2、镜像安全基础：容器镜像安全风险分析、常见漏洞类型与CVE评分
容器镜像并非不可变的安全制品。从基础操作系统层到应用依赖库，每一层都可能引入安全风险。理解镜像的威胁模型、漏洞分类与评分机制，是实施镜像安全策略的第一步。本节将系统梳理镜像安全的核心概念，帮助你在后续的冷启动削峰与Helm部署中建立安全基线。
2.1 容器镜像安全风险全景
一个典型的容器镜像由多层文件系统叠加而成，每一层都可能成为攻击面。下图展示了从镜像构建到运行时的完整风险链路：
实践要点：在CI/CD流水线中，建议在镜像构建完成后立即执行一次安全扫描，阻断高风险镜像进入仓库。这是“左移安全”的核心实践。
2.2 常见漏洞类型与分类
容器镜像中的漏洞可按来源与影响范围分为以下几类。理解这些分类有助于在扫描报告中快速定位高优先级问题。
| 漏洞类别 | 典型来源 | 影响范围 | 示例 |
|---|---|---|---|
| OS包漏洞 | 基础镜像中的系统库（glibc、openssl、zlib） | 容器内所有进程 | CVE-2021-44228（Log4Shell，影响Java应用） |
| 应用依赖漏洞 | npm、pip、maven等包管理器引入的库 | 特定应用进程 | CVE-2022-22965（Spring4Shell） |
| 配置类风险 | Dockerfile中的USER root、暴露敏感端口 | 容器运行时安全 | 容器以root身份运行 |
| 密钥泄露 | 镜像层中残留的、私钥文件 | 外部账户接管 | ~/.ssh/id_rsa 被包含在镜像中 |
| 恶意软件/后门 | 从不可信源拉取的镜像或构建层 | 数据泄露、挖矿 | 镜像中包含加密矿工二进制文件 |
常见误区：很多团队只关注OS包漏洞，却忽略了应用依赖漏洞和配置类风险。在Kubernetes环境中，配置类风险（如特权容器）往往比某个CVE更容易被攻击者利用。
2.3 CVE评分体系与CVSS v3.1
通用漏洞评分系统（CVSS）是业界标准的漏洞严重性评估框架。当前主流版本为CVSS v3.1，它从三个维度对漏洞进行量化评分：
- 基础指标（Base Metrics）：漏洞的固有属性，包括攻击向量、攻击复杂度、权限要求、用户交互、影响范围、机密性/完整性/可用性影响。
- 时间指标（Temporal Metrics）：随时间变化的因素，如漏洞利用代码成熟度、补丁可用性。
- 环境指标（Environmental Metrics）：根据用户自身环境定制的安全需求与缓解措施。
最终CVSS分数范围为0.0～10.0，按以下等级划分：
| 严重等级 | CVSS分数范围 | 颜色标识 | 响应建议 |
|---|---|---|---|
| 严重（Critical） | 9.0 – 10.0 | 红色 | 立即修复，阻断部署 |
| 高危（High） | 7.0 – 8.9 | 橙色 | 尽快修复，优先处理 |
| 中危（Medium） | 4.0 – 6.9 | 黄色 | 计划修复，评估影响 |
| 低危（Low） | 0.1 – 3.9 | 绿色 | 记录跟踪，低优先级 |
| 无（None） | 0.0 | 灰色 | 无需操作 |
以下流程图展示了从发现CVE到决策修复的典型路径：
2.4 镜像扫描工具与策略
在Kubernetes与Helm生态中，常用的镜像安全扫描工具包括：
- Trivy（Aqua Security）：开源、快速、支持多语言依赖扫描，适合集成到CI/CD流水线。
- Grype（Anchore）：与Syft（SBOM生成器）配合使用，提供精确的漏洞匹配。
- Clair（Red Hat / Quay）：与Harbor镜像仓库深度集成，支持静态扫描。
- Docker Scout：Docker官方工具，提供策略驱动的修复建议。
Helm集成建议：在Helm Chart的values.yaml中定义安全策略参数，例如：
# values.yaml 片段
security:
imageScan:
enabled: true
scanner: "trivy"
failOnSeverity: "HIGH" # 扫描到高危及以上漏洞时阻止部署
ignoreUnfixed: false # 是否忽略无修复版本的漏洞2.5 镜像安全最佳实践清单
以下清单可作为团队实施镜像安全策略的起点：
- 选择最小基础镜像：优先使用alpine、distroless或scratch镜像，减少攻击面。
- 定期扫描与更新：至少每周对仓库中所有镜像执行一次全量扫描，及时更新基础镜像。
- 实施镜像签名：使用cosign或notary对镜像进行数字签名，确保镜像来源可信。
- 避免root运行：在Dockerfile中显式使用
USER nonroot，并设置只读根文件系统。 - 清理构建层：使用多阶段构建，确保最终镜像不包含构建工具、临时文件和密钥。
- 集成到CI/CD：在流水线中设置安全门禁，高危漏洞阻断构建，中危漏洞触发告警。
- 监控运行时行为：使用Falco或Tracee等工具监控容器异常行为，弥补静态扫描的盲区。