2. 镜像安全基础：容器镜像的组成与生命周期、常见镜像安全威胁与安全原则

2.1 容器镜像的组成与生命周期

容器镜像是云原生应用交付的核心单元，理解其组成与生命周期是实施镜像安全策略的前提。

2.1.1 镜像的物理组成

一个容器镜像由多层只读文件系统叠加而成，每一层对应 Dockerfile 中的一条指令。镜像的元数据（如 CMD、ENTRYPOINT、环境变量）存储在 JSON 格式的 Manifest 中，并通过摘要（Digest）进行唯一标识。

2.1.2 镜像生命周期阶段

镜像安全必须覆盖从构建到运行的全生命周期，每个阶段都有对应的安全控制点。

2.2 常见镜像安全威胁

镜像安全威胁贯穿整个生命周期，主要分为以下三大类：

2.2.1 漏洞（Vulnerabilities）

操作系统包（apt/yum/apk）和语言依赖库（pip/npm/maven）中的已知 CVE 是镜像中最普遍的安全问题。攻击者利用这些漏洞可实现远程代码执行、权限提升或数据泄露。

2.2.2 恶意软件（Malware）

攻击者通过以下方式将恶意代码植入镜像：

• 基础镜像投毒： 在公共仓库上传包含后门的基础镜像（如伪装成流行库的 typo-squatting 攻击）。
• 依赖包劫持： 通过恶意 npm/pip 包在构建阶段执行挖矿、反弹 shell 等行为。
• 构建时注入： 利用 CI/CD 流水线漏洞在构建过程中注入恶意层。

2.2.3 配置泄露（Configuration Leakage）

镜像层是持久化的，即使后续层删除了文件，前一层仍保留副本。常见泄露类型：

2.3 镜像安全原则

基于上述威胁模型，业界总结出以下核心安全原则：

2.3.1 最小化原则（Minimalism）

• 使用最小基础镜像（如 alpine、distroless、scratch）减少攻击面。
• 仅安装运行时必需的依赖，移除构建工具、调试工具和 shell。
• 多阶段构建（Multi-stage Build）分离构建环境与运行环境。

2.3.2 不可变原则（Immutability）

• 镜像构建后不应修改，每次变更应生成新镜像并更新摘要。
• 使用内容寻址存储（Content-Addressable Storage），通过 Digest 而非 Tag 引用镜像。
• 启用镜像签名（如 Cosign、Notation）确保镜像来源可信。

2.3.3 扫描与修复原则（Scan & Remediate）

• 在构建阶段和存储阶段均执行自动化漏洞扫描。
• 建立漏洞修复 SLA：Critical 漏洞 24 小时内修复，High 漏洞 7 天内修复。
• 使用基础镜像自动更新流水线（如 Renovate、Dependabot）保持基础镜像最新。

2.3.4 运行时防御原则（Runtime Defense）

• 禁止容器以 root 用户运行，使用 USER 指令指定非特权用户。
• 设置文件系统为只读（readOnlyRootFilesystem: true）。
• 限制 Linux Capabilities，移除 SETUID、SETGID、SYS_ADMIN 等危险能力。

2.3.5 供应链验证原则（Supply Chain Verification）

• 使用软件物料清单（SBOM）记录镜像中所有组件及其版本。
• 验证基础镜像和依赖包的签名与完整性。
• 建立可信镜像仓库白名单，禁止从不可信源拉取镜像。

2.4 镜像安全实践清单

以下清单可作为团队实施镜像安全基线的最低要求：