Ce guide de GitLab explique comment sécuriser les conteneurs à chaque étape de leur cycle de vie grâce à différentes méthodes de container scanning. L’objectif est de détecter les vulnérabilités dès leur apparition, que ce soit lors de la construction de l’image ou en production, afin d’éviter les risques liés aux dépendances externes (OS, bibliothèques, etc.). GitLab propose cinq approches de scanning, dont le pipeline-based Container Scanning, qui analyse les images via Trivy lors des pipelines CI/CD pour bloquer les images vulnérables avant déploiement.
L’article détaille notamment l’activation du pipeline-based Container Scanning, soit via une configuration automatique via une merge request, soit manuellement en ajoutant un template dans le fichier .gitlab-ci.yml. Il est possible de personnaliser le scan en ciblant une image spécifique ou en filtrant les vulnérabilités selon leur gravité (ex. uniquement les vulnérabilités High ou plus). Les résultats s’affichent directement dans les merge requests, avec des détails sur la sévérité, les paquets concernés et les correctifs disponibles.
L'article explore des fonctionnalités avancées de Docker souvent méconnues mais puissantes pour améliorer les workflows DevOps et renforcer la sécurité des déploiements.
-
SBOM et l’analyse avec Trivy : Générez des inventaires de composants logiciels (SBOM) et analysez-les avec Trivy pour détecter les vulnérabilités dans vos images Docker.
-
Multi-architecture avec Docker et Buildx : Créez des images Docker compatibles avec plusieurs architectures (AMD, ARM, etc.) en une seule commande grâce à Docker Buildx.
-
Signature des images Docker avec Sigstore : Signez et vérifiez vos images Docker avec Sigstore et Cosign pour garantir leur intégrité et provenance.
-
OCI Registry et ORAS : Utilisez ORAS pour pousser et récupérer des artefacts OCI sur des registries, au-delà des images Docker, pour une gestion standardisée et sécurisée des artefacts.
Ces fonctionnalités montrent l'évolution de Docker vers une plateforme plus sécurisée et flexible, adaptée aux besoins des environnements DevOps modernes.
Trivy est un outil de scan de sécurité : images de conteneurs, configurations IaC, clusters, etc.
Trivy est un outil d’audit de sécurité tout-en-un pour les conteneurs
Sa dernière version ajoute le scan des clusters Kubernetes
Présentation de Helm-trivy, un outil destiné à détecter les vulnérabilités connues d'images d'un chart helm