‫Oke.
‫Dus iets waar ik deze week over wilde praten en ik zou graag uw mening hierover horen in de opmerkingen, of
‫u het nu doet of niet, het zijn geweldige dingen die Dr. kapiteins waar we het over hebben in onze
‫selecte chat een paar weken geleden, ik denk dat het misschien zelfs vorige week
‫of de week ervoor was, maar het ging meer over een aantal artikelen die uitkwamen en een
‫specifiek een paar maanden geleden drie of vier maanden geleden rond het scannen van containerbeveiliging en
‫wat dat echt betekent, zijn uw afbeeldingen die u in Docker maakt, die de bouwstenen zijn voor uw containers.
‫Dat zijn ook opslag voor uw app als de afhankelijkheden.
‫Dus het leuke van die afbeelding is dat het nu een geweldige plek wordt om te scannen op
‫bekende kwetsbaarheden of mogelijke beveiligingsfouten in code en in applicaties en afhankelijkheid.
‫Dat noemen we containerscanning of beeldscanning.
‫Er is een ander soort terminologie in de branche, maar er zijn veel scanners en er zijn er meer dan
‫een paar.
‫En die hebben allemaal voor- en nadelen en als dit bekend klinkt.
‫Dit lijkt erg op de oude antivirusoorlogen waar we verschillende antivirusscanners hadden
‫die verschillende dingen zouden oppikken.
‫Maar tegenwoordig is het scannen van containers waar we het meestal als eerste over hebben, het gebruik van de open database
‫van bekend.
‫Dat is het sleutelwoord. Er zijn bekende kwetsbaarheden in open source software, voornamelijk open source software, maar het is
‫niet exclusief voor open source.
‫Het is toevallig meestal open source, omdat we de neiging hebben om de gebreken daar te vinden omdat we
‫de bron kunnen zien.
‫Dus we eindigen als een industrie die sneller uitzoekt waar de problemen zijn.
‫Dus dat spul heeft een database met bekende kwetsbaarheden en wordt voortdurend bijgewerkt.
‫En dus zijn er scanners, sommige gratis, sommige niet die je afbeelding en zijn afhankelijkheden zullen scannen.
‫Dus niet alleen je app, maar ook elke app om afhankelijkheden te krijgen die zijn geïnstalleerd, je kent dingen als
‫Open SSL of zelfs curl als daar een kwetsbaarheid in zit en je hebt dat in je container-image.
‫Deze scanners zouden je moeten helpen die kwetsbaarheden te vinden, zodat je ze kunt
‫bijwerken en hopelijk een oplossing kunt toepassen en er kwam een interessant gesprek uit over een artikel van deze kerel Steven en het was in
‫de buurt dat deze scanners allemaal verschillende voor- en nadelen hebben, sommigen detecteren problemen sommige
‫detecteren andere problemen en ze zijn misschien niet allemaal hetzelfde.
‫Maar aan het eind van de dag is een van de dingen in Linux waar ze echt van afhankelijk zijn het besturingssysteem of in dit
‫geval de basisafbeelding zoals je zegent voor Debian S. O. S.
‫Dat soort alpendingen.
‫Die verschillende basisafbeeldingen moeten vaak vertalen waar de bestanden zich op het systeem bevinden en op welk programma die
‫bestanden betrekking hebben, zoals de open source Open SSL-bibliotheken voor het leveren van SSL aan uw webservers.
‫Dus die bestanden zullen ergens in een bestandspad op het besturingssysteem staan en ze
‫komen allemaal samen in een pakket en die leveranciers moeten de scanners in wezen een vertaling leveren om erachter
‫te komen voor de scanners waar de pakketten zich bevinden.
‫OKE.
‫Dat is dus de achtergrond.
‫En het blijkt dat niet alle besturingssysteemdistributies van Linux die functionaliteit bieden en ze bieden het niet allemaal even
‫goed als andere.
‫Dit kan dus problemen opleveren als je gaat scannen op kwetsbaarheden.
‫Met andere woorden, uw basisimage, of het nu Ubuntu of S. O. S of Red Hat of alpine
‫dat er nu toe doet als je de volledige database met bekende niet-kwetsbaarheden in die afbeelding kunt scannen.
‫Oké en een interessant punt dat volgens mij via dit artikel is ontstaan
‫en trouwens, ik gooi dit artikel in de livechat.
‫Dat kun je nakijken.
‫Een interessant punt dat werd gemaakt, is dat het nu, zoals het hier beneden is, gaat over het Alpine-probleem, waarvan ik
‫denk dat het een behoorlijk interessante discussie is waar wij als containerfabrikanten mee te maken hebben.
‫Misschien iemand die containers maakt of in ieder geval geïnteresseerd is in het maken van containers.
‫En als je van die afbeeldingen een van je zorgen maakt, is beveiliging en beveiliging weet je vaak dat we proberen alles op één hoop te
‫gooien, het is veilig of het is dat we beveiliging hebben gedaan en dat is echt niet
‫goed.
‫Wij allen.
‫Als je er lang genoeg bent geweest, weet je dat beveiliging een heleboel dingen is en dat er niet zoiets
‫bestaat als echt veilig.
‫Rechts.
‫Misschien maken we altijd grapjes dat het veiligste systeem er een is dat is uitgeschakeld.
‫Dus als je het over je software hebt, zijn er veel dingen om te overwegen en Alpine is echt een
‫geweldige distributie en dat geeft een basisbeeld Alpine Linux en een van de beste dingen ervan is dat het heel erg
‫minimaal is, het is erg klein, het komt binnen rond 5 Meg die gek klein is in vergelijking met zoiets als
‫een zegen voor of S. O. S.
‫Nu kun je dat vergelijken in het volledige besturingssysteem, maar we hebben het hier eigenlijk alleen
‫over de afbeeldingen zelf, de containerafbeelding is niet je host-besturingssysteem.
‫Ik wil het niet hebben over het host-besturingssysteem, ik wil het alleen hebben over je basisafbeeldingen voor je containers, want wat
‫ik in de industrie zie en we houden ervan om hier online over te praten, is wat het coole,
‫trendy ding is dat de Zeit Geist van onze gemeenschap heeft een soort van aangeslagen en ik denk dat de afgelopen
‫jaren Alpine in populariteit is gestegen, veel te maken met het feit dat het zo'n klein imago heeft voor containers, dus dat
‫is een goede zaak.
‫En als je weet dat ik dit zelfs heb gedaan, maar als ik heb gegoogeld, weet je de veilige Docker-basisafbeelding als je daar begint rond te kijken als ik
‫gewoon naar het woord Alpine zoek, verschijnt het niet op deze pagina.
‫Dus dat was een mislukking van Google, maar ik zou verwachten dat mensen over Alpine praten, omdat een groot
‫deel van de industrie Alpine graag aanbeveelt als een manier om automatische beveiliging of betere beveiliging uit de doos
‫te krijgen.
‫En de reden dat we daar voor pleiten is dat het klein is.
‫Dus als het kleiner is, betekent dat minder bestanden, minder potentiële kwetsbaarheden, minder dingen om het aan vast te pinnen om mogelijk
‫te patchen.
‫Rechts.
‫En dit is iets wat we al tientallen jaren doen in het Windows 2000-tijdperk 2008.
‫Ik herinner me dat toen Windows 2008 uitkwam, Microsoft een nieuwe versie had met de naam core, een kleinere versie van
‫Windows Server.
‫En destijds was een van de grootste argumenten betere beveiliging door minder patching.
‫En dus als je in theorie als je minder software op de machine hebt, dan hoef je je minder zorgen
‫te maken in termen van patching en mogelijke kwetsbaarheden.
‫Dus dat is in het geval van onze Pyne, dat is een van hun redenen om te beweren dat ze veiliger zijn,
‫maar ruimte is niet altijd de belangrijkste factor. Als operator als iemand die servers runt voor de kost Ik
‫zie deze ruimte niet als goedkoop.
‫Je weet dat 100 meg van deze ruimte, zelfs als het keer vijf afbeeldingen is, prima is voor mij. Ik hoef geen vijfhonderd meg
‫ruimte op mijn servers te besparen.
‫Wat je meestal weet, ik maak geen back-ups van volledige besturingssystemen, je bent meestal gefocust op applicatieback-ups,
‫vooral nu in de cloud waar we geen image-gebaseerde serverback-ups doen als dat iets was
‫waar je ooit van hield.
‫Vroeger, waar je volledige image-back-ups kon maken en dus waren veel van onze back-ups gewoon
‫het hele besturingssysteem steeds opnieuw.
‫Nou, dat doen we niet zo veel. Ik denk dat als een industrie tegenwoordig vooral cloud native is en ik denk dat als
‫we het hebben over afbeeldingen en grootte, grootte niet eens een van mijn top drie factoren is in termen van een afbeelding en
‫de kwaliteit ervan.
‫Dus als ik kijk naar een afbeelding en mogelijke veiligheidsproblemen of wat dan ook, of gewoon het gebruik van een afbeelding, of
‫het nu een optreden is of 20 meg aan het eind van de dag, dan maak ik me niet zo'n zorgen, ik moet
‫daar gewoon voor plannen, want uiteindelijk is het misschien zijn het kosten voor opslag, maar die kosten zijn een van de goedkoopste dingen
‫op mijn kostenlijst, toch.
‫Mensen zijn het duurste en andere dingen zoals rekenkracht in termen van CPE-geheugennetwerken, die
‫zijn voor mij altijd duurder dan schijf.
‫Dus ik ben niet geneigd om mensen aan te bevelen om Alpine buiten de poort te doen.
‫Als je me ooit over Docker-productie hebt zien praten, weet je dat een van de dingen waar
‫ik het over heb, is vasthouden aan wat je weet blijf bij Debian-stick met Ubuntu-stick met verzonden besturingssysteem blijf
‫bij die afbeeldingen als dat is wat je gewend bent omdat Alpine heel anders is, het heeft een andere pakketbeheerder,
‫het zijn die verschillende bestandslocaties, dus je zult uiteindelijk veel van je app moeten veranderen om
‫Alpine te gebruiken en in de meeste gevallen nu sommige gevallen als je go gebruikt of misschien geen J of iets waar je waarschijnlijk niet
‫veel aan hoeft te veranderen.
‫Maar zelfs recentelijk heb ik het afgelopen jaar gezien en vooral in de afgelopen drie maanden heb
‫ik meerdere andere indicatoren gezien waarom je Alpine misschien niet als je basisbeeld zou moeten gebruiken en dit gaat echt niet over het
‫werpen van schaduw op Alpine en zeggen dat schetst slecht.
‫Het gaat er echt om of we echt het extra werk moeten doen om Alpine te implementeren alleen omwille van meer veiligheid en
‫kleinere afbeeldingen, dus ik zou niet kunnen zeggen dat mijn argument zal zijn. Ik denk niet dat dat zelfs
‫nodig is en als we dit nieuwe soort overwegen van de discussie over het Alpine-probleem in dit blogartikel is om te zeggen dat Alpine op dit
‫moment misschien niet de beste plaats is, omdat het echt moeilijk, zo niet onmogelijk is om te
‫scannen op beveiligingsproblemen in de CV bekende database die database met veelvoorkomende kwetsbaarheden die je kunt' doe dat nog niet met
‫alpine dat jij en je kunt dat doen met een paar andere die je
‫zegent voor dat soort dingen van Debian Red Hat.
‫Dus als u iemand bent die een beveiligingsscanner gaat gebruiken, is Alpine eigenlijk een slechte zaak voor u.
‫Een ander ding dat me onlangs is opgevallen, is dat Alpine soms stiekeme problemen heeft die je gedeeltelijk en op
‫manieren die je niet zou verwachten, overvallen.
‫Onlangs hoorden enkele studenten me zeggen dat het proberen om Alpine te laten werken met knooppunt Mohn bekende problemen
‫heeft.
‫En ik deed.
‫Ik niet, ik was hier niet van op de hoogte.
‫Ik heb het niet getest, maar mensen zijn bij me teruggekomen en zeiden dat ze Alpine gebruiken met hun nee J. S. node mine en Node
‫minus iets en geen JS is om te gebruiken voor bestandsbewaking om je node-app automatisch opnieuw
‫te starten wanneer bestanden veranderen.
‫Dat is heel goed voor de ontwikkeling, maar blijkbaar hebben ze problemen gehad met alpine
‫terwijl ze geen problemen hadden met Ubuntu en Debian en ik breng dit alleen naar voren omdat het een
‫belangrijke factor is om te overwegen wanneer je gaat implementeren een nieuw basisbeeld.
‫Dus veel mensen komen naar me toe en zeggen wat je van Alpine vindt als ik alles naar
‫Alpine overschakel.
‫Moet ik al mijn afbeeldingen die ik op Debian bouw of immuun voor of S. O. S of iets anders.
‫En moet ik die allemaal verplaatsen om naar Alpine te gaan omdat ik hoor dat het kleiner
‫en veiliger is en ik en mijn antwoord eerlijk gezegd tegenwoordig is dat het ingewikkelder is dan dat en je zou het waarschijnlijk
‫moeten overwegen, maar misschien ook gewoon niet houden van wat je bent waar je goed in bent en waarvan je weet dat
‫de scanners werken met jaren waarschijnlijk kun je de standaardafbeeldingen gebruiken omdat alle officiële afbeeldingen die standaard zijn van Docker, zoals laten we
‫eens kijken naar het knooppunt 1.
‫Dus de afbeeldingen zonder standaard gebruiken allemaal standaard Debian eronder, die groter is, iets groter, misschien 80
‫Meg groter dan de Alpine-afbeelding, maar 80 Meg.
‫Ik bedoel, dat is slechts een kleine factor dat het voor mij geen grote motivator is, tenzij ik
‫misschien op een soort van jullie weet IO T-apparaat misschien zoiets.
‫Weet je aan de rand of iets waar ik een heel kleine flashdrive heb of iets dat een punt van
‫zorg kan zijn.
‫Maar als je naar de standaardafbeeldingen gaat kijken als je dit niet op de
‫achtergrond besefte, al deze standaardafbeeldingen zijn je weet of je Docker run node of duck typt of mijn vervolg uitvoert.
‫Die zullen allemaal standaard op Debian draaien, want zo bouwde Docker ze zes jaar
‫geleden om te beginnen.
‫Maar al deze hebben nu Alpine-opties.
‫Dus je zou misschien mijn vervolg dubbele punt Alpine zeggen en de tag voor Alpine gebruiken en dat is prima, maar het betekent
‫niet dat je automatisch altijd een betere ervaring krijgt.
‫Niet alle pakketten zijn zelfs beschikbaar in de Alpine-pakketbeheerder.
‫In feite moet ik voor mijn eigen gebruik beveiligingstools of verschillende hulpprogramma's houden waarvan sommige in Alpine
‫werken en andere gewoon niet.
‫En eerlijk gezegd wil ik niet handmatig gaan uitzoeken hoe ik ze moet bouwen omdat ze niet kunnen
‫bouwen en ik wil dat nog steeds niet oplossen vanwege verschillende bibliotheken.
‫Dus ik laat gewoon een Debian achter voor de meeste van mijn tools en ik gebruik andere via Alpine.
‫En aan het eind van de dag weet ik dat bijna alles uit de doos
‫gaat werken op Debian, omdat de app om pakketbeheerder of apt-pakketbeheerder te krijgen een beetje lijkt op de koning van pakketbeheerder
‫die alles is.
‫Als er een pakket voor iets is, zal het waarschijnlijk een geschikt zijn.
‫Rechts.
‫Misschien zie je iets niet in Yum.
‫Je ziet het misschien niet in de pakketbeheerder van onze Pyne, maar het zal
‫altijd geschikt zijn en wordt geleverd met Debian en Ubuntu en andere varianten van die basisafbeeldingen.
‫Dus als je aan afbeeldingen denkt en dit alles bij elkaar optelt als je aan afbeeldingen
‫denkt en je wilt je basisafbeeldingen bouwen, is beveiliging zeker een factor.
‫Maar als u zich echt zorgen maakt over beveiliging, is een van die dingen dat u uw afbeeldingen wilt scannen.
‫Dus als je dat wilt doen, kan alpine een nadeel voor je zijn.
‫Lees in dat geval dus zeker dit artikel, aangezien ik het daar in de tekst heb gegooid.
‫Een ander ding is of het ruimtevoordeel echt belangrijk voor je is.
‫Weet je of als je een beetje verliest aan de potentiële beveiliging en je afbeeldingsgrootte er niet
‫zoveel toe doet, vooral als je iemand bent die 800 of 900 mag-afbeeldingen kent die gebruikelijk zijn als
‫je te maken hebt met dingen zoals je weet Java of HP en dat soort dingen.
‫Dat zijn meestal zeer grote afbeeldingen in vergelijking met 80 Meg of een vijf Meg.
‫Dus denk een beetje na over die dingen.
‫Wissel niet zomaar automatisch al je spullen omdat je hoorde dat outline veiliger was.
‫Het is duidelijk dat Alpine nog veel andere beveiligingsvoordelen heeft, aangezien het klein is.
‫Het heeft heel weinig potentiële kwetsbaarheden, maar het heeft wel kwetsbaarheden, het
‫is niet ongevoelig voor softwarekwetsbaarheden, het is misschien minder.
‫De Ubuntu en Debian.
‫Het laatste wat ik hierover zal zeggen, is dat als je niet naar de andere hebt gekeken van afbeeldingen zoals Ubuntu en
‫Debian, die afbeeldingen in de loop van de tijd kleiner worden en ik zal het je bijvoorbeeld laten zien.
‫Het is eigenlijk een kleine ergernis van mij omdat er dingen uit deze afbeeldingen worden
‫gehaald en nieuwe versies die vroeger in oude afbeeldingen zaten en die problemen in uw software kunnen veroorzaken.
‫Bijvoorbeeld betalen of IP-configuratie of misschien zelfs het P S-commando.
‫Dingen die jaren geleden misschien in de afbeelding stonden waar je aan gewend was, staan misschien niet meer in die standaardafbeeldingen van huidige
‫versies en dat kan een klein probleem zijn als je ervan uitging dat ze
‫er altijd zouden zijn.
‫Dus tegenwoordig heb ik de gewoonte om, zelfs als ik een zegen gebruik om direct uit de doos een afbeelding
‫te maken, misschien gebruik ik de standaardafbeeldingen die een Debian gebruiken.
‫Ik zal ook doorgaan met het doen van een apt get-installatie van zelfs dingen zoals je kent het PS-commando voor proceslijst of curl of wat dan
‫ook, ik moet betalen of zoiets en dat is gewoon om ervoor te zorgen dat in de toekomstige versies als
‫ze ooit die dingen out zal ik ze altijd in mijn afbeelding hebben omdat ik een aangepaste
‫afbeelding heb gemaakt om die te installeren.
‫Dus als ik hier gewoon een Docker-afbeelding L S doe, heb ik geen opgeruimde machine, dus nee dat heb ik.
‫Eigenlijk heb ik er hier
‫maar een paar, dus als ik een Docker-afbeelding trek
‫of laten we gewoon Ubuntu doen en dan debuteren en dan Alpine
‫doen, omdat deze nummers de hele tijd veranderen.
‫Ik weet eigenlijk niet zeker wat de meest voorkomende nummers zijn, wat de huidige status is, dus laten we die
‫Docker-afbeelding nog een keer minder doen en.
‫Juist, dus Alpine komt binnen op vijf en een half meg behoorlijk gek toch.
‫Als je ingaat op de hele reden erachter, is het eigenlijk best cool over hoe ze statische binaire bestanden
‫bouwen en gelinkte binaire bestanden, zodat dat niet echt klein is.
‫Als je naar Ubuntu kijkt, was
‫een zegen tot drie jaar geleden waarschijnlijk honderdtwintig Meg.
‫Honderddertig Meg op zijn minst.
‫En nu is het aantal zevenentachtig en de huidige versie van Debian is 1 op 1.
‫Dat is raar, want normaal gesproken zou je denken dat een zegen voor Debian groter is dan Debian en
‫ik weet niet zeker of dat in de volgende uitgave van Debian verandert.
‫Er is iemand in de chat die dit antwoord waarschijnlijk
‫sneller
‫weet dan ik, maar
‫ik denk dat er versie C experimenteel is, misschien is het te experimenteel.
‫Ik gok gewoon dat het kleiner is en onthoud, terwijl we dit doen,
‫dat als je ook aan jouw denkt, ik misschien 100 honderd
‫containers heb lopen.
‫Onthoud dat, ervan uitgaande dat ze allemaal dezelfde basislaag gebruiken, die laag er maar één keer in beslag
‫neemt op het aanbodsysteem.
‫Zolang je je afbeelding schoon houdt door ze automatisch te snoeien, zolang je dingen doet zoals ervoor zorgen dat de meeste van je apps die je
‫gebruikt zich binnen een of twee versies van de basisafbeeldingen bevinden, zodat je niet als je niet
‫alle versies op de server hebt, dan neem je niet veel ruimte in beslag met
‫dit spul.
‫Oké, laten we eens naar experimenteel kijken.
‫Het is eigenlijk groter.
‫Dat is jammer.
‫Ik meen me te herinneren dat ik vorig jaar ergens las over een zegen voor en Debian die ergens naar toe ging en dat
‫ze hun eigen slim slim hebben, er is iets een beetje anders.
‫Het houdt zeker veel meer buiten, maar je kunt je afvragen hoe deze dingen kleiner worden.
‫Het is niet omdat ze ze aan het zippen of comprimeren zijn, het is dat ze
‫eigenlijk gewoon tools eruit halen die niet essentieel zijn of bibliotheken die niet langer nodig zijn
‫voor die kerntools.
‫En daarom zijn dingen als P. S. en betalen en kernel en andere hulpprogramma's verdwijnen uit
‫deze afbeeldingen.
‫Dus wees daar voorzichtig mee.
‫Dus ik vind het een mooie discussie en ik kijk er naar uit om uw opmerkingen te
‫horen en uw opmerkingen hierover in deze te lezen.
‫Ik ben eigenlijk van plan om een aantal van mijn cursussen te updaten om hierover te praten en wat
‫meer informatie te geven over Alpine en waarom je het misschien wilt verkiezen boven een andere versie van een basisafbeelding, omdat het een
‫goede discussie en er valt natuurlijk veel te praten over veel verschillende redenen om
‫een basisafbeelding te verkiezen boven een andere.