Secure your containers without breaking what works

La se­gu­ri­dad en los con­te­ne­do­res en­fren­ta el pro­ble­ma de que las imá­ge­nes es­tán­dar sue­len in­cluir com­po­nen­tes in­ne­ce­sa­rios, tales como pa­que­tes del sis­te­ma ope­ra­ti­vo, he­rra­mien­tas de de­sa­rro­llo y bi­blio­te­cas que nunca se uti­li­zan. Esto am­plía la su­per­fi­cie de ata­que y ge­ne­ra una can­ti­dad de vul­ne­ra­bi­li­da­des que los equi­pos deben in­ves­ti­gar, par­chear o jus­ti­fi­car. Aun­que los es­ca­neos des­cu­bren di­chos pro­ble­mas, no in­di­can qué par­tes del có­di­go eje­cu­ta real­men­te la carga de tra­ba­jo ni ofre­cen un mé­to­do se­gu­ro para eli­mi­nar­las, por lo que his­tó­ri­ca­men­te los de­sa­rro­lla­do­res han to­ma­do de­ci­sio­nes ma­nua­les que re­sul­tan di­fí­ci­les de re­pli­car, es­ca­lar y arries­ga­das si la apli­ca­ción falla tras ser li­be­ra­da.

Para so­lu­cio­nar este in­con­ve­nien­te, se pro­po­ne en­du­re­cer los con­te­ne­do­res ba­sán­do­se en el com­por­ta­mien­to real en lugar de de­pen­der ex­clu­si­va­men­te del aná­li­sis es­tá­ti­co o de las lis­tas de ma­te­ria­les de soft­wa­re. Me­dian­te la ob­ser­va­ción en tiem­po eje­cu­ción es po­si­ble ge­ne­rar un re­gis­tro de los com­po­nen­tes que real­men­te se uti­li­zan, di­fe­ren­cián­do­los del in­ven­ta­rio total ins­ta­la­do. Este en­fo­que se im­ple­men­ta a tra­vés de un pro­ce­so de tres eta­pas: pri­me­ro se per­fi­la la carga de tra­ba­jo bajo con­di­cio­nes re­pre­sen­ta­ti­vas para ob­te­ner una base de re­fe­ren­cia; des­pués se pro­ce­de a eli­mi­nar los ele­men­tos no ob­ser­va­dos según el nivel de ries­go del ser­vi­cio y per­mi­tien­do lis­tas de ex­clu­sión; y fi­nal­men­te se va­li­da la ima­gen en­du­re­ci­da me­dian­te prue­bas fun­cio­na­les y de in­te­gra­ción antes de pro­mo­ver­la.