有48個(gè)。而且openjdk:8-jdk-alpine的鏡像大小僅為openjdk:8-jdk的三分之一不到。

FROM your_base_image
RUN groupadd -r  devsecops && useradd -r  -g devops devsecops
USER devsecops
......(your other dockerfile steps)

當(dāng)以u(píng)buntu:16.04為基礎(chǔ)鏡像時(shí)，執(zhí)行 "apt-get update && apt-get install vim telnet curl -y"命令和不執(zhí)行此命令的鏡像，其漏洞數(shù)量和鏡像體積都是不一樣的。詳細(xì)對比如下圖。

FROM alpine
RUN apk add busybox-extras

可以看到如下輸出結(jié)果:

/dev/stdin:1 DL3006 Always tag the version of an image explicitly
/dev/stdin:2 DL3018 Pin versions in apk add. Instead of `apk add <package>` use `apk add <package>=<version>`
/dev/stdin:2 DL3019 Use the `--no-cache` switch to avoid the need to use `--update` and remove `/var/cache/apk/*` when done installing packages

結(jié)果提示，基礎(chǔ)鏡像(alpine)應(yīng)該要指定tag(DL3006提示所示)，安裝包時(shí)(apk add) 要指定包(busybox-extras)的版本(DL3018提示所示)。

4.6 不要選取未知來源且沒有維護(hù)的鏡像

當(dāng)選取基礎(chǔ)鏡像時(shí)，不要選取來源未知(不知道這個(gè)鏡像的作者是何方神圣，不知道Dockerfile的內(nèi)容，不知道基礎(chǔ)鏡像的內(nèi)容)、停止維護(hù)(最后一次更新是幾個(gè)月甚至幾年前，這段時(shí)間積累了多少問題，天知道)的鏡像。因?yàn)椴荒艽_定鏡像中包含的內(nèi)容是否是安全的。更不要僅以鏡像被拉取的次數(shù)、Star數(shù)量作為指標(biāo)來決定是否使用鏡像，因?yàn)檫@個(gè)次數(shù)是可以被刷上去的。一定要盡量選取官方的、Dockerfile內(nèi)容明確的，更新頻繁的鏡像，如果沒有符合條件的鏡像，可以嘗試自己制作鏡像。

上述幾點(diǎn)只是構(gòu)建安全、規(guī)范鏡像的一部分手段，本文只是列出來一些重要，而且常見的。其他還有諸如使用鏡像簽名來防止鏡像被篡改、構(gòu)建受信的鏡像倉庫并通過RBAC和黑名單等機(jī)制來對鏡像的拉取和推送等做權(quán)限控制等手段來進(jìn)一步保證鏡像的安全。限于篇幅，本文不再進(jìn)一步深入探討，感興趣的，可以深入進(jìn)行研究。

五、總結(jié)

沒有絕對的安全，也沒有一勞永逸的安全，只有永不止步的行動(dòng)。鏡像掃描只是通過工具幫助我們來發(fā)現(xiàn)安全問題，然后去有目標(biāo)的解決問題，屬于一種治療手段；能夠未雨綢繆，預(yù)防問題的發(fā)生才是最重要的，所以，應(yīng)該養(yǎng)成良好的習(xí)慣：從安全的角度出發(fā)，結(jié)合上述的最佳實(shí)踐，來構(gòu)建安全，規(guī)范的鏡像。以"預(yù)防為主，防治結(jié)合"的方式來進(jìn)一步確保鏡像的安全。

作者：馬景賀

馬景賀，人稱小馬哥，曾做過LTE 4G網(wǎng)絡(luò)協(xié)議開發(fā)，后轉(zhuǎn)向DevOps，對于Cloud Native DevSecOps進(jìn)行布道，喜歡研究docker，kubernetes，istio等Cloud Native相關(guān)技術(shù)，樂于分享，運(yùn)營著DevOps SIG公眾號(hào)。在大連DevOps社區(qū)活動(dòng)上，舉辦DevOps Workshop活動(dòng)。

參考資料

• https://snyk.io/blog/10-docker-image-security-best-practices/

• https://boxboat.com/2020/04/24/image-scanning-tech-compared/

• https://github.com/aquasecurity/trivy

• https://anchore.com/blog/difference-anchore-clair-coreos/

• https://malikashish8.github.io/Docker-Scan-with-Clair/#cicd-integration

• https://github.com/arminc/clair-scanner

• https://livingwithagility.org.uk/security-scanning-in-our-ci-pipeline-with-clair

• https://medium.com/better-programming/scan-your-docker-images-for-vulnerabilities-81d37ae32cb3

• https://github.com/anchore/anchore-cli

• https://0x1.gitlab.io/security/Trivy/

• https://github.com/anchore/

• https://github.com/chaitin/xray

• https://www.stackrox.com/post/2019/09/docker-security-101/

• https://github.com/hadolint/hadolint