صور Docker المحصّنة في السعودية: صور أساس آمنة لسلسلة توريد الحاويات

تُبنى كل صورة حاوية على أساس: طبقة صغيرة من نظام التشغيل، ومعها بيئة تشغيل للغة برمجة أو خادم. وأغلب الفرق تأخذ هذا الأساس من سجل عام ثم لا تعود إليه. فيحمل الأساس حزمًا لا يستخدمها التطبيق أصلًا، ولكل منها ثغراتها، ولا يستطيع أحد أن يقول على وجه الدقة ما الذي في داخله.

وتستبدل صور Docker المحصّنة هذا الأساس بأساس تبنيه Docker وتصونه. وتصفها Docker بأنها صور مصغّرة، آمنة في إعداداتها الافتراضية، تكاد تخلو من الثغرات المعروفة، وبأنها بديل مباشر للصور الحالية: فالانتقال إليها، بحسب Docker، مصمَّم ليكون بسهولة تغيير سطر واحد في ملف Dockerfile، لأنها تحافظ على توزيعة Alpine أو Debian التي يستخدمها الفريق. وتذكر Docker أن مجموعتها تضم أكثر من ألف صورة، تشمل بيئات تشغيل اللغات والأطر وقواعد البيانات ومكونات البنية التحتية.

تُسأل البنوك وشركات التأمين ومشغّلو الاتصالات والجهات الحكومية في المملكة، أكثر من ذي قبل، عمّا يعمل في بيئة الإنتاج ومن أين جاء. فـالهيئة الوطنية للأمن السيبراني تضع الضوابط الوطنية للأمن السيبراني، وتضيف الجهات المنظِّمة للقطاعات ضوابطها. وأسئلة المدقق عن الحاويات تعود في الغالب إلى ثلاثة: ما الذي في هذه الصورة، ومن بناها، وكم يستغرق إصلاح ثغراتها.

روابط ذات صلةالهيئة الوطنية للأمن السيبرانيدليلنا عن الضوابط الأساسية للأمن السيبراني

الأساس المحصّن لا يغني عن الفحص، فالتطبيق يضيف فوقه مكتباته، ولهذه المكتبات ثغراتها. لذلك يبقى فحص ثغرات الحاويات جزءًا من خط النشر، والذي يتغير هو مقدار الضجيج في نتائجه.

• قائمة المكونات (SBOM). القائمة التي ترفقها Docker بكل صورة محصّنة هي نقطة البداية في الحصر، ويضيف البناء لديكم طبقة التطبيق إليها.
• Docker Scout. خدمة Docker لتحليل الصور: تُنشئ قائمة مكونات لكل صورة، وتطابقها مع بيانات الثغرات المحدَّثة باستمرار، وتقيّم الصور وفق سياسات تحددونها، وتقترح صورة أساس مصحَّحة حين يكون في الأساس الحالي خلل معروف.
• بيانات VEX. بيانات OpenVEX المرفقة بكل صورة محصّنة تبيّن هل الثغرة قابلة للاستغلال في تلك الصورة، فيرتّب فريق الأمن النتائج بحسب الخطر الفعلي لا بحسب عددها في أداة الفحص.
• بوابات السياسات. يرفض خط النشر الصور التي لم تُبنَ على أساس معتمد، أو التي تحمل ثغرة حرجة دون خطة لإصلاحها.

وDocker Scout خدمة مستقلة من Docker لها شروط خططها، فنتحقق من الاشتراك الذي يغطيها لديكم قبل أن نبني التصميم عليها.

تناسب الجهة التي تبني صور حاوياتها بنفسها، وتنشرها كثيرًا، وعليها أن تشرح نتائج فحص الثغرات لفريق الأمن أو للمدقق. وتناسب أكثر حين تتكرر بيئات التشغيل نفسها في خدمات كثيرة، لأن تغيير أساس واحد يحسّنها كلها.

لكنها لا تعالج تطبيقًا لم يتهيأ للحاويات بعد، وقد تتعطل معها ملفات Dockerfile التي تتوقع وجود سطر أوامر أو مدير حزم وقت التشغيل، فتحتاج هذه الملفات أولًا إلى إعادة كتابة بالبناء متعدد المراحل. ولا ترخّص كذلك Docker Desktop لمطوريكم: فذلك هو Docker Business، وهو اشتراك مستقل تتيح ضوابطه لإدارة الوصول إلى السجلات والصور حصر المطورين في الصور المعتمدة. وإن كانت التطبيقات نفسها لم تنتقل بعد، فالبداية من صفحة Docker وKubernetes ودليل الانتقال إلى Kubernetes.

روابط ذات صلةصفحة Docker وKubernetesدليل الانتقال إلى Kubernetes

تنشر Docker أسعار فئاتها في صفحة المنتج لديها وتغيّرها من وقت لآخر، لذلك لا نذكر أسعارًا هنا. أما ما يحرّك المجموع فهو:

• الفئة. Community مجانية، وSelect تسعّرها Docker لكل مستودع، وEnterprise بعرض سعر من Docker.
• عدد المستودعات. حصر صور الأساس المستخدمة فعلًا يكشف في الغالب أن عددها أقل مما يتوقعه الفريق.
• التخصيص ومدة الدعم. الحزم المخصصة والدعم الممتد ينقلان العقد إلى فئة Enterprise.
• أعمال الانتقال. تعديل ملفات Dockerfile، والاختبار، وبوابات خط النشر، وتصميم السجل، بنود خاصة بإنتركي نسعّرها منفصلة عن أي اشتراك من Docker.

نبدأ بحصر كل صورة أساس في سجلاتكم وخطوط النشر لديكم، ومعها نتائج الفحص التي تحملها اليوم. ومن ذلك نقترح الفئة وترتيب الانتقال، بدءًا ببيئات التشغيل الأكثر تكرارًا. ويمكن شراء الفئات المدفوعة من Docker مباشرة أو توفيرها عبر إنتركي مع المشروع. ثم ننقل كل ملف Dockerfile إلى أساس محصّن، ونعيد كتابته بالبناء متعدد المراحل عند الحاجة، ونختبره قبل إيقاف الأساس القديم.

روابط ذات صلةالخدمات المُدارةالأسئلة الشائعة عن Docker