Bir konteyner imajı tek bir bütün değil, üst üste yığılmış salt okunur dosya sistemi katmanlarından oluşur; her Dockerfile komutu yeni bir katman ekler. Konteyner görüntüsü katman analizi, bu katmanların her birini ayrı ayrı açıp içindeki paketleri, dosyaları ve değişiklikleri incelemektir. Böylece nihai imajda görünmeyen ama alt katmanda kalan bir riskin de yakalanması amaçlanır.

Bir konteyner imajında silinen dosya gerçekten silinmez; üst katmanda gizlenir ama alt katmanda durmaya devam eder, ve katman analizi tam da bunu görünür kılar.

Neden Katman Katman Bakılır?

Bir katmanda eklenip sonraki katmanda silinen bir dosya, imajdan çalışırken görünmese de imaj arşivinde kalır. Alt katmana yazılmış bir API anahtarı ya da özel sertifika, üstteki bir rm komutuyla saklanabilir ama imajı indiren herkes o katmanı açıp içeriğe ulaşabilir. Katman bazlı inceleme, bu gömülü sırları ve hangi komutun hangi riski eklediğini tam olarak işaret eder; bu da konteyner güvenliği açısından yüzeysel bir taramanın kaçıracağı bulguları ortaya çıkarır.

Analiz Neyi Çıkarır?

İnceleme sırasında her katmandaki işletim sistemi paketleri ve uygulama bağımlılıkları listelenir, sürümleri bilinen zafiyet veritabanlarıyla eşleştirilir. Bu envanter aynı zamanda bir yazılım malzeme listesi üretmenin temelini oluşturur; imajda tam olarak hangi bileşenin hangi sürümünün bulunduğu belgelenir. Bir bağımlılıkta sonradan yeni bir açık duyurulduğunda, hangi imajların etkilendiği bu envanter üzerinden hızla belirlenir.

Tedarik Zinciri Boyutu

İmajlar genelde başka bir taban imajın üzerine kurulur ve o taban imaj da kendi katmanlarını miras verir. Kaynağı doğrulanmamış bir taban imaj, içine yerleştirilmiş zararlı bir bileşenle bir tedarik zinciri saldırısı taşıyabilir. Katman analizi, mirasla gelen bu bileşenleri de kapsadığından, riskin uygulamanın kendi kodundan mı yoksa devraldığı tabandan mı geldiğini ayırt etmeyi mümkün kılar.

• Her katmandaki OS ve uygulama paketlerini bilinen zafiyetlerle eşleştirin.
• Katmanlarda gömülü sır, anahtar ve sertifika kalıntılarını arayın.
• Taban imaj kaynağını ve imza doğruluğunu teyit edin.
• Gereksiz araç ve paketleri ayıklayarak saldırı yüzeyini daraltın.

Sürekli İzleme ve Kurumsal Değer

Katman analizi tek seferlik bir işlem değildir; imaj derleme hattına yerleştirildiğinde ve çalışma zamanında bir bulut iş yükü koruma platformu ile birleştirildiğinde, yeni açıkların hem inşa öncesi hem de üretimdeki imajlarda sürekli izlenmesini sağlar. Böylece bir zafiyet imaj dağıtıldıktan sonra duyurulsa bile etkilenen sürümler geç kalmadan belirlenir.

Privia Security, imaj oluşturma sürecinin ve kayıt defterindeki mevcut imajların katman düzeyinde nasıl denetlendiğini bir altyapı ve mimari gözden geçirme kapsamında değerlendirir.