Protegendo Imagens de Registros de Contêineres

Quando Usar

• Ao estabelecer controles de segurança para registros de imagens de contêineres (ECR, ACR, GCR, Docker Hub)
• Ao construir pipelines de CI/CD que aplicam a verificação de vulnerabilidades antes da promoção de imagens
• Ao implementar assinatura e verificação de imagens para prevenir ataques à cadeia de suprimentos
• Ao auditar registros existentes em busca de imagens vulneráveis, não verificadas ou não assinadas
• Quando a conformidade exige uma lista de materiais de software (SBOM) para imagens de contêineres implantadas

Não use para segurança de contêineres em tempo de execução (use Falco ou Sysdig), para controle de admissão do Kubernetes (use OPA Gatekeeper ou Kyverno após estabelecer controles de registro) ou para verificação de vulnerabilidades em nível de host (use Amazon Inspector ou Qualys).

Pré-requisitos

• Trivy instalado (brew install trivy ou apt install trivy)
• Grype instalado (curl -sSfL https://raw.githubusercontent.com/anchore/grype/main/install.sh | sh)
• Cosign instalado para assinatura de imagens (go install github.com/sigstore/cosign/v2/cmd/cosign@latest)
• Syft instalado para geração de SBOM (curl -sSfL https://raw.githubusercontent.com/anchore/syft/main/install.sh | sh)
• Acesso ao registro de contêineres (ECR, ACR, GCR ou registro privado)

Fluxo de Trabalho

Etapa 1: Verificar Imagens em Busca de Vulnerabilidades com Trivy

Execute verificações abrangentes de vulnerabilidades em imagens de contêineres antes e depois de enviá-las para o registro.

# Scan a local image for vulnerabilities
trivy image --severity HIGH,CRITICAL myapp:latest

# Scan a remote registry image
trivy image --severity HIGH,CRITICAL 123456789012.dkr.ecr.us-east-1.amazonaws.com/myapp:latest

# Scan with JSON output for CI/CD processing
trivy image --format json --output trivy-results.json myapp:latest

# Scan for vulnerabilities AND misconfigurations
trivy image --scanners vuln,misconfig,secret myapp:latest

# Scan a specific image with SBOM output
trivy image --format spdx-json --output sbom.json myapp:latest

# Fail CI/CD if critical vulnerabilities found
trivy image --exit-code 1 --severity CRITICAL myapp:latest

Etapa 2: Verificar com Grype para Cobertura Adicional

Use Grype como um scanner complementar para uma cobertura mais ampla de bancos de dados de vulnerabilidades.

# Scan image with Grype
grype myapp:latest

# Scan with severity threshold
grype myapp:latest --fail-on critical

# Output in JSON for processing
grype myapp:latest -o json > grype-results.json

# Scan an SBOM instead of the image directly
syft myapp:latest -o spdx-json > sbom.json
grype sbom:sbom.json

# Scan a directory-based image export
grype dir:/path/to/image-rootfs

Etapa 3: Gerar Lista de Materiais de Software (SBOM)

Crie SBOMs para todas as imagens para manter um inventário de componentes de software e dependências.

# Generate SBOM with Syft in SPDX format
syft myapp:latest -o spdx-json > sbom-spdx.json

# Generate SBOM in CycloneDX format
syft myapp:latest -o cyclonedx-json > sbom-cyclonedx.json

# Attach SBOM to the image as an OCI artifact
cosign attach sbom --sbom sbom-spdx.json \
  123456789012.dkr.ecr.us-east-1.amazonaws.com/myapp:latest

# Verify SBOM contents
syft myapp:latest -o table | head -50

Etapa 4: Assinar Imagens com Cosign e Sigstore

Implemente a assinatura de imagens para garantir a integridade e autenticidade da imagem na cadeia de suprimentos.

# Generate a key pair for signing
cosign generate-key-pair

# Sign an image in the registry
cosign sign --key cosign.key \
  123456789012.dkr.ecr.us-east-1.amazonaws.com/myapp:latest

# Sign using keyless signing with Sigstore (OIDC-based)
cosign sign --yes \
  123456789012.dkr.ecr.us-east-1.amazonaws.com/myapp:latest

# Verify image signature
cosign verify --key cosign.pub \
  123456789012.dkr.ecr.us-east-1.amazonaws.com/myapp:latest

# Verify keyless signature
cosign verify \
  --certificate-identity developer@company.com \
  --certificate-oidc-issuer https://accounts.google.com \
  123456789012.dkr.ecr.us-east-1.amazonaws.com/myapp:latest

# Add attestation with scan results
cosign attest --predicate trivy-results.json \
  --key cosign.key \
  123456789012.dkr.ecr.us-east-1.amazonaws.com/myapp:latest

Etapa 5: Configurar Controles de Segurança em Nível de Registro

Configure recursos de segurança específicos do registro para ECR, ACR e GCR.

# AWS ECR: Habilitar verificação de imagem ao enviar
aws ecr put-image-scanning-configuration \
  --repository-name myapp \
  --image-scanning-configuration scanOnPush=true

# ECR: Definir imutabilidade de tag de imagem (prevenir sobrescrita de tags)
aws ecr put-image-tag-mutability \

…