Hardened Images способны сократить количество уязвимостей контейнеров на 95% благодаря минимизации ненужных пакетов. Это важное достижение для разработчиков, так как уменьшает риски, связанные с атаками.
Проблемы стандартных контейнеров
При первом сканировании окружения контейнеров многие команды по безопасности сталкиваются с сотнями известных уязвимостей, большая часть из которых не связана с приложенческим кодом. Основная проблема заключается в том, что стандартные образы включают множество ненужных компонентов — от утилит для отладки до менеджеров пакетов — которые открывают дополнительные возможности для атак.
Например, общий образ на базе Linux может содержать более 400 пакетов, в то время как типичное приложение использует лишь 20-30 из них. Каждый лишний пакет — это потенциальная уязвимость, сигнализирующая о необходимости повышенного внимания со стороны сотрудников безопасности.
Преимущества Hardened Images
Hardened Images представляют собой минимизированные, непрерывно обновляемые образы, содержащие только необходимые компоненты для запуска приложений. Эти образы разрабатываются с учетом требований безопасности, что позволяет исключить до 95% ненужных пакетов, значительно уменьшая атаки на контейнеры. К примеру, в «жестких» образах отсутствуют оболочки и инструменты для отладки, которые могут быть использованы злоумышленниками после первоначального доступа.
Кроме того, Hardened Images включают в себя удостоверяемые метаданные — SBOM (Software Bill of Materials), данные о происхождении сборки и криптографические подписи, что позволяет командам безопасно подтверждать состав образов и их целостность.
Результаты для разработчиков
Для российских разработчиков внедрение Hardened Images в рабочие процессы означает уменьшение издержек на анализ уязвимостей и повысит общую безопасность проектов. Понимание того, что большинство угроз исходит от ненужных пакетов, дает возможность сосредоточиться на критически важных элементах и сократить время на решение проблем.
Следующий шаг для команд — интеграция Hardened Images в существующие CI/CD процессы. Это существенно улучшит безопасность и надежность приложений на базе контейнеров.