Сканирование контейнерных образов без автоматизации — это окно для CVE в production

Сканирование контейнерных образов без автоматизации — это окно для CVE в production

При ручной проверке уязвимости живут дольше, чем сам образ. Для конвейера безопаснее строить сканирование как обязательный gate: образ собран — анализ зависимостей и пакетов, есть критические CVE — публикация блокируется, артефакт помечается как небезопасный.

Практически это упирается в три уровня контроля:
— скан базы образа, а не только application layer;
— проверка транзитивных зависимостей и системных пакетов;
— сопоставление находок с политикой допуска, а не с субъективной оценкой инженера.

Не ограничивайтесь одним источником сигнатур. Важно учитывать ложные срабатывания, исключения по пути сборки и контекст использования пакета. Уязвимость в библиотеке без экспонирования по сети и CVE в web-фреймворке на публичном endpoint — это разные классы риска, и правила должны это различать.

Лучше всего работает модель, где сканер запускается на этапе CI, результаты сохраняются как артефакт, а политика допуска живет отдельно от сборки. Так вы получаете повторяемость, аудит и возможность быстро понять, почему конкретный образ не прошел контроль. Проверяйте логи, истина всегда скрыта в них.