Skip to main content

​
Übersicht

  • Funktion: Container-Image-Scanning erkennt bekannte Schwachstellen in den von Ihrem Projekt verwendeten Container-Images. Dazu gehören Schwachstellen in Paketen des Basisbetriebssystems, Systembibliotheken und Anwendungspaketen in den Image-Layern. Wenn Sie Images vor dem Deployment scannen, erkennen Sie Sicherheitsrisiken in containerisierten Anwendungen frühzeitig.
  • Zielgruppe: Security-Teams, Entwickler und DevOps Engineers, die containerisierte Anwendungen bereitstellen und die aus Basis-Images übernommenen Schwachstellen nachvollziehen möchten.

​
So funktioniert es

Corgea erkennt automatisch die in Ihrem Projekt referenzierten Container-Images und gleicht jedes Image mit bekannten Schwachstellendatenbanken ab.
1

Erkennung von Images

Corgea durchsucht Ihr Projekt nach Dockerfile- und Docker-Compose-Dateien und extrahiert die darin enthaltenen Image-Referenzen:
  • Dockerfiles: Basis-Images, die mit FROM deklariert sind (zum Beispiel FROM python:3.11-slim)
  • Docker Compose: Images, die für jeden Service unter image: deklariert sind (zum Beispiel image: postgres:15)
Doppelte Images werden zusammengeführt und der jeweils referenzierenden Datei zugeordnet.
2

Image-Analyse

Jedes Image wird abgerufen und seine Layer werden analysiert, um ein Inventar der installierten Software zu erstellen. Dazu gehören Betriebssystem- und Distributionspakete (Debian, Ubuntu, Alpine und weitere) sowie im Image installierte Anwendungspakete.
3

Abgleich von Schwachstellen

Die entdeckten Pakete werden gegen bekannte Schwachstellendatenbanken abgeglichen, und alle Übereinstimmungen werden zusammen mit Ihren anderen Scan-Ergebnissen gemeldet.

​
Unterstützte Registries

Corgea scannt Images, die in öffentlichen Registries gehostet werden:
  • Docker Hub
  • GitHub Container Registry (GHCR)
  • Google Container Registry (GCR)
  • Quay.io
  • Microsoft Container Registry (MCR)
  • Amazon ECR Public
  • GitLab Container Registry
Container-Image-Scanning wird automatisch aktiviert, sobald Corgea Docker-Dateien in Ihrem Projekt erkennt. Eine Konfiguration ist nicht erforderlich.

​
Einschränkungen

  • Nur öffentliche Registries: Images in privaten Registries werden übersprungen.
  • Maximale Image-Größe: Images über 1000 MB (1 GB) werden übersprungen.
  • Es werden nur Images erkannt, die in Dockerfile- oder Docker-Compose-Dateien referenziert sind.

​
Best Practices

Verwenden Sie spezifische Image-Tags (zum Beispiel python:3.11.5-slim) anstelle von latest für konsistente, reproduzierbare Scannergebnisse.
  • Spezifische Tags verwenden: Vermeiden Sie latest-Tags; fixieren Sie genaue Versionen, damit Scans reproduzierbar sind.
  • Minimale Basis-Images bevorzugen: Verwenden Sie Slim-, Alpine- oder Distroless-Varianten, um die Angriffsfläche zu reduzieren.
  • Regelmäßige Updates: Halten Sie Basis-Images auf dem neuesten Stand, um Sicherheitsupdates zu übernehmen.
  • Multi-Stage-Builds: Minimieren Sie die Größe des finalen Images und die Anzahl der enthaltenen Pakete.

​
Verwandt