DeSoft.ru

Приведу ряд полезных инструментов для работы с образами Docker как на этапе подготовки, так и после сборки.

⚒️ Hadolint
Hadolint - статический анализатор или линтер для Dockerfile. Поможет следовать best practices при построении докер файлов. Содержит множество правил и рекомендаций во избежание распространенных ошибок, представляя их в виде предупреждений.
Можно собрать самостоятельно или воспользоваться релизными сборками под разные платформы в виде исполняемого файла. Также существует одноименное расширение для vscode, позволяющее в реальном времени контролировать правильность написания Dockerfile с выводом подсказок.

В качестве примера прогоним через hadolint представленный в предыдущей заметке файл сборки python сервиса.

hadolint Dockerfile

Dockerfile:2 DL3045 warning: `COPY` to a relative destination without `WORKDIR` set.
Dockerfile:4 DL3042 warning: Avoid use of cache directory with pip. Use `pip install --no-cache-dir <package>`

⚒️ Syft
Syft - утилита для генерации SBOMs (Software Bill of Materials) - составляет перечень зависимостей, библиотек и исполняемых файлов с детализацией путей, типов, версий и принадлежности к слою сформированного образа. Полезный источник информации как для первоначальной оценки наполнения полученного образа, так и для последующего аудита в том числе с точки зрения безопасности.

Собираем самостоятельно или забираем актуальный исполняемый файл под целевую платформу.

curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh -s -- -b /usr/local/bin

Формат представления и уровень детализации задаются параметрами запуска. Применим на все том же образе python сервиса с параметрами по умолчанию.

# syft <image id>
syft f47f0179743e
...
   ├── ✔️ Packages                        [135 packages]
   ├── ✔️ File digests                    [3,283 files]
   ├── ✔️ File metadata                   [3,283 locations]
   └── ✔️ Executables                     [814 executables]
apt                     2.6.1                  deb
base-passwd             3.6.1                  deb
bash                    5.2.15-2+b7            deb
certifi                 2024.6.2               python
cryptg                  0.4.0                  python
dpkg                    1.21.22                deb
grep                    3.8-5                  deb
...

⚒️ Dive
Популярное приложение для анализа образов docker - dive. Незаменимая утилита для отладки и проверки корректности наполнения и сборки образов по слоям с детальным отображением происходящего на каждом этапе, исполняемых команд и формируемого контента, а также для оценки эффективности используемого дискового пространства получаемым результатом.

Достаточно воспользоваться подготовленным исполняемым файлом из релизов и заглянуть в парочку образов дабы понять глубину детализации и удобство представления.

dive <image id>

⚒️ SecretScanner
Аналог уже опробованного поисковика утечек секретов в глубинах репозитория Gitleaks в контексте образов - SecretScanner. Ищет, структурирует и записывает забытые конфиденциальные данные в собранном docker образе по более чем 140 заготовленным правилам и типам.

Варианты конфигураций можно посмотреть в документации. Запускается прямо из docker, поэтому сразу пробуем:

docker run -it --rm --name=deepfence-secretscanner -v $(pwd):/home/deepfence/output -v /var/run/docker.sock:/var/run/docker.sock deepfenceio/deepfence_secret_scanner:latest -image-name <target image name> --output json

summary:
  total=15 high=3 medium=3 low=9
   {
      "Image Layer ID": "blobs/sha256/e5d8b619f2cea803c9ccd7dcd6bba9c613f44c1d3c2750e1c21fc92884382fe2",
      "Matched Rule Name": "Username and password in URI",
      "Severity": "high",
      "Severity Score": 7.56,
      "Full File Name": "usr/local/lib/python3.10/site-packages/pip/_vendor/urllib3/util/url.py",
      "Matched Contents": "'http://username:password@host.com:80/path?query#fragment'"
    },
...

#docker

🔥1

138 views08:01