Acessar a imagem no Docker Scout:
Em Image Layers é possível visualizar as vulnerabilidades por camadas:
Boa parte das vulnerabilidades começam na imagem base. Neste exemplo, das 18 vulnerabilidades encontradas, 12 são da imagem base:
Além das vulnerabilidades é possível visualizar os pacotes:
No Docker Hub é possível visualizar as correções recomendadas com o botão View recommended base image fixes:
Visualizar as recomendações a partir de linha de comando:
$ docker scout recommendations marcelodpbarbieri/projeto-caotico:v1
Serão seguidas as recomendações do Docker Scout para verificar o resultado.
Inicialmente será utilizada a imagem base na versão 18-slim e criada uma nova versão dessa imagem:
~/devops-projeto-caotico/src$ vim Dockerfile
FROM node:18-slim
WORKDIR /app
COPY package*.json ./
RUN npm install
COPY . .
EXPOSE 8080
CMD ["node", "server.js"]
Construção da imagem com a tag v2 e subida no Docker Registry:
$ docker image build -t marcelodpbarbieri/projeto-caotico:v2 \
-f Dockerfile --push .
[+] Building 5580.0s (12/12) FINISHED docker:default
=> [internal] load build definition from Dockerfile 0.0s
=> => transferring dockerfile: 153B 0.0s
=> [internal] load metadata for docker.io/library/node:18-slim 2.8s
=> [auth] library/node:pull token for registry-1.docker.io 0.0s
=> [internal] load .dockerignore 0.0s
=> => transferring context: 54B 0.0s
=> [1/5] FROM docker.io/library/node:18-slim@sha256:d338af8633813756155eca65e9e245 4.6s
=> => resolve docker.io/library/node:18-slim@sha256:d338af8633813756155eca65e9e245 0.0s
=> => sha256:04a1783a5f5acfd45bbff33c0d9e789c93455f399b5bc9e565bdb 1.93kB / 1.93kB 0.0s
=> => sha256:80be852de22a154b87f49de55894d05a69bd8cf8f8606a26e05b3 6.86kB / 6.86kB 0.0s
=> => sha256:a2318d6c47ec9cac5acc500c47c79602bcf953cec711a18bc89 29.13MB / 29.13MB 1.8s
=> => sha256:c5ff1f4dd1ba7a1c3a267c41879cda11312eb50994d846614f45a 3.31kB / 3.31kB 0.2s
=> => sha256:8ef6485bc17ff219d5b4ea50e9ec8b46b096687d34f912a1755 38.18MB / 38.18MB 2.4s
=> => sha256:d338af8633813756155eca65e9e245821839cefa4bfd3d10bf5f2 6.49kB / 6.49kB 0.0s
=> => sha256:73f03fd7dcbe76d133902875375c3bc45806a63e87462255f49c5 1.71MB / 1.71MB 1.7s
=> => sha256:ffe5f63df5e63468fc6ef7e40f7ff5ee4bc389b51a4b7c2344d60b305 448B / 448B 2.3s
=> => extracting sha256:a2318d6c47ec9cac5acc500c47c79602bcf953cec711a18bc898911a09 1.3s
=> => extracting sha256:c5ff1f4dd1ba7a1c3a267c41879cda11312eb50994d846614f45abde6b 0.0s
=> => extracting sha256:8ef6485bc17ff219d5b4ea50e9ec8b46b096687d34f912a1755101a351 1.2s
=> => extracting sha256:73f03fd7dcbe76d133902875375c3bc45806a63e87462255f49c551832 0.0s
=> => extracting sha256:ffe5f63df5e63468fc6ef7e40f7ff5ee4bc389b51a4b7c2344d60b3052 0.0s
=> [internal] load build context 0.3s
=> => transferring context: 87.02MB 0.3s
=> [2/5] WORKDIR /app 0.3s
=> [3/5] COPY package*.json ./ 0.0s
=> [4/5] RUN npm install 1.6s
=> [5/5] COPY . . 0.2s
=> exporting to image 0.3s
=> => exporting layers 0.2s
=> => writing image sha256:b2fd82cfe515010471c6c21790717b06c610e69e9da9438036007a4 0.0s
=> => naming to docker.io/marcelodpbarbieri/projeto-caotico:v2 0.0s
=> pushing marcelodpbarbieri/projeto-caotico:v2 with docker 4967.9s
=> => pushing layer 4b7c7b52434a 4959.9s
=> => pushing layer 7221c2d953da 127.1s
=> => pushing layer 4cf39739b3c2 6.4s
=> => pushing layer 535309cf7d75 5.8s
=> => pushing layer 5ae49213d3df 4967.5s
=> => pushing layer 9b298ae9849d 4967.5s
=> => pushing layer fb9bef9d4e0f 4967.5s
=> => pushing layer 7e57a856c23c 4967.5s
=> => pushing layer 8e2ab394fabf 4967.5s
A quantidade de vulnerabilidades foi reduzida consideravelmente:
É possível comparar as imagens no Docker Scout para verificar as vulnerabilidades e pacotes instalados:
Ainda existem vulnerabilidades na imagem base:
Porém o Docker Hub já não possui mais recomendações:
Apesar disso é possível verificar que a maior parte das vulnerabilidades está relacionada ao Debian:
Existe uma distribuição Linux específica para ser executada em container: Alpine
Na possibilidade de alterar a imagem utilizada, ao consultar Node no Docker Hub é possível visualizar as tags existentes e suas vulnerabilidades:
Ao filtrar pela versão 18 utilizada pela aplicação é possível visualizar a versão Alpine sem vulnerabilidades:
Substituir a versão no Dockerfile e reconstruir uma nova imagem:
~/devops-projeto-caotico/src$ vim Dockerfile
FROM node:18.20.4-alpine3.20
WORKDIR /app
COPY package*.json ./
RUN npm install
COPY . .
EXPOSE 8080
CMD ["node", "server.js"]
~/devops-projeto-caotico/src$ docker image build -t marcelodpbarbieri/projeto-caotico:v3 -f Dockerfile --push .
[+] Building 5248.2s (12/12) FINISHED docker:default
=> [internal] load build definition from Dockerfile 0.0s
=> => transferring dockerfile: 164B 0.0s
=> [internal] load metadata for docker.io/library/node:18.20.4-alpine3.20 3.4s
=> [auth] library/node:pull token for registry-1.docker.io 0.0s
=> [internal] load .dockerignore 0.0s
=> => transferring context: 54B 0.0s
=> [1/5] FROM docker.io/library/node:18.20.4-alpine3.20@sha256:02376a266c84acbf45b 6.0s
=> => resolve docker.io/library/node:18.20.4-alpine3.20@sha256:02376a266c84acbf45b 0.0s
=> => sha256:02376a266c84acbf45bd19440e08e48b1c8b98037417334046029 7.67kB / 7.67kB 0.0s
=> => sha256:ea8e360a721d870337fe899c70ea7def62f2a72cf1b6f7beb8a3c 1.72kB / 1.72kB 0.0s
=> => sha256:f48cc58268524517dc484f884b142fad1411e8b9ed35341342d87 6.36kB / 6.36kB 0.0s
=> => sha256:43c4264eed91be63b206e17d93e75256a6097070ce643c5e8f037 3.62MB / 3.62MB 0.6s
=> => sha256:3696426c5aa28a9e9d46b6194f46c030c7dce77770db1f30e95 39.84MB / 39.84MB 4.6s
=> => sha256:cdccf44a82db2a9559b2c200f8cdbdb0df43925679f8ddc7c7e92 1.38MB / 1.38MB 4.0s
=> => extracting sha256:43c4264eed91be63b206e17d93e75256a6097070ce643c5e8f0379998b 0.1s
=> => sha256:21f39b9ddd19acb73b7cbee0e5755029042719f744f2ce91a26f7e942 447B / 447B 4.0s
=> => extracting sha256:3696426c5aa28a9e9d46b6194f46c030c7dce77770db1f30e95e2317a1 1.1s
=> => extracting sha256:cdccf44a82db2a9559b2c200f8cdbdb0df43925679f8ddc7c7e925d469 0.0s
=> => extracting sha256:21f39b9ddd19acb73b7cbee0e5755029042719f744f2ce91a26f7e9425 0.0s
=> [internal] load build context 0.0s
=> => transferring context: 531B 0.0s
=> [2/5] WORKDIR /app 0.1s
=> [3/5] COPY package*.json ./ 0.0s
=> [4/5] RUN npm install 1.9s
=> [5/5] COPY . . 0.2s
=> exporting to image 0.2s
=> => exporting layers 0.1s
=> => writing image sha256:da8734284f90ae91be07b137028ed8015d1188a2df07e8f69bd10b2 0.0s
=> => naming to docker.io/marcelodpbarbieri/projeto-caotico:v3 0.0s
=> pushing marcelodpbarbieri/projeto-caotico:v3 with docker 4797.7s
=> => pushing layer 1909534ab62b 4790.4s
=> => pushing layer 4345ed74eb94 121.8s
=> => pushing layer 37d7c4fdd080 5.6s
=> => pushing layer 0e0adffac039 7.8s
=> => pushing layer e2be10e97665 4797.3s
=> => pushing layer 06fd85419b65 4797.3s
=> => pushing layer f58c462fa079 4797.3s
=> => pushing layer 63ca1fbb43ae 4797.3s
Com isso todas as vulnerabilidades da imagem base foram resolvidos:
23 vulnerabilidades e 105 pacotes a menos:
Vulnerabilidades com mudanças e sem mudanças:
Comparação de imagens com linha de comando:
$ docker scout compare --to marcelodpbarbieri/projeto-caotico:v2 \
marcelodpbarbieri/projeto-caotico:v3
