سلسلة إمداد صور الحاويات

صور الحاويات ليست مجرد تغليف لشيفرة التطبيق، بل هي عناصر برمجية كاملة تتضمن شيفرة التطبيق، واعتماديات وقت التشغيل الخاصة به، ومكتبات النظام، وأدوات نظام التشغيل، وكامل المكدّس البرمجي للصورة الأساسية. وعندما يسلّم المورّد برمجيات في صورة حاوية، يجب أن يمتد التقييم الأمني إلى كل طبقة من طبقات تلك الصورة: طبقة شيفرة التطبيق، وطبقات الاعتماديات المضافة أثناء عملية البناء، وطبقة الصورة الأساسية التي تشكّل الأساس. والثغرات في مكتبات النظام بالصورة الأساسية هي ثغرات في البرمجيات المسلَّمة، بصرف النظر عن مدى نظافة طبقة شيفرة التطبيق.

مشكلة تقادم الصورة الأساسية هي الإخفاق الأكثر شيوعًا في سلسلة إمداد الحاويات. فالصور الأساسية، وهي طبقات الأساس التي تُبنى منها صور حاويات التطبيقات، تحتوي على حزم ومكتبات نظام تشغيل تتراكم فيها الثغرات بمرور الوقت. والمورّد الذي يبني تطبيقه على صورة أساسية ولا يحدّثها بانتظام يزيد تدريجيًا عدد الثغرات في الحاويات التي يسلّمها. فالصورة الأساسية python:3.9-slim التي مضى عليها أربعة أشهر لها ملف ثغرات مختلف عن الوسم نفسه إذا بُني اليوم، لأن الإعلانات عن الثغرات تتراكم، ولأن الصورة الأساسية تتضمن تحديثات حزم نظام التشغيل عند إعادة بنائها، ولكن فقط إذا أُعيد بناؤها.

يمثل سوء فهم ثبات وسوم الصور مشكلة التهيئة المحددة. فوسوم صور الحاويات، مثل python:3.9-slim وubuntu:22.04، تبدو وكأنها تشير إلى إصدارات ثابتة، لكنها في الواقع مؤشرات قابلة للتغيير قد يحدّثها القائم على صيانة الصورة الأساسية. فالصورة المبنية على python:3.9-slim اليوم قد يختلف تكوينها البرمجي عن صورة مبنية على python:3.9-slim غدًا إذا دفع القائم على صيانة الصورة الأساسية تحديثًا إلى ذلك الوسم. والمورّدون الذين يبنون صورهم على وسوم قابلة للتغيير ولا يعيدون البناء بصورة متكررة قد تكون لديهم صور ذات طبقات أساسية متقادمة، بصرف النظر عن نيتهم استخدام صور حديثة.

لماذا يهم هذا

تكتسب مخاطر سلسلة إمداد صور الحاويات أهمية في TPRM لأن البرمجيات المسلَّمة في حاويات تتضمن المكدّس البرمجي الكامل للمورّد، بما في ذلك مكتبات النظام ومكوّنات نظام التشغيل، لا شيفرة التطبيق فحسب. والمورّد الذي استثمر بكثافة في أمن شيفرة التطبيق مع إهمال حداثة الصورة الأساسية للحاويات قد يسلّم برمجيات تحتوي على ثغرات حرجة على مستوى النظام تتجاوز كل ضمانات أمن التطبيقات التي جمعتها المؤسسة.

• تقييم أمن التطبيق دون تقييم صورة الحاوية
• عدم تقييم عمر الصورة الأساسية وحالة ثغراتها
• ثغرات مكتبات النظام في الحاويات خارج نطاق SCA المعتاد
• عدم تقييم وتيرة إعادة بناء الصور إلى جانب ترقيع التطبيق
• عدم طلب SBOM للحاويات إلى جانب SBOM للتطبيق

كيف تبدو الممارسة الجيدة

تقيّم برامج سلسلة إمداد الحاويات الناضجة ملف الثغرات الكامل للصورة، بما في ذلك طبقات الصورة الأساسية، باستخدام أدوات فحص مخصصة للحاويات، وتطلب قوائم مكوّنات البرمجيات للحاويات إلى جانب قوائمها للتطبيقات، وتشترط إعادة بناء الصور الأساسية بانتظام لتضمين تحديثات حزم نظام التشغيل، وتتتبّع عمر صور الحاويات بوصفه مقياسًا أمنيًا.

• فحص ثغرات صور الحاويات: تقييم جميع الطبقات بما فيها الصورة الأساسية
• SBOM للحاويات بما يشمل مكتبات النظام ومكوّنات الصورة الأساسية
• وتيرة إعادة بناء الصورة الأساسية: كم مرة يُعاد بناء الصور من صورة أساسية محدّثة
• تتبّع عمر الصورة: كم عمر صورة الحاوية قيد التشغيل مقارنةً بآخر إعادة بناء
• صور أساسية خالية من التوزيعة أو مصغّرة تقلّص سطح الهجوم في مكتبات النظام

الأدوات

فحص الحاويات: Trivy وGrype وفحص AWS ECR وGoogle Container Analysis لفحص صور الحاويات على مستوى جميع الطبقات

تقيّم أدوات الفحص المخصصة للحاويات مكدّس طبقات الصورة بالكامل، بما في ذلك مكتبات النظام في الصورة الأساسية، بدلًا من الاكتفاء باعتماديات التطبيق التي تغطيها أدوات SCA المعتادة. وتدعم كل من Trivy وGrype فحص صور الحاويات مع تحليل كامل للطبقات. وبالنسبة لممارسي TPRM، فإن السؤال عما إذا كان المورّدون يفحصون صور حاوياتهم بأدوات تغطي الطبقات كاملة (بدلًا من SCA على مستوى التطبيق فقط) يوفّر سؤالًا محددًا عن أمن الحاويات.

الصورة الأساسية: Google Distroless وChainguard Images لصور أساسية بأدنى سطح هجوم

تقلّص الصور الأساسية الخالية من التوزيعة والمصغّرة، التي لا تحتوي إلا على بيئة تشغيل التطبيق ولا شيء غيرها، سطح الهجوم في مكتبات النظام تقليصًا كبيرًا مقارنةً بالصور الأساسية العامة الغرض. وبالنسبة لممارسي TPRM، فإن السؤال عما إذا كان المورّدون يستخدمون صورًا أساسية خالية من التوزيعة أو مصغّرة يوفّر سؤالًا محددًا عن تقليص سطح الهجوم يعالج مشكلة تراكم الثغرات في الصورة الأساسية.

تحديات الحوكمة

يتمثل تحدي الحوكمة في سلسلة إمداد صور الحاويات في مشكلة انضباط إعادة البناء. فإعادة بناء صور الحاويات بانتظام، لتضمين تحديثات الصورة الأساسية، تتطلب انضباطًا تشغيليًا يتنافس مع استقرار النشر. وقد يقاوم المورّدون إعادة البناء المتكررة لأن كل إعادة بناء تنطوي على مخاطر تراجع محتملة. ويكمن الحل الحوكمي في مسارات إعادة بناء مؤتمتة تُطلقها تحديثات الصورة الأساسية، مقرونة باختبارات تراجع تجعل إعادة البناء المتكررة مستدامة تشغيليًا.

• اطلب نتائج فحص ثغرات صور الحاويات إلى جانب SCA للتطبيق
• اسأل عن وتيرة إعادة بناء الصورة الأساسية: كم مرة يُعاد بناء الصور
• اطلب SBOM للحاويات بما يشمل مكتبات النظام ومكوّنات الصورة الأساسية
• اسأل عن اعتماد الصور الأساسية الخالية من التوزيعة أو المصغّرة
• تتبّع عمر صورة الحاوية بوصفه مؤشرًا على تراكم الثغرات

إذا كنت فريقًا صغيرًا

بالنسبة لأهم برمجيات المورّد المسلَّمة في حاويات، اطلب نتائج الفحص الكاملة لثغرات صور الحاويات من Trivy أو أداة مكافئة تفحص جميع الطبقات. وقارن هذه النتائج بنتائج SCA على مستوى التطبيق التي ربما قدّمها المورّد سابقًا. فالفارق، أي الثغرات الواردة في فحص الحاويات وغير الواردة في SCA للتطبيق، هو التعرض لثغرات مكتبات النظام والصورة الأساسية الذي لم يتناوله تقييم التطبيق. واسأل كم مرة يُعاد بناء صورة الحاوية من الصورة الأساسية الحالية.

• اطلب نتائج فحص الحاويات على مستوى جميع الطبقات للبرمجيات الحرجة المسلَّمة في حاويات
• قارن فحص الحاويات بـSCA للتطبيق لتحديد فارق ثغرات الصورة الأساسية
• اسأل عن وتيرة إعادة بناء الصورة الأساسية
• اطلب SBOM للحاويات بما يشمل مكتبات النظام

ما الذي ينبغي اشتراطه

اسأل مباشرةً:

«بالنسبة لبرمجياتكم المسلَّمة في حاويات، هل تفحصون مكدّس طبقات الصورة بالكامل بما في ذلك مكتبات النظام في الصورة الأساسية، وكم مرة تعيدون بناء صور حاوياتكم من صورة أساسية محدّثة لتضمين تحديثات حزم نظام التشغيل؟»

ما تتوقعه دليلًا

• نتائج فحص صور الحاويات على مستوى جميع الطبقات
• وتيرة إعادة بناء الصورة الأساسية وعمليتها
• SBOM للحاويات بما يشمل مكتبات النظام
• مبررات اختيار الصورة الأساسية: تفضيل الصور الخالية من التوزيعة أو الصور المصغّرة

ينبغي أن يُسأل المورّد الذي يؤكد أمن التطبيق عن أمن صور الحاويات. فـSCA للتطبيق يغطي ما كتبه المورّد. وفحص الحاويات يغطي ما بنى المورّد شيفرته عليه. وكلاهما لازم للبرمجيات المسلَّمة في حاويات.

كيف تُثبت ذلك

• نتائج فحص الحاويات للبرمجيات المسلَّمة
• تقييم حداثة الصورة الأساسية
• مراجعة SBOM للحاويات
• اشتراط أمن الحاويات في تقييم المورّدين

الخلاصة الرئيسية

التطبيق: آمن. الصورة الأساسية للحاوية: متقادمة بأربعة أشهر، و17 ثغرة مسجّلة، واثنتان منها حرجتان لتنفيذ التعليمات البرمجية عن بُعد في glibc. تقييم التطبيق: مكتمل. طبقة الحاوية: لم تُقيَّم. تتضمن صور الحاويات المكدّس البرمجي بأكمله، أي شيفرة التطبيق ومكتبات النظام التي يعمل عليها. ويغطي SCA للتطبيق طبقة الشيفرة. ويغطي فحص الحاويات المكدّس بأكمله. وثغرات مكتبات النظام في الصورة الأساسية هي ثغرات البرمجيات المسلَّمة بصرف النظر عن مدى نظافة شيفرة التطبيق. الصور الخالية من التوزيعة تقلّص السطح. وإعادة البناء المنتظمة تبقيه محدّثًا. والفحص الشامل لجميع الطبقات يجعله مرئيًا.