AI 助理
备案控制台
开发者社区 云原生 文章 正文

Copa：无需重建镜像，直接修补容器漏洞

2023-11-22 168
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
本文涉及的产品
对象存储 OSS，20GB 3个月
推荐场景：
基于PAI-EAS挂载OSS部署AIGC服务 ossutil工具管理OSS
对象存储 OSS，恶意文件检测 1000次 1年
对象存储 OSS，内容安全 1000次 1年
简介： Copa：无需重建镜像，直接修补容器漏洞

关注【云原生百宝箱】公众号，与你一起探讨应用迁移，GitOps，二次开发，解决方案，CNCF生态。

copa 是一个使用 Go 编写的 CLI 工具，基于 buildkit，可以根据像 Trivy 这样的流行工具的漏洞扫描结果直接修补容器镜像。

为什么？

我们需要能够快速修补容器，而无需上游进行完整重建。随着漏洞披露和主动利用之间的时间窗口不断缩小，迫切需要修补容器镜像中的关键安全漏洞，以便能够快速重新部署到生产环境中。特别是当这些漏洞是：

  • • 从基础镜像继承而来，有多个层级，并且不能通过更新版本在供应链中传播的方式来解决
  • • 存在于你不维护的第三方应用镜像中，其更新频率无法满足你的安全服务级别协议。

copa 流程

除了填补左移安全实践和工具未满足的运营空白之外，copa 能够在不需要重建容器镜像的情况下修补容器的能力还提供了其他好处：

  • • 允许除镜像发布者外的用户也能够修补容器镜像，比如 DevSecOps 工程师。
  • • 通过仅创建额外的修补层而不是重建整个镜像来减少重新分发修补后镜像的存储和传输成本，重建整个镜像通常导致不同的层哈希值，破坏了层缓存。
  • • 通过无需等待基础镜像更新并且比完整镜像重建操作更快的方式，减少修补容器镜像的时间。
  • • 通过从运行重建流水线到运行镜像上的单个工具来减少修补镜像的复杂性。

如何实现？

copa 工具是一个可扩展的引擎，具有以下功能：

  1. 1. 从像 Trivy 这样的扫描器生成的容器镜像漏洞报告中解析所需的更新包。可以编写新的适配器以支持更多报告格式。
  2. 2. 使用适当的软件包管理工具（如 apt、apk 等）获取和处理所需的更新包。可以编写新的适配器以支持更多软件包管理器。
  3. 3. 使用 buildkit 将生成的更新二进制文件应用于容器镜像。

copa 实现

这种方法的动机是基于以下核心原则，使直接容器修补具有广泛适用性和可访问性：

  • • Copa 支持修补现有的容器镜像。
  • • 开发人员不需要使用特定工具构建镜像或以某种方式修改它们以支持容器修补。
  • • Copa 与现有的漏洞扫描和缓解生态系统配合工作。
  • • 镜像发布者不需要为容器修补创建新的工作流程，因为 Copa 支持使用已经发布的安全更新包修补容器镜像。
  • • 消费者不需要迁移到新的、可能更受限制的支持生态系统来处理自定义发行版，也不需要更改其容器漏洞扫描流程以包含修复措施，因为 Copa 可以无缝集成为额外的步骤，根据这些扫描报告来修补容器。
  • • Copa 减少了修补镜像所需的技术专长和等待依赖项。
  • • 对于操作系统软件包的漏洞，不需要对特定镜像有专门的知识来修补它，因为 Copa 依赖于今天流行的容器扫描工具生成的报告中已嵌入的漏洞修复知识。

云原生百宝箱

行万里路，此处相逢，共话云原生之道。 偶逗趣事，明月清风，与君同坐。

30篇原创内容

公众号

有关更多详细信息，请参阅Copa 设计[1]文档。

安装

Homebrew

在 macOS 和 Linux 上，可以通过Homebrew工具[2]安装copa：

brew install copa

GitHub

你可以从Copa GitHub 仓库[3]下载最新版本和早期版本copa。

以下说明适用于Ubuntu 22.04，其依赖版本是我们用于构建和测试的开发容器环境的一部分。对于其他发行版和操作系统，请参阅每个组件的相应安装说明。

git clone https://github.com/project-copacetic/copacetic
cd copacetic
make
# OPTIONAL: install copa to a pathed folder
sudo mv dist/linux_amd64/release/copa /usr/local/bin/

快速开始

此示例说明了如何使用漏洞报告和copa来修补容器。

先决条件

  • • copa工具已安装。
  • • buildkit[4]守护进程已安装。
  • • docker[5]守护进程正在运行，CLI 已安装。
  • • trivy CLI[6]已安装并。

示例

  1. 1. 下载目标容器进行扫描和打补丁：
docker pull mcr.microsoft.com/oss/nginx/nginx:1.21.6
  1. 1. 扫描容器镜像中是否存在可修补的操作系统漏洞，并将结果输出到 JSON 文件：
trivy image --vuln-type os --ignore-unfixed -f json -o nginx.1.21.6.json mcr.microsoft.com/oss/nginx/nginx:1.21.6

你还可以在 shell 上以表格形式查看现有的可修补漏洞：

trivy image --vuln-type os --ignore-unfixed mcr.microsoft.com/oss/nginx/nginx:1.21.6
  1. 1. 要修补镜像，请使用 Trivy 报告并指定要连接到的 buildkit 实例：默认情况下，copa 将尝试按顺序自动连接到实例：如果实例不存在或该实例不支持 copa 所需的所有功能，则将尝试下一个实例。你可能需要使用--addr标志指定自定义地址。以下是支持的格式：Buildkit 连接示例示例：使用默认值连接：
  • • unix:///path/to/buildkit.sock- 通过 unix 套接字连接到 buildkit。
  • • tcp://$BUILDKIT_ADDR:$PORT- 通过 TCP 连接到 buildkit。（出于安全原因不推荐）
  • • docker://<docker connection spec>- 连接到 docker，目前仅支持 unix 套接字，例如docker://unix:///var/run/docker.sock（或仅支持docker://）。
  • • docker-container://my-buildkit-container- 连接到在 docker 容器中运行的 buildkitd。
  • • buildx://my-builder- 连接到 buildx 构建器（或buildx://当前选择的构建器）。注意：当前仅支持容器支持的 buildx 实例
  • • nerdctl-container://my-container-name- 类似于docker-container但使用nerdctl。
  • • podman-container://my-container-name- 类似于docker-container但使用podman。
  • • ssh://myhost- 通过 SSH 连接到 buildkit 实例。主机规范的格式应模仿 SSH 命令。
  • • kubepod://mypod- 连接到在 Kubernetes Pod 中运行的 buildkit。还可以指定 kubectl 上下文和 pod 命名空间 ( kubepod://mypod?context=foo&namespace=notdefault)。
  1. 1. 默认 docker buildkit 端点（至少需要 docker v24.0 且启用了containerd snapshotter[7]支持）
  2. 2. 当前选择的 buildx 构建器（参见docker buildx --help：）
  3. 3. 默认地址的 buildkit 守护进程/run/buildkit/buildkitd.sock
copa patch -i mcr.microsoft.com/oss/nginx/nginx:1.21.6 -r nginx.1.21.6.json -t 1.21.6-patched

示例：连接到 buildx

docker buildx create --name demo
copa patch -i mcr.microsoft.com/oss/nginx/nginx:1.21.6 -r nginx.1.21.6.json -t 1.21.6-patched --addr buildx://demo

示例：容器中的 Buildkit

export BUILDKIT_VERSION=v0.12.0
docker run \
    --detach \
    --rm \
    --privileged \
    --name buildkitd \
    --entrypoint buildkitd \
    "moby/buildkit:$BUILDKIT_VERSION"
copa patch -i mcr.microsoft.com/oss/nginx/nginx:1.21.6 -r nginx.1.21.6.json -t 1.21.6-patched --addr docker-container://buildkitd

示例：基于 TCP 的 Buildkit

export BUILDKIT_VERSION=v0.12.0
export BUILDKIT_PORT=8888
 docker run \
     --detach \
     --rm \
     --privileged \
     -p 127.0.0.1:$BUILDKIT_PORT:$BUILDKIT_PORT/tcp \
     --name buildkitd \
     --entrypoint buildkitd \
     "moby/buildkit:$BUILDKIT_VERSION" \
     --addr tcp://0.0.0.0:$BUILDKIT_PORT
 copa patch \
     -i mcr.microsoft.com/oss/nginx/nginx:1.21.6 \
     -r nginx.1.21.6.json \
     -t 1.21.6-patched \
     -a tcp://0.0.0.0:$BUILDKIT_PORT

无论哪种情况，copa都是非破坏性的，并将标签为1.21.6-patched的新镜像导出到本地。

注意：如果你针对私有镜像仓库中的镜像运行此示例，请确保在运行之前在默认 Docker的config.json 中配置了凭据，例如通过sudo docker login -u <user> -p <password> <registry>。

  1. 1. 扫描修补后的镜像并验证漏洞是否已被修补：
trivy image --vuln-type os --ignore-unfixed mcr.microsoft.com/oss/nginx/nginx:1.21.6-patched

你还可以检查修补镜像的结构，以docker history查看附加到镜像的新修补层：

docker history mcr.microsoft.com/oss/nginx/nginx:1.21.6-patched
   IMAGE          CREATED        CREATED BY                                      SIZE      COMMENT
   a372df41e06d   1 minute ago   mount / from exec sh -c apt install --no-ins…   26.1MB    buildkit.exporter.image.v0
   <missing>      3 months ago   CMD ["nginx" "-g" "daemon off;"]                0B        buildkit.dockerfile.v0
   <missing>      3 months ago   STOPSIGNAL SIGQUIT                              0B        buildkit.dockerfile.v0
   <missing>      3 months ago   EXPOSE map[80/tcp:{}]                           0B        buildkit.dockerfile.v0
   <missing>      3 months ago   ENTRYPOINT ["/docker-entrypoint.sh"]            0B        buildkit.dockerfile.v0
   <missing>      3 months ago   COPY 30-tune-worker-processes.sh /docker-ent…   4.61kB    buildkit.dockerfile.v0
   <missing>      3 months ago   COPY 20-envsubst-on-templates.sh /docker-ent…   1.04kB    buildkit.dockerfile.v0
   <missing>      3 months ago   COPY 10-listen-on-ipv6-by-default.sh /docker…   1.96kB    buildkit.dockerfile.v0
   <missing>      3 months ago   COPY docker-entrypoint.sh / # buildkit          1.2kB     buildkit.dockerfile.v0
   <missing>      3 months ago   RUN /bin/sh -c set -x     && addgroup --syst…   61.1MB    buildkit.dockerfile.v0
   <missing>      3 months ago   ENV PKG_RELEASE=1~bullseye                      0B        buildkit.dockerfile.v0
   <missing>      3 months ago   ENV NJS_VERSION=0.7.0                           0B        buildkit.dockerfile.v0
   <missing>      3 months ago   ENV NGINX_VERSION=1.20.2                        0B        buildkit.dockerfile.v0
   <missing>      3 months ago   LABEL maintainer=NGINX Docker Maintainers <d…   0B        buildkit.dockerfile.v0
   <missing>      4 months ago   /bin/sh -c #(nop)  CMD ["bash"]                 0B
   <missing>      4 months ago   /bin/sh -c #(nop) ADD file:09675d11695f65c55…   80.4MB
  1. 1. 运行容器以验证镜像没有回退：
docker run -it --rm --name nginx-test 
   mcr.microsoft.com/oss/nginx/nginx:1.21.6-patched
   /docker-entrypoint.sh: /docker-entrypoint.d/ is not empty, will attempt to perform configuration
   /docker-entrypoint.sh: Looking for shell scripts in /docker-entrypoint.d/
   /docker-entrypoint.sh: Launching /docker-entrypoint.d/10-listen-on-ipv6-by-default.sh
   10-listen-on-ipv6-by-default.sh: info: Getting the checksum of /etc/nginx/conf.d/default.conf
   10-listen-on-ipv6-by-default.sh: info: Enabled listen on IPv6 in /etc/nginx/conf.d/default.conf
   /docker-entrypoint.sh: Launching /docker-entrypoint.d/20-envsubst-on-templates.sh
   /docker-entrypoint.sh: Launching /docker-entrypoint.d/30-tune-worker-processes.sh
   /docker-entrypoint.sh: Configuration complete; ready for start up
   2022/05/16 18:00:17 [notice] 1#1: using the "epoll" event method
   2022/05/16 18:00:17 [notice] 1#1: nginx/1.20.2
   2022/05/16 18:00:17 [notice] 1#1: built by gcc 10.2.1 20210110 (Debian 10.2.1-6)
   2022/05/16 18:00:17 [notice] 1#1: OS: Linux 5.10.102.1-microsoft-standard-WSL2
   2022/05/16 18:00:17 [notice] 1#1: getrlimit(RLIMIT_NOFILE): 1048576:1048576
   2022/05/16 18:00:17 [notice] 1#1: start worker processes
   2022/05/16 18:00:17 [notice] 1#1: start worker process 31
   2022/05/16 18:00:17 [notice] 1#1: start worker process 32
   2022/05/16 18:00:17 [notice] 1#1: start worker process 33
   2022/05/16 18:00:17 [notice] 1#1: start worker process 34
   2022/05/16 18:00:17 [notice] 1#1: start worker process 35
   2022/05/16 18:00:17 [notice] 1#1: start worker process 36
   2022/05/16 18:00:17 [notice] 1#1: start worker process 37
   2022/05/16 18:00:17 [notice] 1#1: start worker process 38
   2022/05/16 18:00:17 [notice] 38#38: signal 28 (SIGWINCH) received
   2022/05/16 18:00:17 [notice] 36#36: signal 28 (SIGWINCH) received
   2022/05/16 18:00:17 [notice] 33#33: signal 28 (SIGWINCH) received
   2022/05/16 18:00:17 [notice] 32#32: signal 28 (SIGWINCH) received
   2022/05/16 18:00:17 [notice] 34#34: signal 28 (SIGWINCH) received
   2022/05/16 18:00:17 [notice] 35#35: signal 28 (SIGWINCH) received
   2022/05/16 18:00:17 [notice] 37#37: signal 28 (SIGWINCH) received
   2022/05/16 18:00:17 [notice] 1#1: signal 28 (SIGWINCH) received
   2022/05/16 18:00:17 [notice] 31#31: signal 28 (SIGWINCH) received

你可以通过打开一个新的 shell 实例并运行以下命令来停止容器：docker stop nginx-test

参考资料

引用链接

[1] Copa 设计: https://project-copacetic.github.io/copacetic/website/design

[2] Homebrew工具: https://brew.sh/

[3] Copa GitHub 仓库: https://github.com/project-copacetic/copacetic/releases

[4] buildkit: https://github.com/moby/buildkit/#quick-start

[5] docker: https://docs.docker.com/desktop/linux/install/#generic-installation-steps

[6] trivy CLI: https://aquasecurity.github.io/trivy/latest/getting-started/installation/

[7] containerd snapshotter: https://docs.docker.com/storage/containerd/#enable-containerd-image-store-on-docker-engine

文章标签：
容器镜像服务
对象存储
容器
安全
Docker
Cloud Native
Unix
关键词：
容器镜像
镜像容器
容器漏洞
相关实践学习
通过容器镜像仓库与容器服务快速部署spring-hello应用
本教程主要讲述如何将本地Java代码程序上传并在云端以容器化的构建、传输和运行。
深入解析Docker容器化技术
Docker是一个开源的应用容器引擎，让开发者可以打包他们的应用以及依赖包到一个可移植的容器中，然后发布到任何流行的Linux机器上，也可以实现虚拟化，容器是完全使用沙箱机制，相互之间不会有任何接口。Docker是世界领先的软件容器平台。开发人员利用Docker可以消除协作编码时“在我的机器上可正常工作”的问题。运维人员利用Docker可以在隔离容器中并行运行和管理应用，获得更好的计算密度。企业利用Docker可以构建敏捷的软件交付管道，以更快的速度、更高的安全性和可靠的信誉为Linux和Windows Server应用发布新功能。 在本套课程中，我们将全面的讲解Docker技术栈，从环境安装到容器、镜像操作以及生产环境如何部署开发的微服务应用。本课程由黑马程序员提供。 &nbsp; &nbsp; 相关的阿里云产品：容器服务 ACK 容器服务 Kubernetes 版（简称 ACK）提供高性能可伸缩的容器应用管理能力，支持企业级容器化应用的全生命周期管理。整合阿里云虚拟化、存储、网络和安全能力，打造云端最佳容器化应用运行环境。 了解产品详情: https://www.aliyun.com/product/kubernetes
琦彦
目录
相关文章
wljslmz
|
2月前
|
存储 安全 Ubuntu
Docker 镜像与 Docker 容器的区别
【8月更文挑战第27天】
wljslmz
85 5
wljslmz
|
2月前
|
运维 Ubuntu Shell
掌握Docker容器的创建：从镜像到实例
【8月更文挑战第27天】
wljslmz
176 4
游客mldfis24krfue
|
2月前
|
存储 Ubuntu 应用服务中间件
在Docker中，怎么快速查看本地的镜像和容器？
在Docker中，怎么快速查看本地的镜像和容器？
游客mldfis24krfue
503 6
土木林森
|
2月前
|
缓存 开发者 Docker
Dockerfile是Docker容器化过程中的核心组件，它允许开发者以一种可重复、可移植的方式自动化地构建Docker镜像
【8月更文挑战第19天】Dockerfile是构建Docker镜像的脚本文件，含一系列指令定义镜像构建步骤。每条大写指令后跟至少一个参数，按序执行，每执行一条指令即生成新的镜像层。常用指令包括：FROM指定基础镜像；RUN执行构建命令；EXPOSE开放端口；CMD指定容器启动行为等。优化策略涉及减少镜像层数、选择轻量基础镜像、利用缓存及清理冗余文件。示例：基于Python应用的Dockerfile包括设置工作目录、复制文件、安装依赖等步骤。掌握Dockerfile有助于高效自动化构建镜像，加速应用部署。
土木林森
26 1
土木林森
|
2月前
|
运维 安全 Cloud Native
"揭秘！Trivy——云原生时代的隐形安全侠，一键扫描，让容器镜像漏洞无所遁形，守护你的云端帝国坚不可摧！"
【8月更文挑战第14天】在云原生时代，容器技术如Docker与Kubernetes大放异彩，加速了应用部署。但容器化的普及也带来了安全挑战，尤其是镜像的安全性至关重要。Trivy，一款高效且轻量级的镜像安全扫描工具应运而生，成为开发者与运维人员的得力助手。它由Aqua Security开发，支持一键式全面扫描，能快速检测镜像中的漏洞与配置风险，并提供修复建议。Trivy采用Go语言编写，轻巧高效，支持多平台，并可轻松集成到CI/CD流程中，确保只有安全的镜像才能部署到生产环境。无论新手还是专家，Trivy都是构建安全可靠云环境的理想选择。
土木林森
55 2
蓝易云
|
3月前
|
Shell Linux Docker
docker常用命令大全（基础、镜像、容器、数据卷）
这些命令仅仅是 Docker 命令行工具的冰山一角，但对于日常操作来说已经非常全面。通过熟练地使用这些基础命令，用户可以有效地管理 Docker 的镜像、容器、数据卷和网络。随着用户对 Docker 的深入使用，更高级的命令和选项将会变得必需，但上面列出的命令已经为用户提供了一个坚实的起点。对于初学者来说，理解和掌握这些常用命令是深入学习 Docker 的基础。
蓝易云
282 5
docker常用命令大全（基础、镜像、容器、数据卷）
龙蜥社区（OpenAnolis）
|
2月前
|
机器学习/深度学习 人工智能 安全
产品推荐：7月受欢迎AI容器镜像来了，有Qwen系列大模型镜像
阿里云 AI 容器镜像有开箱即用、生态丰富、性能优化、安全合规和服务支持五大优势。
龙蜥社区（OpenAnolis）
77 8
土木林森
|
2月前
|
运维 Ubuntu Shell
Docker命令宝典：解锁容器化技术的无限可能，从镜像管理到容器操作，全面解析与实战指南！
【8月更文挑战第3天】Docker简化了应用的部署与运行，掌握其基本命令对开发者和运维人员至关重要。通过`docker images`可查看本地镜像；使用`docker pull`拉取如最新版Ubuntu镜像；`docker rmi`用于删除不再需要的镜像。运行容器可通过`docker run`命令，结合`-it`等选项提供交互式环境。`docker ps`显示运行中的容器，加上`-a`则列出所有容器。`docker stop`和`docker start`分别用于停止和重启容器，而`docker rm`则删除容器。
土木林森
60 5
香吧香
|
3月前
|
Shell 应用服务中间件 nginx
docker 服务，镜像，容器命令总结
docker 服务，镜像，容器命令总结
香吧香
141 4
三分钟热度的鱼
|
3月前
|
Java Scala 流计算
实时计算 Flink版产品使用问题之Docker镜像中的Java路径和容器内的Java路径不一致，是什么导致的
实时计算Flink版作为一种强大的流处理和批处理统一的计算框架，广泛应用于各种需要实时数据处理和分析的场景。实时计算Flink版通常结合SQL接口、DataStream API、以及与上下游数据源和存储系统的丰富连接器，提供了一套全面的解决方案，以应对各种实时计算需求。其低延迟、高吞吐、容错性强的特点，使其成为众多企业和组织实时数据处理首选的技术平台。以下是实时计算Flink版的一些典型使用合集。
三分钟热度的鱼
52 2

热门文章

最新文章

  • 1
    美国国家标准技术局发布应用容器安全指南  
  • 2
    Kubernetes vs Docker Swarm：容器编排工具的比较与选择
  • 3
    docker容器设置镜像加速实战
  • 4
    金融级云原生：多活容器集群高可用建设实践
  • 5
    IoC容器系列的设计与实现:BeanFactory和ApplicationContext
  • 6
    运维成本降低 50%，丽迅物流是如何应对大规模容器镜像管理挑战的
  • 7
    Spring IOC 容器源码分析
  • 8
    深入理解Spring--动手实现一个简单的SpringIOC容器
  • 9
    技术盘点：容器技术的演进路线是什么？未来有哪些想象空间？
  • 10
    十秒玩转容器定时伸缩（CronHPA）
  • 1
    Golang深入浅出之-Go语言中的并发安全容器：sync.Map与sync.Pool
    151
  • 2
    构建高效稳定的云基础设施：DevOps与容器化技术融合实践
    64
  • 3
    构建高效自动化运维体系：基于容器技术的持续集成与持续部署实践
    113
  • 4
    构建高效稳定的云基础设施：DevOps与容器化技术融合实践
    95
  • 5
    Linux使用Docker部署Traefik容器并实现远程访问管理界面-1
    131
  • 6
    Springboot项目打war包部署到外置tomcat容器【详解版】
    354
  • 7
    Docker容器化技术详解
    161
  • 8
    详解C++中的STL（标准模板库）容器
    147
  • 9
    3.Docker容器的数据卷
    97
  • 10
    构建高效自动化运维系统：基于容器技术的持续集成与持续部署实践
    150

    • 相关课程

    更多
  • 基于容器搭建企业级应用
  • 容器持久化储存训练营
  • 现代应用容器技术快速入门
  • 云计算、容器和云原生基础课程
  • Serverless 容器从入门到精通: - Serverless Kubernetes
  • 容器安全与Palo Alto Networks解决方案

    • 相关电子书

    更多
  • 阿里云文件存储 NAS 在容器场景的最佳实践
  • 何种数据存储才能助力容器计算
  • 《容器网络文件系统CNFS》

    • 相关实验场景

    更多
  • 1分钟代码漏洞自动检测
  • 使用阿里云容器服务和容器网络文件系统搭建WordPress网站
  • 容器的网络入门
  • 容器的自定义网络
  • 容器的共享网络模型
  • 容器的启动和操作
    • 下一篇
    无影云桌面