Obraz NGINX z 274 podatnościami. RBOM pokazuje, które składniki naprawdę działają

Standardowy obraz kontenera NGINX ma od razu po pobraniu 274 skatalogowane podatności. Help Net Security opisuje sposób na zmniejszenie tej liczby bez psucia aplikacji: runtime bill of materials (RBOM). Obraz często zawiera pakiety systemowe, narzędzia deweloperskie, narzędzia do debugowania i biblioteki, których aplikacja nigdy nie używa. Każdy taki składnik poszerza powierzchnię ataku. Dokłada też podatności, które trzeba sprawdzić, załatać albo wyjaśnić podczas audytu.

Kogo dotyczy

Zespołów, które uruchamiają aplikacje w kontenerach i skanują obrazy. Według materiału ręczne przeglądanie obrazów i decydowanie, które pakiety usunąć, trudno skalować i powtórzyć, gdy zmieniają się ludzie. Przy obrazie trafiającym do produkcji jest to ryzykowne.

Co zrobić

Zestawić SBOM, który opisuje wszystko, co zainstalowano w obrazie, z RBOM, który zapisuje składniki faktycznie użyte przez działający kontener. Na tej podstawie usuwać z obrazu to, czego aplikacja nie wykonuje. SBOM zostaje do inwentaryzacji i wymogów zgodności.