Para empezarConstruir una imagen Docker que funciona no significa que sea segura; la mayoría arrastra vulnerabilidades críticas desde la primera línea.
El peligro invisible en imágenes base
Más del sesenta por ciento de las imágenes oficiales de Docker Hub contienen vulnerabilidades críticas conocidas. Descargar una imagen base desactualizada es como dejar la puerta principal de tu servidor abierta de par en par desde el día uno de desarrollo.
¿Qué es el análisis de contenedores?
El escaneo de vulnerabilidades en contenedores es el proceso automatizado de inspeccionar las capas estáticas de una imagen Docker, comparando los paquetes instalados y versiones de software contra bases de datos públicas de exploits y CVEs conocidos.
Fases del escaneo de imágenes
Para realizar una auditoría efectiva en tus entornos de laboratorio, debes seguir una metodología estructurada que extraiga el inventario completo de software.
Marca cada paso al entenderlo · 0/4
Escaneando con Trivy
Utilizamos Trivy, uno de los analizadores más potentes y rápidos para contenedores, para detectar fallos de seguridad en una imagen local antes de subirla a cualquier registro público o privado.
$ trivy image --severity HIGH,CRITICAL mi-app:latest
2023-10-25T12:00:00Z INFO [vuln] Vulnerability scanning is enabled
Total: 2 (HIGH: 1, CRITICAL: 1)
Library: openssl
Vulnerability: CVE-2023-0286
Severity: CRITICAL
Cuidado con los falsos positivos
No todas las vulnerabilidades reportadas por los escáneres afectan a tu aplicación en ejecución. Muchas veces el paquete vulnerable forma parte de la capa base pero nunca es invocado por tu código. Analiza el contexto antes de bloquear un despliegue.
Mitigación y remediación
Identificar el fallo es solo el primer paso. La solución definitiva implica actualizar la imagen base a su versión más reciente, eliminar paquetes huérfanos del sistema que no se utilicen y reconstruir el contenedor desde cero.
¿Te acuerdas? Toca para comprobarlo
Atajos: ← → para cambiar de pieza · / para buscar