Imagens de contêiner podem conter vulnerabilidades, configurações incorretas, arquivos maliciosos e credenciais expostas que passam despercebidas até a produção. A verificação de imagens de contêiner no Security Center detecta esses riscos em imagens do Alibaba Cloud Container Registry (ACR) antes da implantação e fornece comandos de correção com um clique para vulnerabilidades de sistema nas imagens.
Limitações
A verificação de imagens de contêiner é um recurso adicional pago, disponível apenas nas edições Advanced, Enterprise, Ultimate e Value-added Plan. A cobrança ocorre com base na cota de verificação definida, em ciclos mensais. Cada imagem é faturada uma única vez por ciclo de verificação, independentemente da quantidade de verificações nesse período.
Quando usar este recurso
Use a verificação de imagens de contêiner para identificar riscos de segurança em imagens armazenadas no Alibaba Cloud Container Registry (ACR) antes da implantação. Esse recurso abrange duas categorias de verificações: conteúdo da imagem (arquivos internos) e instruções de build (o Dockerfile usado na criação). Compreender essa distinção facilita a interpretação dos resultados e a escolha do caminho adequado de correção.
Escopo da verificação
Verificações de conteúdo da imagem
Essas verificações analisam os arquivos e o ambiente de execução dentro da imagem final construída.
|
Tipo de risco |
O que é detectado |
Correção rápida suportada |
|
Vulnerabilidade de sistema da imagem |
Vulnerabilidades do sistema operacional e de softwares de terceiros |
Sim — corrija usando os comandos e as descrições de impacto fornecidos pelo Security Center |
|
Vulnerabilidade de aplicação da imagem |
Vulnerabilidades em aplicações que podem resultar em acesso não autorizado, injeção de código e ataques de negação de serviço (DoS) |
Não — corrija manualmente seguindo os comandos e as descrições de impacto do Security Center |
|
Risco de linha de base da imagem |
Configurações incorretas em que a imagem não atende às especificações de segurança e às melhores práticas |
Não — corrija manualmente com base nos detalhes da verificação de linha de base do Security Center |
|
Amostra maliciosa de imagem |
Arquivos, códigos e comportamentos maliciosos presentes nas imagens ou durante a execução do contêiner |
Não — corrija manualmente utilizando os caminhos de arquivos maliciosos indicados pelo Security Center |
|
Arquivo sensível na imagem |
Configurações de aplicação com informações sensíveis, chaves de certificados, identidades ou credenciais de login e credenciais de provedores de servidores cloud |
Não — revise as sugestões do Security Center, remova as informações sensíveis e recrie a imagem |
A correção rápida está disponível apenas para vulnerabilidades de sistema da imagem. Para todos os outros tipos de risco, siga as etapas de correção manual descritas nos detalhes do risco. Para mais informações, consulte Handle detected image risks.
Verificações de instruções de build
Essas verificações analisam as instruções do Dockerfile usadas para construir a imagem. Os problemas detectados exigem a atualização do Dockerfile e a reconstrução da imagem.
O Security Center detecta os seguintes riscos em instruções de build:
Comando
MAINTAINERobsoletoNenhum usuário especificado com o comando
USER(a imagem executa como root por padrão)Aplicação executando como usuário root
Uso do comando
ADDDados sensíveis incluídos em variáveis
ENVVerificação de certificado desativada via variável de ambiente
NODE_TLS_REJECT_UNAUTHORIZEDUso de
aptcom o comandoRUNem Dockerfiles
Para corrigir esses problemas, atualize o Dockerfile conforme a descrição de risco fornecida pelo Security Center e, em seguida, reconstrua e envie a imagem.
Regiões suportadas
A verificação de imagens de contêiner funciona com instâncias do ACR nas seguintes regiões.
Área | Regiões suportadas |
China | China (Qingdao), China (Beijing), China (Zhangjiakou), China (Hohhot) e China (Ulanqab) |
China (Shenzhen), China (Heyuan) e China (Guangzhou) | |
China (Hangzhou) e China (Shanghai) | |
China (Chengdu) | |
China (Hong Kong) | |
China (Finance) e China (Ali Gov) | China East 2 Finance, China South 1 Finance, China North 2 Finance e China North 2 Ali Gov 1 |
Fora da China | Japan (Tokyo), South Korea (Seoul), Singapore, Malaysia (Kuala Lumpur), Indonesia (Jakarta), Philippines (Manila) e Thailand (Bangkok) |
Germany (Frankfurt), UK (London), US (Virginia) e US (Silicon Valley) |
Sistemas operacionais suportados
A tabela a seguir lista os sistemas operacionais compatíveis com detecção e correção de riscos.
|
Sistema operacional |
Versões: detecção de riscos |
Versões: correção de riscos |
|
Red Hat |
5, 6, 7 |
Nenhuma |
|
CentOS |
5, 6, 7 |
7, 8 |
|
Ubuntu |
12,04, 14,04, 16,04, 18,04, 18,10 |
14, 16, 18 |
|
Debian |
6, 7, 8, 9, 10 |
9, 10 |
|
Alpine |
2,3, 2,4, 2,5, 2,6, 2,7, 3,1, 3,2, 3,3, 3,4, 3,5, 3,6, 3,7, 3,8, 3,9, 3,10, 3,11, 3,12 |
3,9 |
|
Amazon Linux |
Amazon Linux 2, Amazon Linux AMI |
Nenhuma |
|
Oracle Linux |
5, 6, 7, 8 |
Nenhuma |
|
SUSE Linux Enterprise Server |
5, 6, 7, 8, 9, 10, 10 SP4, 11 SP3, 12 SP2, 12 SP5 |
Nenhuma |
|
Fedora Linux |
2X, 3X |
Nenhuma |
|
openSUSE |
10,0, Leap 15.2, Leap 42.3 |
Nenhuma |
Início rápido
Enable container image scan: Adquira e ative o recurso e defina a cota de Container Image Scan conforme o número de imagens a verificar. A cobrança é baseada nessa cota.
Configure and run image security scans: Configure o escopo de verificação das suas imagens. Execute uma verificação imediata ou programe verificações periódicas.
View and handle detected image risks: Visualize os resultados da verificação e corrija os riscos seguindo as instruções de correção fornecidas.
Próximos passos
Para gerenciamento de vulnerabilidades em servidores, consulte Vulnerability management.
Para resultados de verificação de imagens do Elastic Compute Service (ECS), consulte View image scan results.