コンテナイメージの脆弱性の発見と修正

コンテナ・イメージのスキャンとは、ビルドしたコンテナ・イメージ（Docker イメージなど）をデプロイする前に、セキュリティ上の問題がないかどうかを分析することです。ソースコードと依存関係をスキャンしたとしても、コンテナイメージには、OSパッケージ、ウェブサーバ、OpenSSLなど、脆弱性を持つ可能性のある他のコンポーネントが含まれているかもしれません。要するに、コードスキャンはアプリケーションコードを対象とするが、コンテナスキャンはコードが実行される環境を対象とする。ベース・イメージやシステム・ライブラリに既知の欠陥がある場合、安全なアプリでも侵害される可能性があるため、これは重要なことだ。

そう、Aikidosのコンテナ・スキャナーは、イメージ・レイヤー内のすべてを調べます。コンテナ内のOSパッケージ、ライブラリ、その他のコンポーネントをインベントリ化し、既知のCVEがないか脆弱性データベースと照合します。また、OSパッケージだけにとどまらず、イメージ内の古いソフトウェア、潜在的なマルウェア、さらにはライセンス・リスクにもフラグを立てます。基本的に、イメージ内に脆弱なパッケージがあれば（それがOSレベルのライブラリであれ、イメージに焼き込まれたアプリの依存関係であれ）、Aikido それを検出します。

Aikido 、コンテナ・イメージの自動修正を支援することができる。このプラットフォームにはAI AutoFix機能があり、コンテナのセットアップを提案したり、アップグレードを適用したりすることができます。例えば、パッチを適用したベースイメージを推奨したり、パッケージのバージョンを更新したり、修正PRを生成したりすることができます。実際には、多くのイメージの脆弱性に対して "fix this "ボタンが表示され、問題を修正するためにDockerfileやイメージの設定を調整し、手動でアップグレードする手間を省くことができる。

統合は簡単で、Aikidoコンテナ・スキャンをCI/CDパイプラインのステップとして組み込むことができる（GitHub Actions、GitLab CI、Jenkinsなどのサービス用のプラグインや統合トークンがある）。例えば、Dockerイメージをビルドした後、Aikido 起動してイメージをスキャンし、本番環境にプッシュする前に問題があれば報告してくれる。Aikido 、最小限の手間でパイプラインにプラグインできるように構築されています（そのため、多くのカスタムセットアップをすることなく、初日からイメージのスキャンを開始します）。Kubernetesのワークフローでは、典型的なアプローチは、CI中にイメージをスキャンすることです（それらがクラスタに到達する前に）、またはAikido コンテナレジストリに接続して、デプロイのためにタグ付けされた新しいイメージを自動的にスキャンすることができます。

CI/CDパイプラインで）イメージをビルドする際にスキャンするだけでなく、Aikido 一般的なコンテナレジストリに保存されているイメージを継続的にスキャンすることができます。これにより、イメージがビルドされた後でも、新たに発見された脆弱性が表面化することを保証します。

コンテナ・イメージ内のさまざまな問題を検出します。これには、システム・パッケージやライブラリに含まれる既知の脆弱性CVE、古いソフトウェア・バージョン（耐用年数を過ぎたOSパッケージやランタイムなど）、悪意のある、あるいは侵害されたコンポーネント（マルウェア）、さらにはイメージに存在するオープンソース・ライセンスの問題などが含まれる。言い換えれば、Linuxカーネルの重大な欠陥から、ライセンスが許可されていないライブラリまで、あらゆるものにフラグを立てることができる。その目的は、明らかな "バルン "だけでなく、イメージの中に隠れているすべての関連するリスクを表面化することです。

Aikidoコンテナ・スキャナーは、脆弱性、古いソフトウェア、マルウェアに焦点を当てている。埋め込まれた秘密や誤った設定を直接検出することはない。しかし、Aikido 、シークレット（例えば、ファイルに残されたAWSキー）とミスコンフィギュレーション（IaCスキャンによる）のための別個のスキャナーを含み、コンテナ・スキャンを補完する。そのため、コンテナ・スキャナーがCVEやシステム・レベルのリスクにフラグを立てる一方で、シークレットや設定の問題はAikidoプラットフォーム内の他のツールによって検出される。

Aikido 、問題を自動分類することでノイズを遮断し、アラートによる疲労を軽減します。すべてのCVEをリストアップするTrivyとは異なり、Aikido 実際に悪用可能なものやリスクの高いものにフラグを立てます。Snykと比較して、Aikido SAST、DAST、その他を含む統一されたプラットフォームを提供します。また、ワンクリック修正とプライベート脅威インテルが含まれており、どちらのツールも通常提供するよりも深いカバレッジを提供します。

Aikido 100％エージェントレスです。コンテナ・レジストリから直接、またはCLI/CI統合を介してレイヤーを取得し、イメージをスキャンします。インフラやコンテナ内にインストールするものは何もない。より厳しい環境のために、オンプレミオプションが存在するが、それでもランタイムエージェントは必要ない。

はい。Aikido 、到達可能性分析とコンテキストを考慮した優先順位付けを使用して、ノイズや偽陽性をフィルタリングします。重複する問題をグループ化し、悪用可能なものをハイライトし、環境（本番環境など）などの要因に基づいて重大度を調整します。これにより、最も重要な問題に集中することができます。

Aikido ほとんどの主要なレジストリをサポートしています：Docker Hub、AWS ECR、GCP、Azure、GitHub Packages、GitLab、Quay、JFrog、Harborなどです。クラウドでもオンプレでも、Aikido 最小限のセットアップで安全にコンテナイメージを接続し、スキャンすることができます。