Pourquoi les Golden Images sont encore importantes et comment les sécuriser avec Chainguard

Les images dorées (pour une utilisation sur site) et les VM dorées (pour les plateformes d'informatique en nuage telles que AWS ou Microsoft Azure) contribuent à réduire les vulnérabilités en matière de sécurité et à rationaliser les flux de travail. Cependant, les programmes traditionnels de création d'images dorées entraînent des difficultés et des retards inutiles, et ils ont acquis une mauvaise réputation. Chainguard est une alternative robuste aux images dorées maison qui permet de gagner du temps, d'améliorer la qualité et de réduire les risques de sécurité.

Qu'est-ce qu'une image dorée ?

Une image dorée (également appelée "image universelle", "image maître", "image de base", "image personnalisée" ou "modèle") est une copie gérée bit à bit d'une machine virtuelle ou d'un conteneur logiciel. Les images d'or sont utilisées pour provisionner l'infrastructure du système, y compris les versions de Microsoft, Linux et d'autres systèmes d'exploitation, et comme support pour les applications nouvelles et existantes. Elles fournissent une infrastructure vérifiée à laquelle les équipes peuvent faire confiance, réduisant ainsi les risques tout en accélérant le développement.

À mesure que les équipes s'efforcent d'automatiser les pipelines logiciels, les images dorées deviennent encore plus importantes. Elles prennent en charge un pipeline DevOps moderne et répondent aux besoins de rapidité et de prévisibilité des développeurs, ainsi qu'aux exigences de l'équipe de sécurité en matière d'infrastructure vérifiée et conforme aux politiques.

Cependant, les efforts internes pour créer, gérer, maintenir et prendre en charge les images dorées souhaitées peuvent devenir lourds, plutôt que bénéfiques. Dans cet article, nous décrivons l'importance des programmes d'images dorées bien gérés, et comment Chainguard joue un rôle vital dans le soutien à la distribution et au développement de logiciels libres.

Pourquoi les programmes d'images dorées sont essentiels pour les organisations logicielles modernes

Un programme d'images dorées robuste est essentiel pour le développement et la distribution de logiciels modernes. Dans un programme bien géré, chaque image dorée est continuellement reconstruite, corrigée si nécessaire, signée, scannée et versionnée. Chaque image comprend une nomenclature logicielle (SBOM) et des attestations, qui sont révoquées lorsque des vulnérabilités sont découvertes.

Il est important d'automatiser le processus. Suivez les lignes directrices suivantes pour créer vos modèles :

• Comprenez ce que votre programme doit fournir. Ajoutez une valeur supplémentaire en servant de catalogue central d'images de base minimales signées et renforcées. Incluez la provenance (telle que SLSA ou in-toto) et prenez en charge un système d'exploitation ciblé, tel que Microsoft, toute API prédéfinie et/ou des environnements en nuage, tels qu'AWS.

• En faire un accélérateur de conformité. Prendre en charge les caractéristiques spécifiques des images maîtres sécurisées, y compris la cryptographie validée par FIPS, le renforcement STIG et la remédiation CVE continue, pour les contrôles communs dans les cadres tels que les normes ISO, NIST 800-53 ou CMMC ; inclure des étapes telles que la vérification antivirus.

• Utiliser une approche moderne. Suivre des principes clés tels que ceux décrits dans le guide des meilleures pratiques Golden Image de Chainguard. Ces principes définissent des objectifs dans les domaines du personnel, des processus et de la technologie.

Le problème avec les programmes d'image d'or traditionnels

De nombreux processus d'image d'or sont mal définis, voire pas définis du tout ; quelques personnes font le travail pendant leur temps libre, avec des résultats prévisibles et imprévisibles. Cette approche courante, mais problématique, est appelée le "piège de l'image d'or"

Les programmes d'image d'or doivent évoluer pour répondre aux besoins des environnements conteneurisés modernes et en constante évolution. Voici quelques principes de base à garder à l'esprit :

• La solidité de votre image dorée dépend de sa chaîne d'approvisionnement. Une chaîne d'approvisionnement de création d'image faible permet à l'erreur humaine de s'infiltrer. Appliquez les correctifs de sécurité dès le départ. Utilisez des signatures cryptographiques pour protéger chaque composant.

• Une image minimaliste est une image sûre. Une version minimale comporte moins de CVE potentiels, ce qui signifie moins de bruit pour les scanners de sécurité, des temps de construction et d'analyse plus rapides et des pistes d'audit simplifiées. Évitez les gestionnaires de paquets ou les shells inutiles.

• Privilégier l'élimination des vulnérabilités plutôt que leur gestion. Adopter une approche de confiance zéro, où l'image dorée est exempte de vulnérabilités connues. Supprimer la surcharge opérationnelle d'un cycle typique de "scan et patch".

Le piège de l'image dorée en action

Pour voir comment le "piège de l'image dorée" affecte de nombreuses organisations, suivons l'équipe d'EasyCoderz.ai, une startup technologique fictive, tout au long d'un processus de construction typique :

• Pré-construction. Les EasyCoders sont à l'affût des changements et des CVE lorsqu'ils en ont le temps. Ensuite, l'approche du lancement d'un nouveau produit entraîne une demande d'image personnalisée pour construire le nouveau produit.

• Construire. Les membres de l'équipe rassemblent les versions récentes des composants logiciels et les correctifs correspondants. Ils créent ensuite une version avec ces composants, que l'équipe chargée du produit prend en charge et commence à l'utiliser.

• Harden. Les membres de l'équipe examinent le projet et prennent les mesures prescrites pour s'assurer qu'il est à jour, sûr, fiable et bien documenté, même si de nouvelles CVE apparaissent.

• Test. Les membres de l'équipe effectuent des tests standard et ad hoc pour mettre l'accent sur les domaines de préoccupation connus. Ils modifient la construction pour qu'elle passe les tests de vulnérabilité, mais n'ont pas le temps de rechercher les causes profondes des échecs des tests.

• Déployer. La nouvelle image donne lieu à plusieurs rapports de problèmes, ce qui entraîne un plus grand nombre de cycles dans les phases de "durcissement" et de "test".

• Négligence. Le produit est lancé avec plusieurs semaines de retard en raison d'allers-retours sur les images dorées. L'équipe reporte le travail sur l'image dorée pour rattraper les tâches reportées et se déstresser.

Le cycle recommence à la prochaine demande urgente.

Le rôle de Chainguard

Se familiariser avec les exigences d'une approche véritablement actualisée de la gestion des images d'or, avec les exigences qui doivent être satisfaites pour assurer le succès opérationnel, soutenir un environnement opérationnel sécurisé et garantir l'auditabilité, est un processus ardu et sujet aux erreurs.

Chainguard est une solution qui élimine le labeur, la confusion et les problèmes de sécurité liés à la gestion de l'image en or.

Les équipes d'ingénieurs modernes utilisent Chainguard Containers et Chainguard VMs pour obtenir une base minimale, sécurisée, zéro-CVE, sans le travail répétitif de construction, de correction, de vérification et de re-vérification des images. Chainguard fournit des reconstructions quotidiennes et un calendrier de correctifs soutenu par un accord de niveau de service, transformant la gestion des images en un service fiable.

Pour l'infrastructure en nuage, les VM de Chainguard offrent les mêmes avantages. Les VM Chainguard sont des images de système d'exploitation renforcées, conçues pour des charges de travail sécurisées et conteneurisées dans des environnements réglementés.

Cette approche sécurisée par défaut aide les clients à accélérer les objectifs de conformité tels que FedRAMP, SOC2 et CMMC, libérant ainsi les ingénieurs pour qu'ils se concentrent sur l'innovation.

Pour en savoir plus, regardez l'enregistrement de notre webinaire Golden Images. Téléchargez notre guide des meilleures pratiques Golden Image pour en savoir plus sur la manière de faire évoluer vos pipelines d'images dorées.

FAQs

Comment créer une image dorée sécurisée ?

La création d'une image dorée sécurisée comporte cinq étapes : identifier uniquement les logiciels dont vous avez absolument besoin pour créer une image minimaliste ; créer une version avec des versions à jour des logiciels sélectionnés ; durcir la version afin qu'elle respecte les normes de conformité applicables telles que NIST, PCI DSS ou HIPAA ; tester la version durcie ; et utiliser des techniques de sécurité telles que les signatures cryptographiques pour protéger l'image dorée contre les altérations.

Quelle est la différence entre une image dorée et une image de conteneur ?

Une image de conteneur est simplement une copie spécifique au bit d'un conteneur. Une image dorée doit passer par de nombreuses étapes supplémentaires pour s'assurer que le résultat final est minimal, sécurisé, bien documenté, entre autres qualités importantes. Le simple fait d'utiliser une image de conteneur comme image dorée présente de nombreux risques.

Pourquoi les images dorées deviennent-elles risquées avec le temps ?

Les images dorées deviennent risquées au fil du temps parce qu'elles sont en retard sur les mises à jour de sécurité et de fonctionnalités et qu'elles imposent une charge de travail croissante aux équipes de sécurité, qui doivent consacrer du temps et des efforts supplémentaires à la mise à jour de l'image. Ces problèmes graves nécessitent des mises à jour fréquentes de chaque image dorée afin de garantir que les nouveaux logiciels basés sur l'image dorée puissent être sécurisés, dotés de toutes les fonctionnalités et achevés en temps voulu.

Ai-je encore besoin d'images dorées si j'utilise l'infrastructure en tant que code (IaC) ?

Oui. La nécessité d'utiliser des images dorées ou des machines virtuelles dorées pour l'infrastructure en tant que code (IaC) est tout aussi forte que pour les autres logiciels, si ce n'est plus. L'infrastructure du système, sous quelque forme que ce soit, prend en charge une gamme infinie de fonctionnalités importantes. Lorsque des problèmes apparaissent dans l'infrastructure, ils peuvent avoir un impact important et sont souvent très difficiles à trouver. L'IaC a donc besoin d'images d'or de la plus haute qualité pour aider les équipes de mise en œuvre à fournir un résultat sûr, riche en fonctionnalités et fiable.

Que doit contenir une image dorée moderne ?

Le moins possible. Les images dorées minimalistes, qui ne contiennent que les éléments logiciels nécessaires à un projet d'infrastructure ou à une application spécifique, sont plus faciles à sécuriser et à tester, ont moins de chances de contenir des bogues et présentent une surface d'attaque plus petite pour de futurs problèmes de sécurité.

Comment Chainguard peut aider à la gestion des images dorées ?

Chainguard fournit des Conteneurs Chainguard et des VM Chainguard : des images dorées pré-construites, à jour, zéro-CVE, modernes qui éliminent le travail et les soucis associés à la production d'images dorées en interne. Les images dorées Chainguard aident les organisations à fournir des logiciels sécurisés et fiables dans des délais et des coûts prévisibles.