Docker

[Docker]#22 도커 보안 - 이미지 스캔 및 취약점 발견하는 방법

TitediosKW 2024. 9. 5. 19:00

도커 보안에서 이미지 보안은 중요한 주제입니다. 현대 DevOps와 클라우드 환경에서 도커 이미지가 서비스나 애플리케이션의 근간이 되기 때문입니다. 이 글에서는 도커 이미지 보안의 중요성, 취약점이 존재할 수 있는 위치, 보안을 강화하기 위한 모범 사례, 그리고 이미지 스캔 도구들에 대해 다루도록 하겠습니다.

도커 이미지 보안의 중요성

도커 이미지는 컨테이너화된 애플리케이션의 청사진과 같은 역할을 합니다. 이미지를 기반으로 컨테이너가 생성되며, 이 컨테이너는 프로덕션 환경에서 실행됩니다. 따라서 이미지가 안전하지 않으면, 컨테이너도 안전하지 않게 됩니다. 악의적인 코드나 취약점이 이미지에 포함되어 있다면, 이는 시스템 전체의 보안을 위협할 수 있습니다.

도커 이미지에서 취약점이 존재할 수 있는 위치

도커 이미지의 여러 구성 요소는 각각 잠재적인 보안 취약점을 가질 수 있습니다:

기본 이미지(Base Image): 많은 이미지는 다른 이미지(보통 운영체제 이미지)를 기반으로 합니다. 이러한 이미지가 최신이 아니거나 보안 패치가 적용되지 않았다면 취약점이 있을 수 있습니다. 따라서, 기반이 되는 이미지에 대해 항상 업데이트를 하도록 하는 것이 좋습니다.
애플리케이션 코드: 이미지는 보통 애플리케이션 코드를 포함합니다. 코드 자체에 보안 취약점이 있을 수 있습니다. 코드 취약점 분석을 통해 여러분이 만든 코드에 문제가 발생하지 않도록 주의해 주세요 ㅎㅎ.
서드 파티 라이브러리: 이미지에는 애플리케이션이 의존하는 여러 서드 파티 라이브러리가 포함될 수 있습니다. 이러한 라이브러리가 최신이 아니거나 보안 취약점을 포함하고 있을 가능성이 있습니다.
설정 및 환경 변수: 잘못된 설정이나 노출된 환경 변수도 보안 위험을 초래할 수 있습니다.

도커 이미지 보안을 강화하기 위한 모범 사례

신뢰할 수 있는 기본 이미지 사용: 공식 도커 허브(Docker Hub)나 신뢰할 수 있는 소스에서 제공하는 이미지를 사용하고, 불필요한 소프트웨어 패키지를 제거하여 공격 표면을 줄이십시오.
최소 권한 원칙: 이미지를 구성할 때 최소한의 권한만 부여되도록 설정하십시오. 예를 들어, 컨테이너가 루트 권한으로 실행되지 않도록 해야 합니다.
이미지 크기 최소화: 이미지를 작게 유지하면 공격 표면을 줄이고, 취약점이 포함될 가능성을 낮출 수 있습니다. 이를 위해, 멀티스테이지 빌드를 사용해 불필요한 빌드 도구를 최종 이미지에 포함시키지 않도록 합니다.
환경 변수 보호: 중요한 정보(예: 비밀번호, API 키)를 환경 변수에 저장할 때, 이를 안전하게 보호하고 노출되지 않도록 해야 합니다. 가능하면 시크릿 관리 도구를 사용하십시오.
정기적인 업데이트: 도커 이미지를 정기적으로 업데이트하고, 최신 보안 패치가 적용되었는지 확인하십시오.

도커 이미지 스캔 도구

이미지의 보안을 강화하기 위해서는 이미지 스캔 도구를 사용하는 것이 필수적입니다. 아래는 몇 가지 많이 사용하는 도커 이미지 스캔 도구입니다:

Clair: Clair는 CoreOS에서 개발한 오픈소스 이미지 스캐너로, 이미지 내의 취약점을 탐지하는 데 특화되어 있습니다. Clair는 이미지의 레이어를 분석하고, 알려진 취약점과 비교하여 보고합니다.
Trivy: Trivy는 컨테이너 이미지와 파일 시스템을 대상으로 취약점을 스캔하는 경량 도구입니다. Trivy는 이미지 생성 시 CI/CD 파이프라인에 쉽게 통합될 수 있습니다.
Anchore Engine: Anchore는 도커 이미지를 분석하고, 보안 정책을 기반으로 이미지를 평가하는 도구입니다. Anchore는 CLI와 API를 통해 사용 가능하며, CI/CD 파이프라인에 통합할 수 있습니다.
Docker 자체 도구: 도커도 자체적인 이미지 보안 도구인 Docker Security Scanning을 제공합니다. 이는 이미지를 스캔하고, 취약점이 발견되면 알림을 제공합니다.

도커 이미지 스캔 도구 사례: Trivy

trivy image python:3.4-alpine

대표적인 스캔 도구로 Trivy를 사용하는 에시를 보여드리겠습니다. Trivy를 이용해 python:3.4-alpine 이미지를 스캔해 보겠습니다. 이미지를 스캔하면 이미지에 포함된 의존성과 함께 CVE 보안 취약점이 함께 보입니다. 또한 그 등급을 나누어 표시합니다. 이런 스캔 과정을 통해 여러분이 만든 이미지에 대한 취약점을 파악할 수 있으며 취약점을 해결할 수도 있습니다.

결론

도커 이미지는 컨테이너화된 애플리케이션의 기초이며, 이러한 이미지의 보안을 유지하는 것은 전체 시스템의 보안을 보장하는 데 필수적입니다. 앞서 설명드린 보안 원칙이나 모범 사례들을 잘 지키고 이미지 스캔 도구를 사용하여 정기적으로 이미지를 검사하는 것이 중요합니다. 이러한 접근 방식을 통해 도커 이미지를 안전하게 유지하고, 프로덕션 환경(운영환경)에서의 보안 위협을 최소화할 수 있습니다.

이 글이 도커 이미지 보안 및 스캔에 대해 이해하는 데 도움이 되었기를 바랍니다. 보안은 지속적인 과정이며, 정기적인 점검과 업데이트가 필요하다는 점을 반드시 기억해주시면 좋겠습니다.

도움이 되셨다면 공감 부탁드리겠습니다. 여러분의 공감이 정말 큰 힘이 됩니다.

감사합니다!