튜토리얼: Docker 컨테이너에 대한 취약점 스캔

Tier: Free, Premium, Ultimate Offering: GitLab.com, Self-managed, GitLab Dedicated

컨테이너 스캐닝을 사용하여 컨테이너 레지스트리에 저장된 컨테이너 이미지의 취약점을 확인할 수 있습니다.

컨테이너 스캐닝 구성은 프로젝트의 파이프라인 구성에 추가됩니다. 이 튜토리얼에서는 다음을 수행합니다:

  1. 새 프로젝트 생성.
  2. 프로젝트에 ‘Dockerfile’ 추가합니다. 이 Dockerfile은 Docker 이미지를 생성하는 데 필요한 최소한의 구성을 포함합니다.
  3. 새로운 프로젝트를 위한 파이프라인 구성 생성하여 Dockerfile에서 Docker 이미지를 생성하고, Docker 이미지를 컨테이너 레지스트리에 빌드 및 푸시한 후, Docker 이미지를 취약점 스캔합니다.
  4. 보고된 취약점 확인.
  5. Docker 이미지 업데이트 및 업데이트된 이미지를 스캔합니다.

새 프로젝트 생성

새 프로젝트를 생성하려면

  1. 왼쪽 사이드바에서 상단의 새로 만들기 ( )를 선택하고 새 프로젝트/저장소를 선택합니다.
  2. 빈 프로젝트 생성을 선택합니다.
  3. 프로젝트 이름에 Tutorial container scanning project를 입력합니다.
  4. 프로젝트 URL에서 프로젝트의 네임스페이스를 선택합니다.
  5. 프로젝트 생성을 선택합니다.

새 프로젝트에 Dockerfile 추가

컨테이너 스캐닝에서 작업할 수 있도록 매우 최소한의 구성으로 Dockerfile을 생성합니다:

  1. Tutorial container scanning project 프로젝트에서 > 새 파일을 선택합니다.

  2. 파일 이름으로 Dockerfile을 입력하고, 파일의 내용으로 다음을 제공합니다:

    FROM hello-world:latest

이 Dockerfile에서 생성된 Docker 이미지는 hello-world Docker 이미지를 기반으로 합니다.

  1. 변경 사항 커밋을 선택합니다.

파이프라인 구성 생성

이제 파이프라인 구성을 생성할 준비가 되었습니다. 파이프라인 구성은:

  1. Dockerfile 파일로부터 Docker 이미지를 빌드하고, Docker 이미지를 컨테이너 레지스트리에 푸시합니다. build-image 작업은 Docker-in-Docker를 CI/CD 서비스로 사용하여 Docker 이미지를 빌드합니다. 또한, kaniko를 사용하여 파이프라인에서 Docker 이미지를 빌드할 수 있습니다.
  2. 컨테이너 레지스트리에 저장된 Docker 이미지를 스캔하기 위해 Container-Scanning.gitlab-ci.yml 템플릿을 포함합니다.

파이프라인 구성을 생성하려면:

  1. 프로젝트의 루트 디렉터리에서 > 새 파일을 선택합니다.

  2. 파일 이름으로 .gitlab-ci.yml을 입력하고, 파일의 내용으로 다음을 제공합니다:

    include:
  - template: Jobs/Container-Scanning.gitlab-ci.yml

container_scanning:
  variables:
    CS_IMAGE: $CI_REGISTRY_IMAGE/tutorial-image

build-image:
  image: docker:24.0.2
  stage: build
  services:
    - docker:24.0.2-dind
  script:
    - docker build --tag $CI_REGISTRY_IMAGE/tutorial-image --file Dockerfile .
    - docker login --username gitlab-ci-token --password $CI_JOB_TOKEN $CI_REGISTRY
    - docker push $CI_REGISTRY_IMAGE/tutorial-image
  3. 변경 사항 커밋을 선택합니다.

거의 완료되었습니다. 파일을 커밋하면 이 구성으로 새로운 파이프라인이 시작됩니다. 완료되면 스캔 결과를 확인할 수 있습니다.

보고된 취약점 확인

스캔을 위한 취약점은 스캔을 실행한 파이프라인에 위치합니다. 보고된 취약점을 확인하려면:

  1. CI/CD > 파이프라인을 선택하고 가장 최근의 파이프라인을 선택합니다. 이 파이프라인은 test 단계에서 container_scanning이라는 작업으로 구성되어야 합니다.
  2. container_scanning 작업이 성공적이었다면, 보안 탭을 선택하세요. 어떤 취약점이 발견되었다면, 해당 페이지에 나열됩니다.

도커 이미지 업데이트

hello-world:latest를 기반으로 한 도커 이미지는 취약점을 표시할 가능성이 낮습니다. 취약점을 보고하는 스캔 예시는 다음과 같습니다:

  1. 프로젝트의 루트 디렉터리에서 기존의 Dockerfile 파일을 선택합니다.
  2. 편집을 선택합니다.
  3. FROM hello-world:latest를 FROM 지침에 대한 다른 도커 이미지로 교체합니다. 컨테이너 스캔을 시연하기에 가장 좋은 도커 이미지는 다음을 포함합니다:
    • 운영 체제 패키지. 예를 들어, Debian, Ubuntu, Alpine 또는 Red Hat.
    • 프로그래밍 언어 패키지. 예를 들어, NPM 패키지나 Python 패키지.
  4. 변경 사항 커밋을 선택합니다.

파일에 변경 사항을 커밋한 후, 업데이트된 Dockerfile로 새 파이프라인이 시작됩니다. 완료되면 새로운 스캔 결과를 확인할 수 있습니다.