‫Tudo certo.
‫Então, algo que eu queria falar nesta semana e gostaria de ouvir seus pensamentos sobre isso nos comentários, quer você esteja fazendo isso
‫ou não, ou se preocupe com isso, são ótimas coisas que o Dr. capitães de quem falamos em nosso bate-papo
‫seleto, algumas semanas atrás, acho que poderiam ter sido na semana passada ou na
‫semana anterior, mas foram mais alguns artigos publicados e um especificamente alguns meses atrás, três ou
‫quatro meses atrás em torno da verificação de segurança de contêineres e o que realmente significa
‫são as imagens que você está fazendo dentro do Docker, que são os elementos básicos para seus contêineres.
‫Esses também são armazenamento para o seu aplicativo, assim como as dependências.
‫Portanto, o mais legal dessa imagem é que agora ela se torna um ótimo local para procurar vulnerabilidades
‫conhecidas ou possíveis falhas de segurança no código, nos aplicativos e na dependência.
‫Então, chamamos isso de digitalização de contêiner ou digitalização de imagens.
‫Existe um tipo diferente de terminologia na indústria, mas há muitos scanners por aí e há mais do
‫que alguns.
‫E todos têm prós e contras, e se você é, isso parece familiar.
‫Isso é muito semelhante às antigas guerras antivírus, nas quais tínhamos diferentes scanners
‫antivírus que entendiam coisas diferentes.
‫Hoje em dia, porém, com a varredura de contêiner, a que normalmente falamos primeiro é usar o banco de dados
‫aberto conhecido.
‫Essa é a palavra-chave na qual existem vulnerabilidades conhecidas no software de código aberto, principalmente no software de código aberto, mas
‫não é exclusivo do código aberto.
‫Acontece que é principalmente de código aberto, porque é aí que tendemos a encontrar permitir as falhas, porque
‫podemos ver a fonte.
‫Então, acabamos como uma indústria, descobrindo onde os problemas são mais rápidos.
‫Para que esse material tenha um banco de dados de vulnerabilidades conhecidas, ele é atualizado o tempo todo.
‫E existem scanners disponíveis, alguns gratuitos, que não digitalizam sua imagem e suas dependências.
‫Portanto, não apenas seu aplicativo, mas também qualquer aplicativo para obter dependências instaladas, você sabe coisas como Open SSL
‫ou até se enrola se houver uma vulnerabilidade e você tem isso na imagem do contêiner.
‫Esses scanners devem ajudá-lo a encontrar essas vulnerabilidades, para que você possa atualizá-las
‫e, esperançosamente, aplicar uma correção e alguma conversa interessante tenha surgido sobre um artigo desse cara Steven, e foi aí que esses
‫scanners têm prós e contras diferentes, alguns detectam alguns problemas detectam outros problemas
‫e talvez eles não usem a mesma coisa.
‫Mas no final das contas, uma das coisas no Linux das quais realmente dependem é o sistema operacional ou, neste caso, a imagem
‫base como você recebe no Debian S. O. S.
‫Coisas alpinas assim.
‫Essas diferentes imagens de base geralmente precisam traduzir onde os arquivos estão no sistema e a que programa esses arquivos
‫se relacionam, talvez como as bibliotecas Open Source de código aberto para fornecer SSL aos seus servidores da web.
‫Portanto, esses arquivos existirão no sistema operacional em algum lugar no caminho do arquivo
‫e todos se reunirão em um pacote, e esses fornecedores precisam fornecer aos scanners essencialmente uma tradução para
‫descobrir se os scanners descobrirão onde os pacotes estão.
‫ESTÁ BEM.
‫Então esse é o plano de fundo.
‫E acontece que nem todas as distribuições de sistemas operacionais do Linux fornecem essa funcionalidade e nem todas a fornecem
‫tão bem quanto outras.
‫Portanto, isso pode causar problemas se você estiver procurando por vulnerabilidades.
‫Em outras palavras, sua imagem base, seja Ubuntu ou S. O. S ou Red Hat ou alpino que
‫agora importa em termos de você poder verificar o banco de dados completo de vulnerabilidades conhecidas e não nessa imagem.
‫Tudo bem e um ponto interessante que eu acho que chegou nesse artigo e,
‫a propósito, eu vou lançar este artigo no chat ao vivo.
‫Você pode conferir isso.
‫Um ponto interessante que foi levantado é que, neste momento, aqui embaixo, ele fala sobre o problema alpino, que eu
‫acho que é uma discussão bastante interessante em torno de nós, como fabricantes de contêineres.
‫Talvez alguém que faça contêineres ou pelo menos esteja interessado em fazer contêineres.
‫E se você faz com que essas imagens sejam uma de suas preocupações corretas, é segurança e segurança, você sabe que tentamos agrupar tudo
‫o que é seguro ou se fizemos segurança e isso realmente não é uma coisa
‫certa.
‫Nós todos.
‫Se você já está lá há tempo suficiente, sabe que a segurança é um monte de coisas e
‫não existe verdadeiramente seguro.
‫Certo.
‫Talvez sempre brincemos que o sistema mais seguro é aquele desativado.
‫Portanto, quando você fala sobre o seu software, há muitas coisas a considerar e o Alpine é realmente
‫uma ótima distribuição, que fornece uma imagem base do Alpine Linux e uma das melhores partes é que
‫é muito mínimo, muito pequeno e chega em torno de 5 Meg, que é maluca, comparada a algo como
‫uma benção ou S. O. S.
‫Agora você pode comparar isso no sistema operacional completo, mas estamos falando apenas aqui das próprias imagens
‫que a imagem do contêiner não é o seu sistema operacional host.
‫Não quero falar sobre o sistema operacional host. Quero apenas falar sobre as imagens de base para seus contêineres,
‫porque o que vejo na indústria e gostamos de falar sobre isso on-line é o que há
‫de mais moderno no Zeit Geist. da nossa comunidade se apegou e acho que, nos últimos dois anos,
‫a Alpine aumentou muito a ver com o fato de ter uma imagem tão pequena para os contêineres, o que
‫é uma coisa boa.
‫E se você sabe que eu já fiz isso, mas se eu pesquisei no Google, você sabe a imagem de base segura do Docker, se você começar a procurar por aí,
‫se eu apenas procurar a palavra Alpine, ela não aparecerá nesta página.
‫Foi um fracasso no Google, mas o que eu esperaria ver são as pessoas falando sobre a Alpine
‫porque grande parte da indústria gosta de recomendar a Alpine como uma maneira de obter segurança automática ou melhor
‫segurança imediatamente.
‫E a razão pela qual estamos argumentando é que é pequena.
‫Portanto, se for menor, significa menos arquivos, menos vulnerabilidades em potencial, menos coisas para fixá-lo e corrigir
‫potencialmente.
‫Certo.
‫E isso tem sido algo que fazemos há décadas na era do Windows 2000 de 2008.
‫Lembro-me de quando o Windows 2008 saiu, a Microsoft tinha uma nova versão chamada core que era uma versão menor do
‫Windows Server.
‫E, na época, um dos maiores argumentos era a melhor segurança, com menos correções.
‫E assim, se você, em teoria, tiver menos software na máquina, haverá menos com o que se preocupar em
‫termos de aplicação de patches e possíveis vulnerabilidades.
‫Portanto, esse é o caso do nosso Pyne, que é uma das razões para argumentar que eles são mais seguros, mas o
‫espaço nem sempre é o fator número um de fato como operador, como alguém que administra servidores para viver,
‫não vejo esse espaço como barato.
‫Você conhece 100 meg desse espaço, mesmo que seja cinco vezes que as imagens sejam boas para mim. Não preciso economizar quinhentos
‫meg megs nos meus servidores.
‫O que você sabe normalmente: não estou fazendo backup de sistemas operacionais completos. Você costuma focar em backups de aplicativos na
‫maioria das vezes, especialmente agora na nuvem, onde não estamos fazendo backups de servidores baseados em imagem, se
‫é algo que você já fez.
‫Nos velhos tempos, onde realizamos backups de imagem completos, muitos dos nossos backups eram apenas
‫o sistema operacional inteiro repetidamente.
‫Bem, nós não fazemos tanto isso hoje em dia, como uma indústria, especialmente nativa da nuvem, e acho que
‫quando falamos de imagens e tamanho não é um dos meus três principais fatores realmente em termos de
‫imagem e qualidade.
‫Então, quando olho para uma imagem e possíveis problemas de segurança ou o que quer que seja, ou apenas o
‫uso de uma imagem, seja um show ou 20 meg no final do dia, não estou tão preocupada que só preciso
‫planejar isso porque, afinal, talvez seja um custo de armazenamento, mas esse custo é uma das coisas mais baratas da minha
‫lista de custos.
‫Ser humano é a coisa mais cara e, em seguida, outras coisas, como o poder da computação em termos de redes de
‫memória CPE, são sempre para mim mais caras que o disco.
‫Portanto, eu não costumo recomendar às pessoas que façam Alpine fora do portão.
‫De fato, se você já me viu falar sobre a produção do Docker, sabe que uma das coisas sobre as
‫quais eu falo é continuar com o que você sabe ficar com o Debian ficar com o Ubuntu ficar com o Ubuntu
‫e com o SO enviado ficar com essas imagens, se é isso que você está usando porque o Alpine é muito diferente, ele
‫tem um gerenciador de pacotes diferente, são esses locais de arquivos diferentes, então você terá que acabar alterando muito
‫do seu aplicativo apenas para usar o Alpine e, na maioria dos casos, agora alguns casos, se você estiver usando o go ou talvez nenhum J ou algo que
‫você provavelmente não precise mudar muito.
‫Mas, mesmo recentemente, vi apenas no ano passado e, especialmente, nos últimos três meses, vi vários outros
‫indicadores de por que talvez você não deva usar o Alpine como sua imagem de base e isso realmente não é sobre
‫jogar sombra em Alpine e dizendo que descreve ruim.
‫É realmente necessário realizar o trabalho extra de implementar o Alpine apenas por uma questão de mais segurança e imagens menores,
‫por isso talvez não seja o meu argumento. Não acho que isso seja necessário e se considerarmos
‫esse novo tipo Uma discussão sobre o problema da Alpine neste artigo do blog é dizer que a Alpine agora talvez não seja o
‫melhor lugar, porque é realmente difícil, se não impossível, procurar vulnerabilidades de segurança no banco de
‫dados conhecido do CV que banco de dados de vulnerabilidades comuns você pode ' Na verdade, você ainda faz
‫isso com alpine e você pode fazer isso com outros que você
‫gosta de coisas do Debian Red Hat assim.
‫Portanto, se você é alguém que vai usar um scanner de segurança Alpine, é realmente uma coisa ruim para você.
‫Outra coisa que notei recentemente é que, às vezes, os alpinos têm problemas sorrateiros que surgem em você parcialmente
‫e de maneiras que você não esperaria.
‫Recentemente, alguns alunos me disseram que tentar fazer com que o Alpine trabalhasse com o nó Mohn tem problemas
‫conhecidos.
‫E eu fiz.
‫Eu não, não estava ciente disso.
‫Não testei, mas as pessoas voltaram para mim e disseram que usavam o Alpine sem J. S. o nó mina e o
‫nó menos algo e nenhum J S é para usar no monitoramento de arquivos para reiniciar automaticamente o aplicativo do
‫nó sempre que os arquivos forem alterados.
‫Isso é realmente bom para o desenvolvimento, mas evidentemente eles tiveram problemas com os alpinos quando
‫não tiveram problemas com o Ubuntu e o Debian e só estou trazendo isso à tona porque é um
‫fator importante a considerar quando você vai implementar uma nova imagem de base.
‫Muitas pessoas vêm até mim e dizem o que você acha da Alpine, caso eu mude tudo para
‫a Alpine.
‫Devo tirar todas as minhas imagens que estou construindo no Debian ou imune ou S. O. S ou algo mais.
‫E devo mudar todos esses itens para a Alpine, porque ouço que é menor e mais
‫seguro, e eu e minha resposta honestamente hoje em dia é que é mais complicado do que isso e você provavelmente deve
‫considerar isso, mas talvez também não goste do que você é bom e com o que você sabe que os
‫scanners funcionam há anos, provavelmente você pode usar as imagens padrão, porque todas as imagens oficiais que são padrão do Docker,
‫como vamos ver o nó 1.
‫Portanto, todas as imagens padrão não usam o Debian abaixo, que é um pouco maior, talvez 80 Meg
‫maior que a imagem Alpina, mas 80 Meg.
‫Quero dizer, isso é apenas um pequeno fator que não é para mim um grande motivador, a menos que eu
‫esteja em algum tipo de dispositivo conhecido IO T, talvez algo assim.
‫Você sabe no limite ou algo em que eu tenho flash drives realmente pequenos ou algo que pode
‫ser uma preocupação.
‫Mas se você observar as imagens padrão, se não percebeu isso em segundo plano,
‫todas essas imagens padrão serão exibidas se você digitar apenas o Docker run node ou duck ou executar minha sequela.
‫Todos serão executados no Debian por padrão, porque foi assim que o Docker os construiu para
‫começar, seis anos atrás.
‫Mas todos esses agora têm opções alpinas.
‫Então você pode dizer meu sequel cólon Alpine e usar a tag para Alpine, tudo bem, mas isso não significa que
‫você automaticamente terá uma experiência melhor o tempo todo.
‫Nem todos os pacotes estão disponíveis no gerenciador de pacotes Alpine.
‫De fato, para meu próprio uso, tenho de manter ferramentas de segurança ou utilitários diferentes, alguns deles funcionam no
‫Alpine e outros simplesmente não.
‫E, francamente, não quero ir e descobrir manualmente como construí-los, porque eles não conseguem compilar e
‫ainda não quero solucionar isso por causa de diferentes bibliotecas.
‫Então, deixo um Debian para a maioria das minhas ferramentas e uso outras através do Alpine.
‫E no final do dia eu sei que quase tudo vai funcionar no Debian imediatamente
‫porque o aplicativo para obter o gerenciador de pacotes ou o apt apt manager é como o rei do gerenciador
‫de pacotes.
‫Se houver um pacote para algo, provavelmente será um apt.
‫Certo.
‫Você pode não ver algo em Yum.
‫Você pode não vê-lo no gerenciador de pacotes do Pyne, mas sempre será
‫adequado e vem com o Debian e Ubuntu e outras variantes dessas imagens básicas.
‫Portanto, quando você pensa em imagens e soma tudo isso quando pensa em imagens e
‫deseja criar sua segurança de imagens de base é definitivamente um fator.
‫Mas um deles, se você está realmente preocupado com a segurança, deseja digitalizar suas imagens.
‫Então, se você quiser fazer isso alpino, pode ser uma desvantagem para você.
‫Nesse caso, leia definitivamente este artigo, pois eu o vomitei no texto lá.
‫Outra coisa é que o benefício espacial realmente importa para você.
‫Você sabe se se você está perdendo um pouco da segurança potencial e se o tamanho da imagem
‫não importa tanto, especialmente se você é alguém que conhece imagens de 800 ou 900 mag que são
‫comuns quando você está lidando com coisas como você conhece Java ou HP e coisas assim.
‫Geralmente, são imagens muito grandes, comparadas a 80 ou cinco meg.
‫Então pense um pouco sobre essas coisas.
‫Não basta alternar automaticamente todas as suas coisas, porque você ouviu que o esboço era mais seguro.
‫Obviamente, existem muitas outras vantagens de segurança para o Alpine, uma vez que é pequeno.
‫Ele tem muito poucas vulnerabilidades em potencial, mas tem vulnerabilidades certas, não é
‫imune a vulnerabilidades de software, é apenas talvez menos.
‫O Ubuntu e o Debian.
‫A última coisa que direi sobre isso é que, se você não olhou para o outro a partir de imagens
‫como Ubuntu e Debian, essas imagens estão ficando menores com o tempo e apenas mostrarei, por exemplo.
‫Na verdade, é uma pequena irritação minha, porque as coisas estão sendo retiradas dessas imagens
‫e novas versões que costumavam estar em imagens antigas e que podem realmente causar problemas em seu software.
‫Por exemplo, pagamento ou configuração de IP ou talvez até o comando P S.
‫As coisas que estavam na imagem anos atrás, às quais você estava acostumado, talvez não estejam mais nessas imagens padrão nas
‫versões atuais e que podem ser um pouco problemáticas se você presumir que
‫elas sempre estariam lá.
‫Então hoje em dia eu tenho o hábito de usar uma benção para criar imagens prontas para uso,
‫talvez esteja usando as imagens padrão que usam o Debian.
‫Também irei fazer uma instalação adequada de coisas como você conhece o comando PS para listar processos ou enrolar ou o
‫que eu precisar pagar corretamente ou algo assim, e isso é apenas para garantir que, nas
‫versões futuras, elas aceitem essas coisas sempre os terei na minha imagem porque
‫fiz uma imagem personalizada instalando-os.
‫Portanto, se eu apenas fizer uma imagem do Docker L S aqui, não tenho uma máquina limpa, então não tenho.
‫Na verdade, eu só tenho
‫algumas aqui, então, se eu fizer uma captura de imagem
‫do Docker, vamos fazer o Ubuntu e depois fazer a estreia e
‫o Alpine, porque esses números mudam o tempo todo.
‫Na verdade, não tenho certeza de quais são os números mais freqüentes e qual
‫é o status atual.
‫Certo, então Alpine chega com cinco e meio meg, bem doido.
‫Se você entender toda a razão por trás disso, é realmente muito legal como eles constroem binários estáticos e
‫binários vinculados a coisas, para que não sejam realmente pequenos.
‫Se você olhar para o Ubuntu um
‫benefício a três anos atrás, era provavelmente cento e vinte Meg.
‫Cento e trinta Meg, pelo menos.
‫E agora é oitenta e sete e a versão atual do Debian é de 1 para 1.
‫O que é estranho, porque você normalmente pensaria que um benefício normalmente é maior que o Debian e
‫não tenho certeza de que isso esteja mudando no próximo lançamento do Debian.
‫Alguém no bate-papo provavelmente conhece essa resposta mais
‫rapidamente
‫do que eu, mas
‫acho que pode haver a versão C experimental, talvez seja muito experimental.
‫Só vou adivinhar que é menor e lembre-se, enquanto fazemos isso, que
‫se você estiver pensando em você também, posso ter 100 cem
‫contêineres em execução.
‫Lembre-se de que, supondo que todos estejam usando a mesma camada base, essa camada está ocupando apenas uma vez a mesma
‫no sistema de ofertas.
‫Desde que você mantenha sua imagem limpa, você pode removê-la automaticamente, desde que faça coisas como garantir que a maioria dos aplicativos em
‫execução esteja dentro de uma ou duas versões das imagens base, para que você não
‫tiver todas as versões no servidor, você não ocupará muito espaço com essas
‫coisas corretamente.
‫Tudo bem, vamos olhar experimental.
‫Na verdade é maior.
‫Isso é uma chatice.
‫Eu me lembro em algum momento do ano passado lendo sobre um benefício e o Debian mudando para algo e eles
‫têm seu próprio slim slim, há algo um pouco diferente.
‫Definitivamente mantém muito mais fora de lá, mas você pode se perguntar como essas coisas estão ficando menores.
‫Não é porque eles estão fechando ou compactando-os, é porque eles estão apenas retirando
‫ferramentas que não são essenciais ou bibliotecas que não são mais necessárias para
‫essas ferramentas principais.
‫E é por isso que coisas como P. S. e pagar, kernel e outros utilitários estão desaparecendo dessas
‫imagens.
‫Portanto, tenha cuidado com isso.
‫Então eu acho que é uma ótima discussão e espero ouvir seus comentários
‫e ler seus comentários sobre isso aqui.
‫Na verdade, estou planejando atualizações em alguns dos meus cursos para falar sobre isso e fornecer um pouco mais de informações
‫sobre o Alpine e por que quando e por que você pode escolher entre uma versão diferente de uma imagem base, porque é uma
‫boa discussão e obviamente há muito o que falar sobre várias razões diferentes para escolher
‫uma imagem de base em detrimento de outra.