‫Todo bien.
‫Entonces, algo de lo que quería hablar esta semana y me encantaría escuchar su opinión sobre esto en los comentarios, ya sea que lo esté
‫haciendo o no, o si le preocupa es algo muy bueno que el Dr. de los capitanes de los que hablamos en
‫nuestro chat selecto hace un par de semanas, creo que podría haber sido la semana pasada
‫o la semana anterior, pero fue más sobre algunos artículos que salieron y uno específicamente hace un par
‫de meses hace tres o cuatro meses en torno al escaneo de seguridad de contenedores y lo que
‫eso realmente significa es sus imágenes que está haciendo dentro de Docker que son los bloques de construcción para sus contenedores.
‫Esos son almacenamiento para su aplicación como las dependencias también.
‫Entonces, lo bueno de esa imagen es que ahora se convierte en un gran lugar para explorar vulnerabilidades conocidas o
‫posibles fallas de seguridad en el código y en las aplicaciones y la dependencia.
‫Entonces llamamos a ese escaneo de contenedores o escaneo de imágenes.
‫Hay diferentes tipos de terminología en la industria, pero hay muchos escáneres y hay más de unos
‫pocos.
‫Y todos tienen pros y contras, y si es así, esto suena familiar.
‫Esto es muy similar a las antiguas guerras de antivirus en las que teníamos diferentes escáneres
‫de antivirus que detectaban diferentes cosas.
‫Pero hoy en día con el escaneo de contenedores, el que generalmente hablamos primero es usar la base de datos abierta
‫de conocidos.
‫Esa es la palabra clave: existen vulnerabilidades conocidas en el software de código abierto, principalmente software de código abierto, pero
‫no es exclusivo del código abierto.
‫Simplemente sucede que es en su mayoría de código abierto porque allí es donde tendemos a encontrar permitir los defectos
‫porque podemos ver la fuente.
‫Así que terminamos como una industria descubriendo dónde los problemas son más rápidos.
‫Para que esas cosas tengan una base de datos de vulnerabilidades conocidas, se actualiza todo el tiempo.
‫Y así, hay escáneres disponibles, algunos gratuitos, otros que no escanearán su imagen y sus dependencias.
‫Entonces, no solo su aplicación, sino también cualquier aplicación para obtener dependencias que están instaladas, conoce cosas como Open SSL
‫o incluso curl si hay una vulnerabilidad en eso y lo tiene en su imagen de contenedor.
‫Se supone que estos escáneres lo ayudarán a encontrar esas vulnerabilidades para que pueda
‫actualizarlas y, con suerte, aplicar una solución y surgió una conversación interesante sobre un artículo de este tipo Steven y fue alrededor de que
‫estos escáneres tienen diferentes ventajas y desventajas, algunos detectan problemas algunos detectan otros problemas y
‫tal vez no toda la tecnología es lo mismo.
‫Pero al final del día, una de las cosas en Linux de las que realmente dependen es el sistema operativo o, en este caso, la imagen
‫base como la que usted ofrece a Debian S. O. S.
‫Cosas alpinas como esas.
‫Esas imágenes base diferentes a menudo necesitan traducir dónde están los archivos en el sistema y con qué programa se
‫relacionan esos archivos, como las bibliotecas Open SSL de código abierto para proporcionar SSL a sus servidores web.
‫Por lo tanto, esos archivos existirán en el sistema operativo en algún lugar de
‫una ruta de archivo y todos se unirán en un paquete y esos proveedores deberán proporcionar a los escáneres
‫esencialmente una traducción para descubrir dónde están los paquetes.
‫OKAY.
‫Entonces ese es el trasfondo.
‫Y resulta que no todas las distribuciones de sistemas operativos de Linux proporcionan esa funcionalidad y no todas la proporcionan
‫tan bien como otras.
‫Por lo tanto, esto puede causar problemas si va a buscar vulnerabilidades.
‫En otras palabras, su imagen base ya sea Ubuntu o S. O. S o Red Hat o alpine que
‫ahora importa en términos de que usted pueda escanear la base de datos completa de vulnerabilidades conocidas en esa imagen.
‫Muy bien y un punto interesante que creo que llegó a través de este
‫artículo y, por cierto, lo lanzaré en el chat en vivo.
‫Puedes ver eso.
‫Un punto interesante que se hizo es que en este momento, ya que está aquí abajo, habla sobre el problema alpino,
‫que creo que es una discusión bastante interesante en torno a nosotros como fabricantes de contenedores.
‫Tal vez alguien que hace contenedores o al menos está interesado en hacer contenedores.
‫Y si considera que esas imágenes son una de sus preocupaciones correctas, la seguridad y la seguridad a menudo le hacen saber que tratamos de hacer una
‫suma global de todo lo que es seguro o si lo hemos hecho y eso no es algo
‫correcto.
‫Todos.
‫Si ha estado allí el tiempo suficiente, sabe que la seguridad es muchas cosas y que no
‫existe una seguridad real.
‫Correcto.
‫Tal vez siempre bromeamos que el sistema más seguro es uno que está apagado.
‫Entonces, cuando habla sobre su software, hay muchas cosas que considerar y Alpine es una distribución realmente excelente
‫y proporciona una imagen base de Alpine Linux y una de las mejores partes es que es muy
‫mínima, es muy pequeña, llega a alrededor de 5 Meg, que es una locura pequeña en comparación con algo
‫como una bendición o S. O. S.
‫Ahora puede comparar eso en el sistema operativo completo, pero en realidad solo estamos hablando de las imágenes
‫en sí mismas, la imagen del contenedor no es su sistema operativo host.
‫No quiero hablar sobre el sistema operativo host, realmente quiero hablar sobre sus imágenes base para sus contenedores porque lo
‫que veo en la industria y nos encanta hablar de esto en línea es lo que es genial y
‫moderno que el Zeit Geist de nuestra comunidad se ha dado cuenta y creo que en los últimos años Alpine
‫ha aumentado su popularidad mucho que ver con el hecho de que tiene una imagen tan pequeña para los contenedores, así que
‫eso es algo bueno.
‫Y si sabes que incluso he hecho esto, pero si busqué en Google, sabrás una imagen base segura de Docker si empiezas a buscar por ahí si
‫solo busco la palabra Alpine que no aparece en esta página.
‫Así que fue un error de Google, pero lo que esperaría ver es que la gente hable de Alpine
‫porque a mucha industria le gusta recomendar Alpine como una forma de obtener seguridad automática o una mejor seguridad
‫de fábrica.
‫Y la razón por la que estamos discutiendo es que es pequeña.
‫Entonces, si es más pequeño, eso significa menos archivos, menos vulnerabilidades potenciales, menos cosas a las que fijarlos para
‫potencialmente parchar.
‫Correcto.
‫Y esto ha sido algo que hemos estado haciendo durante décadas en la era de Windows 2000 2008.
‫Recuerdo cuando salió Windows 2008, Microsoft tenía una nueva versión llamada core que era una versión más pequeña de
‫Windows Server.
‫Y en ese momento, uno de los mayores argumentos fue una mejor seguridad a través de menos parches.
‫Entonces, si en teoría tiene menos software en la máquina, entonces hay menos de qué preocuparse
‫en términos de parches y vulnerabilidades potenciales.
‫Así que ese es el caso de nuestro Pyne, esa es una de sus razones para argumentar que son más seguros, pero el
‫espacio no siempre es el factor número uno, de hecho, como operador como alguien que ejecuta servidores para ganarse la vida.
‫No veo este espacio como barato.
‫Sabes 100 meg de este espacio, incluso si son cinco veces bien, no necesito ahorrar quinientos megas de
‫espacio en mis servidores.
‫Lo que usted sabe, por lo general, no estoy haciendo una copia de seguridad de los sistemas operativos completos, por lo general, se centra en las copias
‫de seguridad de las aplicaciones, especialmente ahora en la nube, donde no estamos haciendo copias de seguridad de servidores basados en imágenes si eso
‫es algo en lo que alguna vez estuvo.
‫En los viejos tiempos, donde hacer copias de seguridad de imágenes completas, muchas de nuestras copias de seguridad eran solo el
‫sistema operativo completo una y otra vez.
‫Bueno, no hacemos tanto eso, creo que hoy en día, como industria, especialmente nativa de la nube, y creo
‫que cuando hablamos de imágenes y tamaño, ni siquiera es uno de mis tres factores principales en términos de
‫imagen y calidad.
‫Entonces, cuando miro una imagen y posibles preocupaciones de seguridad o lo que sea o simplemente usando una imagen, ya
‫sea que sea un concierto o 20 megas al final del día, no estoy tan preocupada, solo necesito planificar eso porque en
‫última instancia tal vez es un costo de almacenamiento, pero ese costo es una de las cosas más baratas en mi
‫lista de costos, ¿verdad?
‫Los seres humanos son lo más caro y luego otras cosas, como la potencia informática en términos de redes de
‫memoria CPE, siempre son más caras que el disco.
‫Así que no suelo recomendar a la gente que haga Alpine fuera de la puerta.
‫De hecho, si alguna vez me has visto hablar sobre la producción de Docker, sabes que una de las
‫cosas de las que hablo es apegarse a lo que sabes pegar con Debian pegar con Ubuntu pegar con el sistema
‫operativo enviado, quédate con esas imágenes si eso es lo que estás usando porque Alpine es muy diferente, tiene un administrador de
‫paquetes diferente, tiene diferentes ubicaciones de archivos, por lo que tendrás que terminar cambiando una gran parte de tu
‫aplicación solo para usar Alpine y, en la mayoría de los casos, ahora algunos casos si estás usando ir o tal vez no J o algo que probablemente
‫no tengas que cambiar mucho.
‫Pero incluso recientemente lo he visto en el último año y especialmente en los últimos tres meses,
‫he visto muchos otros indicadores de por qué tal vez no deberías usar Alpine como imagen base y esto realmente no se trata
‫de arrojar sombra a Alpine y decir eso esboza mal.
‫Realmente se trata de si realmente necesitamos hacer el trabajo adicional de implementar Alpine solo por el bien de mayor seguridad e
‫imágenes más pequeñas, por lo que podría no ser mi argumento, no creo que sea necesario y si
‫consideramos este nuevo tipo de discusión sobre el problema de Alpine en este artículo del blog es decir que alpine en este momento tal vez
‫no sea el mejor lugar porque es realmente difícil, si no imposible, buscar vulnerabilidades de seguridad
‫en la base de datos CV conocida, esa base de datos de vulnerabilidades comunes que puede ' De hecho, no
‫lo hagas aún con Alpine que tú y tú puedes hacer con
‫otros que te ayuden a Debian Red Hat.
‫Entonces, si eres alguien que va a usar un escáner de seguridad, Alpine es realmente algo malo para ti.
‫Otra cosa que he notado recientemente es que alpine a veces tiene problemas furtivos que te engañan en parte
‫y de maneras que no esperarías.
‫Hace poco, algunos estudiantes me dijeron que tratar de hacer que Alpine funcione con el nodo Mohn tiene problemas
‫conocidos.
‫Y lo hice.
‫No lo hice, no estaba al tanto de esto.
‫No lo probé, pero la gente volvió a mí y me dijo que usara Alpine con su no J. S. El nodo mine y Node
‫menos algo y ningún J S es para usar para el monitoreo de archivos para reiniciar automáticamente su aplicación de
‫nodo cada vez que cambian los archivos.
‫Eso es realmente bueno para el desarrollo, pero evidentemente han tenido problemas con Alpine cuando
‫no habrían tenido problemas con Ubuntu y Debian y solo lo menciono porque es un factor importante a
‫tener en cuenta cuando se va a implementar Una nueva imagen base.
‫Así que mucha gente viene a mí y me dice qué piensa de Alpine si cambio todo
‫a Alpine.
‫¿Debo tomar todas mis imágenes que estoy construyendo en Debian o inmunes a o S. O. S o algo más.
‫Y debería cambiar todo eso para ir a Alpine porque escuché que es más
‫pequeño y más seguro, y mi respuesta sincera hoy en día es que es más complicado que eso y probablemente
‫deberías considerarlo, pero quizás no te apegues a lo que eres bueno y con lo que sabe que
‫los escáneres trabajan con años, probablemente pueda usar las imágenes predeterminadas porque todas las imágenes oficiales que son predeterminadas de
‫Docker, como veamos el nodo 1.
‫Por lo tanto, las imágenes sin valor predeterminado son todas para usar Debian debajo, que es más grande, un poco más grande, tal vez
‫80 Meg más grande que la imagen Alpine pero 80 Meg.
‫Quiero decir que es solo un pequeño factor que no es para mí un gran motivador a menos que
‫esté en algún tipo de dispositivo IO T tal vez algo así.
‫Sabes en el borde o algo en lo que tengo una unidad flash realmente pequeña o algo que podría
‫ser un problema.
‫Pero si mira las imágenes predeterminadas si no se dio cuenta de esto en
‫el fondo, todas estas imágenes predeterminadas son conocidas si simplemente escribe Docker run node o duck o ejecuta mi secuela.
‫Todos ellos se ejecutarán en Debian de forma predeterminada porque así es como Docker los estaba construyendo
‫para comenzar hace seis años.
‫Pero todos estos ahora tienen opciones alpinas.
‫Entonces, quizás diga mi secuela colon Alpine y use la etiqueta para Alpine y eso está bien, pero eso no significa
‫que automáticamente obtenga una mejor experiencia todo el tiempo.
‫No todos los paquetes están disponibles en el administrador de paquetes Alpine.
‫De hecho, para mi propio uso, tengo que mantener herramientas de seguridad o diferentes utilidades, algunas de ellas funcionan en
‫Alpine y otras simplemente no.
‫Y, francamente, no quiero ir y descubrir manualmente cómo construirlos porque no se pueden construir
‫y todavía no quiero solucionarlo debido a diferentes bibliotecas.
‫Así que dejo un Debian para la mayoría de mis herramientas y uso otras a través de Alpine.
‫Y al final del día, sé que casi todo va a funcionar en Debian de manera inmediata
‫porque la aplicación para obtener el administrador de paquetes o apt apt package manager es algo así como que el rey del administrador de paquetes
‫lo es todo.
‫Si hay un paquete para algo, probablemente sea un apto.
‫Correcto.
‫Es posible que no veas algo en Yum.
‫Es posible que no lo vea en el administrador de paquetes de Pyne, pero
‫siempre será apto y viene con Debian y Ubuntu y otras variantes de esas imágenes base.
‫Por lo tanto, cuando está pensando en imágenes y suma todo esto cuando está pensando en imágenes
‫y desea construir su base de imágenes, la seguridad es definitivamente un factor.
‫Pero uno de esos si está realmente preocupado por la seguridad es que querrá escanear sus imágenes.
‫Entonces, si quieres hacer eso, alpino puede ser una desventaja para ti.
‫En ese caso, definitivamente lea este artículo, ya que lo incluí en el texto allí.
‫Otra cosa es que el beneficio espacial realmente te importa.
‫Sabes si estás perdiendo un poco en la seguridad potencial y el tamaño de tu imagen
‫no importa tanto, especialmente si eres alguien que te conoce sabe 800 o 900 imágenes magnéticas que
‫son comunes cuando se trata con cosas como sabes Java o HP y cosas así.
‫Esas son comúnmente imágenes muy grandes en comparación con 80 Meg o cinco Meg.
‫Así que piensa un poco en eso.
‫No solo cambie automáticamente todas sus cosas porque escuchó que el esquema era más seguro.
‫Obviamente, hay muchas otras ventajas de seguridad para Alpine, ya que es pequeño.
‫Tiene muy pocas vulnerabilidades potenciales, pero tiene vulnerabilidades correctas, no es impermeable
‫a las vulnerabilidades de software, tal vez sea menos.
‫El Ubuntu y Debian.
‫Lo último que diré sobre esto es que si no ha mirado al otro desde imágenes como Ubuntu y
‫Debian, esas imágenes se están reduciendo con el tiempo y solo le mostraré, por ejemplo.
‫En realidad, es una molestia mía porque las cosas se están sacando de estas imágenes
‫y nuevas versiones que solían estar en imágenes antiguas y que en realidad pueden causar problemas en su software.
‫Por ejemplo, pago o configuración de IP o incluso el comando P S.
‫Las cosas que tal vez estaban en la imagen hace años a las que estaba acostumbrado tal vez ya no estén en esas imágenes
‫predeterminadas en las versiones actuales y eso puede ser un pequeño problema si supone
‫que siempre estarán allí.
‫Así que hoy en día tengo la costumbre de que incluso si estoy usando una bendición para la imagen fuera de la caja,
‫tal vez esté usando las imágenes predeterminadas que usan Debian, lo haré.
‫También haré una instalación adecuada de incluso cosas como que conoces el comando PS para la lista de procesos o curl o lo
‫que sea que necesite pagar correctamente o algo así y eso es solo para asegurarme de que en
‫las futuras versiones si alguna vez toman esas cosas siempre los tendré en mi imagen
‫porque hice una imagen personalizada instalándolos.
‫Entonces, si solo hago una imagen Docker L S aquí, no tengo una máquina limpiada, así que no.
‫En realidad, solo tengo un
‫par aquí, así que si hago una extracción de
‫la imagen de Docker, hagamos Ubuntu y luego debutemos y luego hagamos
‫Alpine porque estos números cambian todo el tiempo.
‫No estoy seguro de cuáles son los números más frecuentes de cuál es el estado actual, así que hagamos esa
‫imagen de Docker menos y otra vez.
‫Correcto, así que Alpine llega a las cinco y media meg bastante loco.
‫Si entiendes toda la razón detrás de eso, en realidad es genial acerca de cómo construyen binarios estáticos y
‫cosas binarias vinculadas para que eso no sea realmente pequeño.
‫Si nos fijamos en Ubuntu, una
‫bendición de hace tres años fue probablemente ciento veinte Meg.
‫Cientos y treinta Meg al menos.
‫Y ahora se ha reducido a ochenta y siete y la versión actual de Debian es 1 a 1.
‫Lo cual es extraño porque normalmente pensarías que una bendición es normalmente más grande que Debian y no
‫estoy seguro de que eso esté cambiando en la próxima versión de Debian.
‫Hay alguien en el chat que probablemente sabe esta respuesta
‫más
‫rápido que yo, pero
‫creo que podría haber una versión experimental C tal vez sea demasiado experimental.
‫Solo voy a adivinar que es más pequeño y recordar mientras hacemos
‫esto que si estás pensando en ti también podría tener
‫10000 contenedores funcionando.
‫Recuerde que suponiendo que todos estén usando la misma capa base, esa capa solo ocupa una vez en
‫el sistema de oferta.
‫Siempre y cuando mantenga su imagen limpia mediante la poda automática, siempre y cuando haga cosas como asegurarse de que la mayoría de las aplicaciones que está
‫ejecutando estén dentro de una o dos versiones de las imágenes base para que no sea usted no
‫tiene todas las versiones en el servidor, entonces no va a ocupar mucho espacio con estas
‫cosas correctamente.
‫Muy bien, veamos experimental.
‫En realidad es más grande.
‫Eso es un fastidio.
‫Me parece recordar que en algún momento del año pasado leí sobre una bendición y Debian se mudó a algo y
‫tienen su propio delgado adelgazamiento, hay algo un poco diferente.
‫Definitivamente mantiene mucho más fuera de allí, pero podría preguntarse cómo estas cosas se están volviendo más pequeñas.
‫No es porque los estén comprimiendo o comprimiendo más, sino que en realidad solo están
‫sacando herramientas que no son esenciales o sacando bibliotecas que ya no son necesarias para
‫esas herramientas centrales.
‫Y es por eso que cosas como P. S. y el pago y el núcleo y otras utilidades están desapareciendo de
‫estas imágenes.
‫Así que ten cuidado con eso, de acuerdo.
‫Así que creo que es una gran discusión y espero escuchar sus comentarios y
‫leer sus comentarios sobre esto en esto.
‫De hecho, estoy planeando actualizaciones de algunos de mis cursos para hablar sobre esto y dar un poco más de
‫información sobre Alpine y por qué cuándo y por qué es posible que desee elegirlo en una versión diferente de una imagen base porque
‫es una buena discusión y obviamente hay mucho de qué hablar sobre muchas razones
‫diferentes para elegir una imagen base sobre otra.