¿Qué son las imágenes endurecidas y por qué utilizarlas?

En los diversos entornos de software actuales, las imágenes de contenedor suelen diseñarse para ofrecer flexibilidad y una amplia compatibilidad. Aunque esto las hace ideales para muchos casos de uso, también puede dar lugar a imágenes que incluyen más componentes de los necesarios para cargas de trabajo específicas. Las Docker Hardened Images adoptan un enfoque de diseño minimalista para ayudar a reducir el tamaño de la imagen, limitar la superficie de ataque y optimizar los flujos de trabajo de seguridad y cumplimiento.

Las imágenes endurecidas resuelven esto al minimizar el contenido de la imagen de contenedor. Menos software significa menos vulnerabilidades, despliegues más rápidos y menos paneles de control en rojo que solucionar cada semana.

Para los ingenieros de plataformas y los equipos de seguridad, las imágenes endurecidas ofrecen una salida del ciclo de triaje de CVE, lo que te permite concentrarte en ofrecer una infraestructura segura y en conformidad sin tener que apagar fuegos constantemente.

¿Qué es una imagen endurecida?

Una imagen endurecida es una imagen de contenedor que ha sido deliberadamente minimizada y protegida para reducir las vulnerabilidades y cumplir con estrictos requisitos de seguridad y conformidad. A diferencia de las imágenes estándar, que pueden incluir componentes no esenciales que aumentan el riesgo, las imágenes endurecidas se simplifican para incluir únicamente lo necesario para ejecutar tu aplicación de forma segura.

Beneficios de las imágenes endurecidas

• Superficie de ataque reducida: Al eliminar los componentes no esenciales, las imágenes endurecidas limitan los posibles puntos de entrada para los atacantes.
• Postura de seguridad mejorada: Las actualizaciones regulares y los escaneos de vulnerabilidades ayudan a garantizar que las imágenes endurecidas sigan siendo seguras a lo largo del tiempo.
• Facilitación del cumplimiento: La inclusión de metadatos firmados, como las SBOM, ayuda a cumplir con los estándares de conformidad regulatorios y organizacionales.
• Eficiencia operativa: Los tamaños de imagen más pequeños se traducen en descargas más rápidas, menor sobrecarga en tiempo de ejecución y una reducción en los costos de recursos en la nube.

¿Qué es una Docker Hardened Image?

Las Docker Hardened Images (DHI) llevan las imágenes endurecidas un paso más allá al combinar un diseño minimalista y seguro con soporte y herramientas de nivel empresarial. Construidas con la seguridad en su núcleo, estas imágenes se mantienen, prueban y validan continuamente para cumplir con los estándares de conformidad y cadena de suministro de software más exigentes de la actualidad.

Las Docker Hardened Images son seguras por defecto, mínimas por diseño y se mantienen para que tú no tengas que hacerlo.

En qué se diferencian las Docker Hardened Images de las imágenes endurecidas genéricas

• Construcciones conformes con SLSA: Las Docker Hardened Images se construyen para cumplir con el nivel 3 de construcción de SLSA, garantizando un proceso de construcción resistente a manipulaciones, verídico y auditable que protege contra las amenazas a la cadena de suministro.

• Enfoque distroless: A diferencia de las imágenes base tradicionales que empaquetan un sistema operativo completo con shells, gestores de paquetes y herramientas de depuración, las imágenes distroless conservan únicamente los componentes mínimos del sistema operativo necesarios para ejecutar tu aplicación. Al excluir herramientas y librerías innecesarias, reducen la superficie de ataque hasta en un 95% y pueden mejorar el rendimiento y el tamaño de la imagen.

• Mantenimiento continuo: Todas las DHI se supervisan y actualizan continuamente para mantener un nivel cercano a cero de CVE explotables conocidas, ayudando a tus equipos a evitar la fatiga por parches y las alertas sorpresa.

• Listas para el cumplimiento: Cada imagen incluye metadatos firmados criptográficamente:

  • SBOM que muestran lo que hay en la imagen
  • Documentos VEX para identificar qué vulnerabilidades son realmente explotables
  • Procedencia de la construcción que demuestra cómo y dónde se construyó la imagen

• Diseño enfocado en la compatibilidad: Las Docker Hardened Images proporcionan un entorno de ejecución mínimo al mismo tiempo que mantienen la compatibilidad con las distribuciones comunes de Linux. Eliminan los componentes no esenciales como shells y gestores de paquetes para mejorar la seguridad, pero conservan una pequeña capa base construida sobre estándares de distribución familiares. Las imágenes suelen estar disponibles con musl libc (basadas en Alpine) y glibc (basadas en Debian), admitiendo una amplia gama de necesidades de compatibilidad de aplicaciones.

¿Por qué utilizar las Docker Hardened Images?

Las Docker Hardened Images (DHI) son seguras por defecto, mínimas por diseño y se mantienen para que tú no tengas que hacerlo. Ofrecen:

• Imágenes construidas para tu tranquilidad: Ultramínimas y distroless, las DHI eliminan hasta el 95% de la superficie de ataque tradicional de los contenedores.
• Se acabó el pánico a los parches: Con el escaneo continuo de CVE y la remediación respaldada por SLA, Docker te ayuda a mantenerte por delante de las amenazas.
• Imágenes listas para auditorías: Todas las DHI incluyen SBOM, VEX y procedencia firmadas que respaldan los flujos de trabajo de seguridad y cumplimiento.
• Imágenes que funcionan con tu pila tecnológica: Disponibles en variantes de Alpine y Debian, las DHI se integran directamente en tus Dockerfiles y pipelines existentes.
• Imágenes respaldadas por soporte empresarial: Obtén tranquilidad gracias al soporte de Docker y a su rápida respuesta ante vulnerabilidades críticas.