Güvenlik denetimi, üretim konteynerimizde 47 bilinen zafiyet buldu. 12'si kritikti.

Nasıl oldu:

  • Temel imaj: node:14 (sabitlenmemiş)
  • İmaj 18 ay önce build edilmiş
  • Hiç yeniden build edilmemiş
  • Zafiyet taraması yok
  • Tam Debian tabanı (1,2GB imaj)

CVE dökümü:

  • 12 Kritik (uzaktan kod çalıştırma)
  • 18 Yüksek (yetki yükseltme)
  • 17 Orta
  • Hepsi kullanmadığımız temel imaj paketlerinde

Ne düzelttik:

  • node:22-alpine'e geçtik (1,2GB yerine ~130MB) — Node 22 aktif LTS hattı; şunu not edin: majör Node sürümü atlamak yalnızca bir temel imaj değişikliği değil, gerçek bir migrasyondur (OpenSSL 3, kaldırılan API'ler) ve bize bir sprint'lik test maliyeti çıkardı
  • CI pipeline'ına Trivy taraması ekledik
  • Kritik/yüksek CVE'li deploy'lar bloklanıyor
  • Haftalık otomatik imaj rebuild'leri
  • Temel imaj sürümleri sabitlendi

Sonuç: Tarama anında sıfır kritik/yüksek bulgu ve yaklaşık %90 daha küçük imajlar. Rebuild'ler arasında yeni CVE'ler gelmeye devam ediyor — haftalık rebuild ve CI kapısı tam da bunun için var.

Ders: Konteynerlerinizi taramıyorsanız, zafiyetli olduklarını varsayın. Konteyner imaj hijyeni, SecOps projelerinde ilk uyguladığımız kontrollerden biridir; çünkü ucuz, otomatikleştirilebilir ve gerçek saldırı yüzeyini kapatır.

← Çıkarılan Dersler'e dön

Bu tür olaylar önlenebilir. AWS Yönetilen Hizmetler ekibimiz müşteri ortamlarını yapay zekâ destekli izleme ve nöbetteki kıdemli mühendislerle 7/24 gözetir — böylece bu tür hikâyeler arşivde kalır.

Etiketler: #Docker #Güvenlik #Zafiyetler #Konteynerler