Сканирование образов контейнеров
Простыми словами
Проверка помогает заметить устаревшую библиотеку или случайно включённый ключ до запуска приложения. Отчёт показывает найденные признаки, но не выдаёт гарантию, что приложение безопасно.
Как применяется
Сканирование включают в сборку, публикацию и периодическую перепроверку образов. Решение о блокировке учитывает исправленную версию, применимость находки и условия эксплуатации. Образ, прошедший проверку вчера, может получить новую известную уязвимость без изменения своего содержимого.
Пример применения
В CI собирают образ приложения и сканируют его по digest. Отчёт показывает уязвимый пакет базовой ОС. Команда обновляет базовый образ, пересобирает приложение и повторяет тесты. В рабочую среду продвигают именно проверенный digest, а не подвижный тег latest.
Не путать с
- SASTАнализирует исходный код; сканер образа исследует уже собранный артефакт.
- Защита контейнера при исполненииНаблюдает работающую нагрузку; статический отчёт образа не видит её текущие действия.
- SBOMПеречень компонентов, полезный для анализа, но не сам результат поиска уязвимостей.
Как это работает
- Зафиксировать образВыбирают digest и доступный сканеру артефакт, а не неопределённую будущую сборку.
- Проанализировать составСканер определяет пакеты и выполняет включённые проверки.
- Оценить находкиРазбирают серьёзность, применимость, исправления и риск раскрытых секретов.
- Пересобрать и перепроверитьИсправляют источник проблемы и подтверждают результат новой проверкой.
Продолжить изучение
Связанные термины
Частые вопросы
Нет. Скрывшиеся компоненты, неизвестные уязвимости и ошибки бизнес-логики могут не обнаруживаться.
Нужно сканировать повторно?Да: сведения об уязвимостях меняются, даже если образ остаётся прежним.
Найденный секрет достаточно удалить?Нет. Его также заменяют или отзывают: значение уже могло быть доступно получателям образа.