‫Gut.
‫Also über etwas, worüber ich diese Woche sprechen wollte, und ich würde gerne Ihre Gedanken dazu in den Kommentaren hören, ob Sie
‫es tun oder sich Sorgen darüber machen, ist ein großartiges Zeug, das Dr. Captains, über die wir vor ein paar Wochen
‫in unserem ausgewählten Chat gesprochen haben. Ich glaube, es war sogar letzte Woche oder
‫vor einer Woche, aber es handelte sich eher um einige Artikel, die herauskamen, und einen speziell vor
‫ein paar Monaten vor drei oder vier Monaten Um das Scannen der Containersicherheit geht es, und
‫was das wirklich bedeutet, sind Ihre Bilder, die Sie innerhalb von Docker machen, die die Bausteine für Ihre Container sind.
‫Dies sind Speicher für Ihre App sowie die Abhängigkeiten.
‫Das Schöne an diesem Image ist, dass es jetzt ein großartiger Ort ist, um nach bekannten Schwachstellen
‫oder potenziellen Sicherheitslücken im Code sowie in Anwendungen und Abhängigkeiten zu suchen.
‫Wir nennen das also Container-Scannen oder Bild-Scannen.
‫In der Branche gibt es eine andere Terminologie, aber es gibt viele Scanner und nicht nur
‫einige.
‫Und die haben alle Vor- und Nachteile, und wenn Ihnen das bekannt vorkommt.
‫Dies ist sehr ähnlich zu den alten Antivirus-Kriegen, in denen wir verschiedene Antivirenscanner hatten,
‫die verschiedene Dinge aufgegriffen haben.
‫Aber heutzutage wird beim Scannen von Containern in der Regel zuerst die offene Datenbank von
‫known verwendet.
‫Das ist das Schlüsselwort für bekannte Schwachstellen in Open-Source-Software, die in erster Linie Open-Source-Software ist,
‫aber nicht ausschließlich Open-Source-Software.
‫Zufällig handelt es sich meistens um Open Source, da wir hier die Fehler finden, weil wir
‫die Quelle sehen können.
‫Wir sind also eine Branche, die herausfindet, wo die Probleme schneller sind.
‫Das Zeug hat also eine Datenbank mit bekannten Schwachstellen, die ständig aktualisiert wird.
‫Es gibt also einige kostenlose Scanner, die Ihr Bild und seine Abhängigkeiten nicht scannen.
‫Sie kennen also nicht nur Ihre App, sondern auch jede andere App, um Abhängigkeiten zu erhalten, die installiert werden. Sie kennen
‫Dinge wie Open SSL oder sogar Curl, wenn dies eine Sicherheitslücke darstellt und Sie diese in Ihrem Container-Image haben.
‫Diese Scanner sollen Ihnen dabei helfen, diese Sicherheitslücken zu finden, damit Sie sie aktualisieren
‫und hoffentlich eine Lösung finden können. Es kam eine interessante Unterhaltung über einen Artikel von diesem Typen, Steven, und es war so, dass diese
‫Scanner alle unterschiedliche Vor- und Nachteile haben, die manche erkennen probleme manche entdecken andere probleme
‫und vielleicht ist es nicht bei allen technikern dasselbe.
‫Aber am Ende des Tages ist eines der Dinge, von denen sie in Linux wirklich abhängen, das Betriebssystem oder in diesem Fall das
‫Basis-Image, von dem Sie Debian S profitieren. O. S.
‫Alpine Sachen wie das.
‫Diese verschiedenen Basis-Images müssen häufig übersetzen, wo sich die Dateien auf dem System befinden und auf
‫welches Programm sich diese Dateien beziehen, beispielsweise Open-Source-Open-SSL-Bibliotheken, um SSL für Ihre Webserver bereitzustellen.
‫Diese Dateien befinden sich also auf dem Betriebssystem irgendwo in einem Dateipfad
‫und sie werden alle in einem Paket zusammengefasst. Diese Anbieter müssen den Scannern im Wesentlichen eine Übersetzung
‫bereitstellen, um herauszufinden, wo sich die Pakete befinden.
‫OKAY.
‫Das ist also der Hintergrund.
‫Und es stellt sich heraus, dass nicht alle Betriebssystemdistributionen von Linux diese Funktionalität bieten und sie nicht alle so
‫gut wie andere.
‫Dies kann also zu Problemen führen, wenn Sie nach Schwachstellen suchen.
‫Mit anderen Worten, dein Basis-Image, ob es nun Ubuntu oder S ist. O. S oder Red Hat oder Alpine,
‫die jetzt wichtig sind, damit Sie die gesamte Datenbank bekannter Sicherheitslücken in diesem Bild durchsuchen können.
‫Alles klar und ein interessanter Punkt, von dem ich denke, dass er durch diesen
‫Artikel entstanden ist und den ich übrigens im Live-Chat werfen werde.
‫Sie können das überprüfen.
‫Ein interessanter Punkt, der angesprochen wurde, ist, dass gerade hier unten über das Alpenproblem gesprochen wird,
‫was meiner Meinung nach eine ziemlich interessante Diskussion um uns als Containerhersteller ist.
‫Vielleicht jemand, der Container herstellt oder zumindest an der Herstellung von Containern interessiert ist.
‫Und wenn Sie diese Bilder zu einem Ihrer Anliegen machen, ist Sicherheit und oft wissen Sie, dass wir versuchen, alles in Sicherheit zu
‫bringen, oder wir haben Sicherheit getan, und das ist wirklich keine Sache, die richtig
‫ist.
‫Wir alle.
‫Wenn Sie lange genug dort waren, wissen Sie, dass Sicherheit eine Menge Dinge ist und es keine
‫wirklich sichere gibt.
‫Richtig.
‫Vielleicht scherzen wir immer, dass das sicherste System eines ist, das ausgeschaltet ist.
‫Wenn Sie also über Ihre Software sprechen, gibt es viele Dinge zu beachten, und Alpine ist eine
‫wirklich großartige Distribution, die ein Basisimage für Alpine Linux liefert. Das Beste daran ist, dass es sehr sehr
‫minimal ist und gegen 5 sehr klein ist Meg was ist verrückt klein im Vergleich zu so etwas wie
‫ein Segen oder S. O. S.
‫Jetzt können Sie das mit dem vollständigen Betriebssystem vergleichen, aber wir sprechen hier nur
‫über die Images selbst. Das Container-Image ist nicht Ihr Host-Betriebssystem.
‫Ich möchte nicht über das Host-Betriebssystem sprechen, sondern nur über Ihre Basis-Images für Ihre Container, denn was ich in der
‫Branche sehe und wir lieben es, online darüber zu sprechen, ist das Coole, Coole, Trendige, was der Zeit
‫Geist ist von unserer Community hat sich irgendwie durchgesetzt und ich denke, dass Alpine in den letzten paar Jahren
‫an Popularität gewonnen hat, was viel damit zu tun hat, dass es ein so kleines Image für Container hat, also ist
‫das eine gute Sache.
‫Und wenn Sie wissen, dass ich das sogar getan habe, aber wenn ich gegoogelt habe, kennen Sie das sichere Docker-Basis-Image, wenn Sie sich dort umschauen, wenn ich nur nach
‫dem Wort Alpine suche, wird es auf dieser Seite nicht angezeigt.
‫Das war also ein Fehlschlag von Google, aber ich würde erwarten, dass die Leute über
‫Alpine sprechen, da viele Branchen Alpine empfehlen, um eine automatische Sicherheit oder eine bessere Sicherheit zu
‫erreichen.
‫Und der Grund, warum wir dafür argumentieren, ist der geringe.
‫Wenn es also kleiner ist, bedeutet dies, dass weniger Dateien weniger potenzielle Schwachstellen aufweisen und dass weniger Dinge mit potenziellen Patches verknüpft
‫werden müssen.
‫Richtig.
‫Und das haben wir schon seit Jahrzehnten in der Windows 2000-Ära 2008 getan.
‫Ich erinnere mich, als Windows 2008 herauskam, hatte Microsoft eine neue Version namens Core, die eine kleinere Version von Windows
‫Server war.
‫Zu der Zeit war eines der größten Argumente eine bessere Sicherheit durch weniger Patches.
‫Wenn Sie also theoretisch weniger Software auf dem Computer haben, müssen Sie sich weniger Gedanken
‫über Patches und potenzielle Schwachstellen machen.
‫In unserem Fall von Pyne ist dies einer ihrer Gründe für die Behauptung, dass sie sicherer sind, aber der
‫Platz ist nicht immer der wichtigste Faktor in der Tat als Betreiber von Servern, für die ich
‫diesen Platz nicht sehe billig.
‫Sie wissen, dass 100 Megabyte dieses Speicherplatzes in Ordnung sind, auch wenn es mal fünf Bilder sind. Ich muss keine fünfhundert Megabyte
‫Speicherplatz auf meinen Servern sparen.
‫Was Sie in der Regel wissen, ist, dass ich keine vollständigen Betriebssysteme sichern kann. In der Regel konzentrieren Sie
‫sich die meiste Zeit auf Anwendungssicherungen, insbesondere jetzt in der Cloud, wo keine Image-basierten Serversicherungen durchgeführt werden, wenn
‫Sie dies jemals getan haben.
‫In früheren Zeiten waren Backups von vollständigen Images und viele unserer Backups immer und immer
‫wieder nur das gesamte Betriebssystem.
‫Nun, wir machen das nicht so oft, denke ich, als eine Branche, die heutzutage vor allem in der Cloud beheimatet ist, und ich
‫denke, wenn wir über Bilder und Größe sprechen, ist die Größe nicht einmal einer meiner drei wichtigsten Faktoren, was ein Bild und
‫seine Qualität angeht.
‫Wenn ich mir also ein Image und mögliche Sicherheitsbedenken oder was auch immer ansehe oder nur
‫ein Image verwende, ob es nun ein Gig oder 20 Megabyte sind, bin ich nicht so besorgt Vielleicht
‫sind die Kosten in der Lagerhaltung, aber diese Kosten sind eines der billigsten Dinge auf meiner Liste
‫der richtigen Kosten.
‫Menschen sind die teuerste Sache und andere Dinge wie Rechenleistung in Bezug auf CPE-Speichervernetzung
‫sind für mich immer teurer als Festplatten.
‫Daher neige ich nicht dazu, Leuten zu empfehlen, Alpine von der Pforte aus zu machen.
‫In der Tat, wenn Sie jemals gesehen haben, wie ich über Docker-Produktion sprach, wissen Sie, dass eines der
‫Dinge, über die ich spreche, darin besteht, sich an das zu halten, was Sie wissen, sich an Debian-Sticks mit Ubuntu-Sticks
‫mit gesandtem Betriebssystem zu halten. Bleiben Sie bei diesen Images, wenn Sie das verwenden Weil Alpine viel anders ist, hat es einen
‫anderen Paketmanager. Es sind die unterschiedlichen Dateispeicherorte, so dass Sie am Ende viel an Ihrer App ändern müssen,
‫nur um Alpine zu verwenden. In den meisten Fällen sind es jetzt einige Fälle, in denen Sie go verwenden oder vielleicht kein J oder etwas, das Sie
‫wahrscheinlich nicht viel ändern müssen.
‫Aber selbst in letzter Zeit habe ich erst im letzten Jahr gesehen, und vor allem in den letzten drei
‫Monaten habe ich eine Reihe weiterer Indikatoren dafür gesehen, warum Sie Alpine möglicherweise nicht als Basisimage verwenden sollten und es wirklich nicht darum geht, Schatten
‫auf das Bild zu werfen Alpine und sagen, das skizziert schlecht.
‫Es geht wirklich darum, dass wir die zusätzliche Arbeit der Implementierung von Alpine tun müssen, nur um mehr Sicherheit und
‫kleinere Bilder zu erzielen. Ich glaube also, dass ich nicht argumentieren werde, dass dies überhaupt nicht notwendig
‫ist, und wenn wir diese neue Art in Betracht ziehen In diesem Blog-Artikel wird das Problem der Alpen erörtert, wenn man sagt, dass
‫die Alpen derzeit vielleicht nicht der beste Ort sind, da es wirklich schwierig, wenn nicht
‫unmöglich ist, in der bekannten Datenbank des Lebenslaufs nach Sicherheitslücken zu suchen. Tatsächlich tue ich das noch nicht
‫mit Alpine, und du kannst das mit einigen anderen tun, die du
‫für Debian Red Hat-Sachen wie diese segnest.
‫Wenn Sie also jemanden haben, der einen Sicherheitsscanner von Alpine verwendet, ist dies eine schlechte Sache für Sie.
‫Eine andere Sache, die mir in letzter Zeit aufgefallen ist, ist, dass im alpinen Bereich manchmal hinterhältige Probleme auftreten, die Sie teilweise und auf
‫eine Weise überraschen, die Sie nicht erwarten würden.
‫Ich habe kürzlich von einigen Studenten erfahren, dass der Versuch, Alpine zum Arbeiten mit Knoten Mohn zu bringen, Probleme
‫aufwirft.
‫Und ich tat.
‫Ich wusste es nicht.
‫Ich habe es nicht getestet, aber die Leute sind zu mir zurückgekehrt und haben gesagt, Alpine mit ihrem Nein J zu benutzen. S. Node Mine und Node
‫minus etwas und nein J S wird für die Dateiüberwachung verwendet, um Ihre Node App automatisch neu
‫zu starten, wenn sich Dateien ändern.
‫Das ist wirklich gut für die Entwicklung, aber offensichtlich hatten sie Probleme mit Alpine, wenn
‫sie keine Probleme mit Ubuntu und Debian gehabt hätten, und ich erwähne dies nur, weil es ein wichtiger Faktor
‫ist, den Sie berücksichtigen müssen, wenn Sie loslegen und implementieren ein neues Basisimage.
‫Viele Leute kommen zu mir und sagen, was Sie von Alpine halten, wenn ich alles auf
‫Alpine umstelle.
‫Soll ich alle meine Bilder aufnehmen, die ich auf Debian oder immun gegen oder S aufbaue? O. S oder etwas anderes.
‫Und sollte ich all diese auf Alpine verlagern, weil ich höre, dass es kleiner
‫und sicherer ist und ich und meine Antwort heutzutage ehrlich sind, ist es komplizierter, und Sie sollten es wahrscheinlich in
‫Betracht ziehen, aber vielleicht auch einfach nicht daran festhalten, was Sie sind Gut in und was Sie wissen,
‫dass die Scanner jahrelang arbeiten. Wahrscheinlich können Sie die Standardbilder verwenden, da alle offiziellen Bilder, die standardmäßig von Docker stammen,
‫wie z. B. der Knoten 1.
‫Daher verwenden die no default-Images standardmäßig Debian, das etwas größer ist als
‫das Alpine-Image, aber 80 Meg.
‫Ich meine, das ist nur ein kleiner Faktor, der für mich kein großer Motivator ist, es sei denn,
‫ich bin auf einem von Ihnen bekannten IO-T-Gerät, vielleicht so ähnlich.
‫Sie wissen, am Rande oder etwas, wo ich eine wirklich kleine Flash-Laufwerke oder etwas, das ein Problem
‫sein könnte.
‫Wenn Sie sich jedoch die Standardbilder ansehen, ohne dies im Hintergrund zu bemerken,
‫wissen Sie alle diese Standardbilder, wenn Sie einfach Docker run node oder duck eingeben oder my sequel ausführen.
‫Diese werden alle standardmäßig unter Debian laufen, weil Docker sie vor sechs Jahren
‫so erstellt hat.
‫Aber alle diese haben jetzt alpine Wahlen.
‫Du würdest vielleicht meinen Nachfolger "Doppelpunkt Alpin" sagen und das Tag für Alpin verwenden, und das ist in Ordnung, aber das bedeutet
‫nicht, dass du automatisch immer eine bessere Erfahrung machst.
‫Nicht alle Pakete sind auch im Alpine Package Manager verfügbar.
‫Tatsächlich muss ich für meinen eigenen Gebrauch Sicherheitstools oder andere Dienstprogramme behalten, von denen einige in Alpine
‫funktionieren und andere einfach nicht.
‫Und ehrlich gesagt möchte ich nicht manuell herausfinden, wie sie erstellt werden, da sie nicht erstellt werden
‫können, und ich möchte das aufgrund unterschiedlicher Bibliotheken nicht weiter beheben.
‫Also lasse ich für die meisten meiner Tools einfach ein Debian und verwende andere über Alpine.
‫Und am Ende des Tages weiß ich, dass fast alles auf Debian von Anfang an
‫funktionieren wird, weil die App, um den Paket-Manager oder den passenden Paket-Manager zu bekommen, so etwas wie der König des
‫Paket-Managers ist.
‫Wenn es ein Paket für etwas gibt, wird es wahrscheinlich ein passendes sein.
‫Richtig.
‫Sie könnten etwas in Yum nicht sehen.
‫Sie werden es vielleicht nicht im Paketmanager unserer Pyne sehen, aber es wird immer
‫eine gute Sache sein und kommt mit Debian und Ubuntu und anderen Varianten dieser Basis-Images.
‫Wenn Sie also über Bilder nachdenken und das Ganze zusammenfassen, wenn Sie über Bilder nachdenken
‫und die Sicherheit Ihrer Basisbilder verbessern möchten, ist dies definitiv ein Faktor.
‫Wenn Sie sich jedoch große Sorgen um die Sicherheit machen, möchten Sie Ihre Bilder scannen.
‫Wenn Sie das wollen, kann dies ein Nachteil für Sie sein.
‫In diesem Fall also unbedingt diesen Artikel lesen, da ich ihn im Text dort hochgeschmissen habe.
‫Eine andere Sache ist, ist der Raumnutzen wirklich wichtig für Sie.
‫Sie wissen, ob Sie ein wenig an potenzieller Sicherheit verlieren und die Bildgröße nicht
‫so wichtig ist, insbesondere, wenn Sie über 800 oder 900-mag-Bilder verfügen, die bei Ihren
‫Geschäften häufig vorkommen mit Dingen wie Java oder HP und solchen Sachen.
‫Dies sind normalerweise sehr große Bilder im Vergleich zu 80 Megabyte oder fünf Megabyte.
‫Denken Sie also ein wenig darüber nach.
‫Wechseln Sie nicht einfach automatisch alle Ihre Daten, weil Sie gehört haben, dass die Gliederung sicherer ist.
‫Es ist offensichtlich, dass Alpine viele weitere Sicherheitsvorteile bietet, da es klein ist.
‫Es hat nur sehr wenige potenzielle Schwachstellen, aber es hat Schwachstellen, es ist
‫nicht undurchlässig für Software-Schwachstellen, es ist nur vielleicht weniger.
‫Das Ubuntu und Debian.
‫Das Letzte, was ich dazu sagen werde, ist, wenn Sie sich die anderen von Bildern wie Ubuntu und Debian nicht
‫angesehen haben, werden diese Bilder mit der Zeit kleiner und ich zeige es Ihnen nur zum Beispiel.
‫Eigentlich ist es nur ein kleiner Ärger von mir, denn aus diesen Images und neuen
‫Versionen, die sich in alten Images befanden, werden Dinge herausgezogen, die tatsächlich Probleme in Ihrer Software verursachen können.
‫Zum Beispiel bezahlen oder IP-Konfiguration oder vielleicht sogar den P S -Befehl.
‫Dinge, die vor Jahren vielleicht im Image waren, wie Sie es gewohnt waren, sind in jenen Standardimages der aktuellen Versionen möglicherweise nicht mehr
‫enthalten, und das kann ein kleines Problem sein, wenn Sie davon ausgehen, dass
‫sie immer da sind.
‫Heutzutage habe ich die Angewohnheit, auch wenn ich einen Segen benutze, um ein Image von der Stange zu erstellen, vielleicht verwende
‫ich die Standard-Images, die ein Debian verwenden, das ich verwenden werde.
‫Ich mache auch eine geeignete Installation von Dingen wie dem PS-Befehl für das Auflisten von Prozessen oder das Einrollen oder was auch immer ich
‫für das richtige Bezahlen oder so etwas benötige, und das ist nur, um sicherzustellen, dass sie in zukünftigen
‫Versionen diese Dinge übernehmen Ich werde sie immer in meinem Image haben, weil ich ein benutzerdefiniertes
‫Image erstellt habe, das diese installiert.
‫Wenn ich hier also nur ein Docker-Image mache, habe ich keine aufgeräumte Maschine, also nein, das tue ich.
‫Eigentlich habe ich hier nur
‫ein paar, also wenn ich ein Docker-Image-Pull von mache, dann
‫machen wir einfach Ubuntu und dann debütieren wir und dann machen wir
‫Alpine, weil sich diese Zahlen die ganze Zeit ändern.
‫Ich bin mir nicht sicher, welche Zahlen am häufigsten vorkommen, wie der aktuelle Status lautet. Lassen Sie uns das
‫Docker-Image also wieder und weniger ausführen.
‫Richtig, Alpine kommt mit fünfeinhalb Meg. Ziemlich verrückt rein.
‫Wenn Sie in den ganzen Grund dahinter kommen, ist es eigentlich ziemlich cool, wie sie statische Binärdateien
‫und solche verknüpften Binärdateien erstellen, die nicht wirklich klein sind.
‫Wenn man sich Ubuntu anschaut, war
‫ein Segen vor drei Jahren wahrscheinlich einhundertzwanzig Meg.
‫Mindestens hundertdreißig Meg.
‫Und jetzt ist es nur noch siebenundachtzig und die aktuelle Version von Debian ist eins zu eins.
‫Was seltsam ist, weil Sie normalerweise denken, dass ein Segen für Debian normalerweise größer ist, und ich bin
‫mir nicht sicher, ob sich dies in der nächsten Veröffentlichung von Debian ändert.
‫Es gibt jemanden im Chat, der diese Antwort wahrscheinlich schneller
‫kennt
‫als ich, aber ich
‫denke, dass es Version C gibt, die experimentell ist, vielleicht ist es zu experimentell.
‫Ich werde nur vermuten, dass es kleiner ist und denken Sie daran, während wir
‫dies tun, dass, wenn Sie auch an Ihre denken, ich 100 hundert Container
‫laufen haben könnte.
‫Denken Sie daran, dass unter der Annahme, dass alle dieselbe Basisschicht verwenden, diese Schicht auf dem Angebotssystem
‫nur einmal verwendet wird.
‫Solange Sie Ihr Image sauber halten, indem Sie es automatisch bereinigen, und wenn Sie beispielsweise sicherstellen, dass sich die meisten Ihrer ausgeführten Apps in
‫einer oder zwei Versionen der Basis-Images befinden, können Sie es nicht anziehen Sie haben nicht alle
‫Versionen auf dem Server, dann werden Sie mit diesem Zeug nicht viel Platz in
‫Anspruch nehmen.
‫Gut, sehen wir uns experimentell an.
‫Es ist tatsächlich größer.
‫Das ist schade.
‫Ich scheine mich daran zu erinnern, dass ich letztes Jahr irgendwann gelesen habe, dass ein Segen für und Debian zu etwas übergegangen ist, und dass
‫sie ihre eigene schlanke schlanke Sache haben, da ist etwas etwas anderes.
‫Es hält definitiv viel mehr davon fern, aber Sie fragen sich vielleicht, wie diese Dinge kleiner werden.
‫Es ist nicht so, dass sie sie komprimieren oder komprimieren, es ist so, dass sie
‫Werkzeuge herausziehen, die nicht mehr notwendig sind, oder Bibliotheken herausziehen, die für diese Kernwerkzeuge nicht
‫mehr benötigt werden.
‫Und deshalb Dinge wie P. S. und Bezahlen und Kernel und andere Dienstprogramme verschwinden von
‫diesen Bildern.
‫Also sei vorsichtig damit.
‫Ich denke, es ist eine großartige Diskussion und ich freue mich darauf, Ihre Kommentare
‫zu hören und Ihre Kommentare dazu zu lesen.
‫Ich plane derzeit Aktualisierungen einiger meiner Kurse, um darüber zu sprechen und ein wenig mehr Informationen
‫über Alpine zu geben, und warum, wann und warum Sie es möglicherweise über eine andere Version eines Basis-Images aussuchen
‫möchten, weil es ein gutes Image ist Es gibt natürlich viele
‫Gründe, ein Basis-Image einem anderen vorzuziehen.