新闻动态

容器镜像高效安全交付实践

发布时间：

2024-05-17 16:00

随着信息技术的飞速发展，容器技术已逐渐成为企业数字化转型和云计算领域的重要基石。据《Gartner 容器技术成熟度曲线（2023）》中指出，越来越多的企业用户开始将容器技术应用于生产环境；Gartner 预测， 2027 年全球将会有超过 90% 的企业用户将在生产环境中运行容器化应用。

一：镜像是什么？

容器镜像是容器技术带来的一种全新的应用交付形态，它包含运行应用程序所需的所有内容，包括代码、运行时环境、系统工具、系统库以及设置等。值得注意的一点是，大多数应用只需要进行简单的流水线改造，无需增加研发人员额外的学习成本，就能够完成应用自动化交付模式的转变。

新的交付模式和设计极大地简化了应用程序的开发、部署和管理过程。

轻量级与高效：每个镜像只需要自己的应用程序、库和配置，而不需要完整的操作系统副本，这使得容器的启动和停止速度更快，结合流水线和容器编排工具（如Kubernetes）可以实现快速地应用构建和快速地部署和扩展应用程序；
高移植性和一致性：应用程序可以无论是在开发、测试还是生产环境都可以使用同一种方式部署而不会出现依赖和兼容性问题。

二：容器镜像有什么风险

容器技术的高效、敏捷的开发模式和交付模式为企业和个人带来了极大的便捷和效益，同时也带来的新的安全挑战。基于传统模式建设的应用上线检测修复流程已成为企业容器技术安全落地的最大阻力。

安全检测难：容器镜像的构建依赖Dockerfile、基础镜像、第三方组件和库，安全检测需要覆盖镜像的整个供应链；同时容器的高效迭代也导致安全扫描可能需要花费大量时间和资源。
人力成本投入高：容器镜像打包了所有依赖导致基于容器技术的安全修复必须重新构建容器镜像，故修复的方式、方法都有所改变。安全修复正逐渐由安全团队独立转向安全、研发、运维协同完成，对于安全技能较弱的其他团队需增加大量额外学习、修复人力成本投入。
修复效率低：容器镜像可能包含多个层，每个层都可以由不同的开发人员或团队创建，引入的安全风险可能需要多种修复方案。人工排期解决修复镜像风险降极大影响应用敏捷、高效交付。

三：容器镜像高效检测与修复

容器镜像作为容器技术应用执行的基础，不及时解决安全风险很容易成为恶意攻击者进入企业内网的桥梁。为了确保应用镜像能够及时、高效地安全交付，修复镜像风险通常需要考虑以下几个方面：

依赖提前检测：在构建应用镜像之前，对其所依赖的资源，如Dockerfile、基础镜像、第三方组件和库等进行风险检测，以保障构建过程中所使用的依赖资源的可靠性。
镜像实时检测：在镜像构建的不同阶段，例如流水线、制品上传、入库和同步阶段，都需要进行风险检测，以确保能够实时发现镜像所存在的风险。
镜像一键修复：对于容器镜像中存在的漏洞，如系统组件漏洞、依赖库漏洞等，可以通过产品化、自动化、标准化的方式一键式修复来解决和实现容器镜像的安全修复不会影响应用的交付速度。