‫Tamam.
‫Bu hafta hakkında konuşmak istediğim bir şey var ve bu konudaki düşüncelerinizi yorumlarda duymak isterim, bunu yapıyor
‫olsanız da olmasanız da ya da bu konuda endişeleriniz olsa da Dr. Birkaç hafta önce seçkin sohbetimizde bahsettiğimiz
‫kaptanlar, sanırım geçen hafta ya da ondan önceki hafta bile olabilir, ancak
‫daha çok ortaya çıkan bazı makaleler ve özellikle birkaç ay önce üç ya da dört ay önce
‫konteyner güvenlik taramasıyla ilgiliydi ve bunun gerçek anlamı, konteynerleriniz
‫için yapı taşları olan Docker'ın içinde yaptığınız görüntülerinizdir.
‫Bunlar uygulamanız için bağımlılıklar olarak da depolanır.
‫Bu görüntünün güzel yanı, artık koddaki, uygulamalardaki ve bağımlılıklardaki bilinen güvenlik açıklarını veya potansiyel
‫güvenlik kusurlarını taramak için gerçekten harika bir yer haline gelmesidir.
‫Bu yüzden buna konteyner taraması veya görüntü taraması diyoruz.
‫Sektörde farklı terminoloji türleri var ancak piyasada çok sayıda tarayıcı var ve birkaç taneden daha fazlası
‫var.
‫Ve bunların hepsinin artıları ve eksileri var ve eğer bu size tanıdık geliyorsa.
‫Bu, farklı şeyleri algılayan farklı antivirüs tarayıcılarımızın olduğu eski antivirüs
‫savaşlarına çok benziyor.
‫Ancak günümüzde konteyner taramasında genellikle ilk konuştuğumuz şey, bilinen açık veritabanını kullanmaktır.
‫Bu anahtar kelime, öncelikle açık kaynak kodlu yazılımlarda bilinen güvenlik açıkları var ama bu sadece açık kaynak
‫kodlu yazılımlara özgü değil.
‫Çoğunlukla açık kaynak kodlu oluyor çünkü kaynağı görebildiğimiz için kusurları bulma eğiliminde
‫olduğumuz yer burası.
‫Böylece bir sektör olarak sorunların nerede olduğunu daha hızlı buluyoruz.
‫Yani bu şeylerin bilinen güvenlik açıklarını içeren bir veritabanı var ve sürekli güncelleniyor.
‫Ve bu nedenle, resminizi ve bağımlılıklarını tarayacak bazıları ücretsiz bazıları ücretsiz olmayan tarayıcılar var.
‫Yani sadece sizin uygulamanız değil, herhangi bir uygulamanın yüklediği bağımlılıkları almak için Open SSL veya hatta
‫curl gibi şeyleri bilirsiniz, eğer bunlarda bir güvenlik açığı varsa ve konteyner imajınızda varsa.
‫Bu tarayıcıların bu güvenlik açıklarını bulmanıza yardımcı olması gerekiyor, böylece onları güncelleyebilir
‫ve umarım bir düzeltme uygulayabilirsiniz ve Steven adlı bu adamın bir makalesi hakkında bazı ilginç konuşmalar ortaya çıktı ve bu tarayıcıların hepsinin farklı
‫artıları ve eksileri var, bazıları sorunları tespit ediyor, bazıları başka sorunları tespit ediyor
‫ve belki de tüm teknoloji aynı şeyi yapmıyor.
‫Ancak günün sonunda Linux'ta gerçekten bağlı oldukları şeylerden biri işletim sistemi ya da bu durumda Debian
‫S'de olduğu gibi temel imajdır. O. S.
‫Alpler gibi şeyler.
‫Bu farklı temel görüntülerin genellikle dosyaların sistemde nerede olduğunu ve bu dosyaların web sunucularınıza SSL
‫sağlamak için açık kaynaklı Open SSL kütüphaneleri gibi hangi programla ilgili olduğunu çevirmesi gerekir.
‫Dolayısıyla, bu dosyalar işletim sisteminde bir dosya yolunda bir yerde bulunacak
‫ve hepsi bir pakette bir araya gelecek ve bu satıcıların tarayıcılara, tarayıcıların paketlerin nerede olduğunu
‫bulması için esasen bir çeviri sağlaması gerekiyor.
‫TAMAM.
‫İşte arka plan bu.
‫Ve Linux'un tüm işletim sistemi dağıtımlarının bu işlevi sağlamadığı ve hepsinin de diğerleri kadar iyi sağlamadığı
‫ortaya çıktı.
‫Dolayısıyla, güvenlik açıkları için tarama yapacaksanız bu sorunlara neden olabilir.
‫Başka bir deyişle, ister Ubuntu ister S olsun, temel imajınız. O. S veya Red Hat veya alpine, artık bu görüntüdeki
‫bilinen güvenlik açıklarının tüm veritabanını tarayabilmeniz açısından önemlidir.
‫Pekala, bu makale aracılığıyla ortaya çıktığını düşündüğüm ilginç bir nokta
‫var ve bu arada bu makaleyi canlı sohbete de ekleyeceğim.
‫Bunu kontrol edebilirsiniz.
‫İlginç bir nokta da şu anda burada en altta olduğu gibi Alpine sorunundan bahsediliyor ki bence
‫bu konteyner üreticileri olarak bizlerle ilgili oldukça ilginç bir tartışma.
‫Belki konteyner yapan ya da en azından konteyner yapmakla ilgilenen biri.
‫Ve eğer bu görüntüleri yaparsanız, endişelerinizden biri güvenliktir ve güvenlik genellikle her şeyi güvenli ya da güvenlik
‫yaptık şeklinde toplamaya çalışırız ve bu gerçekten doğru bir şey değildir.
‫Hepimiz.
‫Eğer yeterince uzun süredir oradaysanız, güvenliğin pek çok şey olduğunu ve gerçekten güvenli diye bir şey
‫olmadığını bilirsiniz.
‫Doğru.
‫Belki de her zaman en güvenli sistemin kapalı olan sistem olduğu şakasını yaparız.
‫Yazılımınız hakkında konuştuğunuzda göz önünde bulundurmanız gereken pek çok şey var ve Alpine
‫gerçekten harika bir dağıtım ve Alpine Linux'un temel görüntüsünü sağlıyor ve en iyi yanlarından
‫biri de çok minimal olması. 5 Meg gibi çok küçük bir boyuta sahip ve bu da Boon to veya S gibi bir şeye kıyasla
‫çok küçük. O. S.
‫Şimdi bunu tam işletim sisteminde karşılaştırabilirsiniz, ancak burada gerçekten sadece imajların kendisinden
‫bahsediyoruz, konteyner imajı ana işletim sisteminiz değildir.
‫Ana işletim sistemi hakkında konuşmak istemiyorum, sadece konteynerleriniz için temel imajlarınız hakkında
‫konuşmak istiyorum çünkü sektörde gördüğüm ve çevrimiçi olarak bu konuda konuşmayı sevdiğimiz
‫şey, topluluğumuzun Zeit Geist'ının bir şekilde yakaladığı havalı ve modaya uygun şeyin ne olduğudur
‫ve bence son birkaç yılda Alpine'in popülaritesinin artması, konteynerler için çok küçük bir imaja sahip olmasıyla çok ilgili, bu yüzden bu iyi bir şey.
‫Ve eğer bunu yaptığımı biliyorsanız, ama Google'da güvenli Docker temel görüntüsünü aratırsam, eğer sadece Alpine
‫kelimesini aratırsam bu sayfada görünmüyor.
‫Yani bu bir Google başarısızlığıydı ama insanların Alpine hakkında konuşmasını beklerdim çünkü sektörün çoğu
‫Alpine'i otomatik güvenlik ya da kutudan çıkar çıkmaz daha iyi güvenlik elde etmenin bir yolu olarak tavsiye etmeyi
‫seviyor.
‫Bunu savunmamızın nedeni de bunun küçük olması.
‫Yani daha küçükse, bu daha az dosya, daha az potansiyel güvenlik açığı, potansiyel yama için sabitlenecek daha az şey anlamına
‫gelir.
‫Doğru.
‫Ve bu, Windows 2000 dönemi 2008'de onlarca yıldır yaptığımız bir şeydi.
‫Windows 2008 çıktığında Microsoft'un Windows Server'ın daha küçük bir versiyonu olan core adında yeni bir sürümü olduğunu hatırlıyorum.
‫Ve o zamanlar en büyük argümanlardan biri daha az yama ile daha iyi güvenlikti.
‫Teorik olarak makinede daha az yazılım varsa, yama ve potansiyel güvenlik açıkları açısından
‫endişelenecek daha az şey vardır.
‫Pyne'nin durumunda daha güvenli olduklarını savunmalarının nedenlerinden biri de bu, ancak alan her zaman bir numaralı
‫faktör değildir, aslında bir operatör olarak, geçimini sağlamak için sunucu çalıştıran biri olarak
‫bu alanı ucuz görmüyorum.
‫Biliyorsunuz, bu alanın 100 meg'ı beş resimle çarpılsa bile benim için sorun değil, sunucularımda beş yüz meg'lık
‫alan ayırmama gerek yok.
‫Bildiğiniz gibi genellikle tam işletim sistemlerini yedeklemiyorum, çoğu zaman uygulama yedeklemelerine
‫odaklanıyorsunuz, özellikle de şimdi bulutta görüntü tabanlı sunucu yedeklemeleri
‫yapmıyoruz.
‫Eskiden tam imaj yedekleme yapardık ve bu yüzden yedeklerimizin çoğu sadece tüm işletim sistemini
‫tekrar tekrar yedeklerdi.
‫Bence sektör olarak bunu çok fazla yapmıyoruz, özellikle de günümüzde bulut yerel ve bence görüntüler
‫ve boyut hakkında konuştuğumuzda boyut, bir görüntü ve kalitesi açısından benim ilk üç faktörümden biri
‫bile değil.
‫Dolayısıyla bir görüntüye baktığımda ve potansiyel güvenlik endişeleri ya da her neyse ya da günün sonunda bir
‫gig ya da 20 meg olsa da olmasa da sadece bir görüntüyü kullandığımda çok endişelenmiyorum, sadece bunu planlamam
‫gerekiyor çünkü sonuçta belki depolamada bir maliyet olabilir ama bu maliyet benim maliyet listemdeki en ucuz
‫şeylerden biri.
‫İnsanlar en pahalı şeydir ve daha sonra CPE bellek ağı açısından bilgi işlem gücü gibi diğer şeyler
‫bana göre her zaman diskten daha pahalıdır.
‫Bu yüzden insanlara Alpine'i hemen yapmalarını tavsiye etme eğiliminde değilim.
‫Aslında beni Docker üretimi hakkında konuşurken gördüyseniz, bahsettiğim şeylerden birinin Debian'a
‫sadık kalmak Ubuntu'ya sadık kalmak sent OS'ye sadık kalmak alışkın olduğunuz şey buysa bu görüntülerle
‫kalmak olduğunu biliyorsunuz çünkü Alpine çok farklı, farklı bir paket yöneticisi var, farklı dosya konumları
‫var, bu yüzden sadece Alpine'i kullanmak için uygulamanızın çoğunu değiştirmeniz gerekecek
‫ve çoğu durumda şimdi bazı durumlarda go veya belki no J veya başka bir şey kullanıyorsanız muhtemelen çok fazla değişiklik yapmanız gerekmeyecek.
‫Ancak son zamanlarda bile, sadece son bir yıl içinde ve özellikle son üç ay içinde, neden Alpine'i
‫temel imajınız olarak kullanmamanız gerektiğine dair birçok başka gösterge gördüm ve bu gerçekten Alpine'e gölge düşürmek
‫ve bunun kötü olduğunu söylemekle ilgili değil.
‫Bu gerçekten de sadece daha fazla güvenlik ve daha küçük görüntüler uğruna Alpine'i uygulamak için fazladan
‫iş yapmamız gerekip gerekmediğiyle ilgili, bu yüzden benim argümanım bunun gerekli
‫olduğunu bile düşünmüyorum ve bu blog makalesinde Alpine sorunu etrafındaki bu yeni tartışmayı ele alırsak, Alpine'in
‫Şu anda belki de en iyi yer değil çünkü CV bilinen veritabanındaki güvenlik açıklarını
‫taramak gerçekten zor, hatta imkansız, yaygın güvenlik açıkları veritabanı bunu henüz Alpine
‫ile yapamazsınız ve bunu Debian Red Hat gibi diğer bazılarıyla
‫yapabilirsiniz.
‫Yani güvenlik tarayıcısı kullanacak biriyseniz Alpine aslında sizin için kötü bir şey.
‫Son zamanlarda fark ettiğim bir başka şey de Alpin'in bazen sinsi sorunları olduğu ve bu sorunların kısmen ve hiç beklemediğiniz
‫şekillerde karşınıza çıktığı.
‫Geçenlerde bazı öğrencilerim Alpine'i Mohn düğümü ile çalıştırmaya çalışmanın bilinen sorunları olduğunu söylediler.
‫Ve yaptım.
‫Bunun farkında değildim.
‫Test etmedim ama insanlar bana geri döndüler ve Alpine'i J olmadan kullandıklarını söylediler. S. node mine ve Node eksi bir şey
‫ve J S yok, dosyalar değiştiğinde node uygulamanızı otomatik olarak yeniden başlatmak için dosya
‫izleme için kullanılır.
‫Bu, geliştirme için gerçekten iyi bir şey ancak Ubuntu ve Debian ile sorun yaşamadıkları
‫halde Alpine ile sorun yaşadıkları açık ve bu konuyu gündeme getirmemin tek nedeni, yeni bir temel imaj uygulayacağınız
‫zaman dikkate almanız gereken önemli bir faktör olması.
‫Bu yüzden pek çok insan bana gelip Alpine hakkında ne düşünüyorsunuz, her şeyi Alpine'e geçirmeli miyim
‫diye soruyor.
‫Debian üzerinde oluşturduğum tüm imajlarımı mı almalıyım yoksa S'ye mi bağışıklık kazanmalıyım? O. S ya da başka bir şey.
‫Ve tüm bunları Alpine'e kaydırmalı mıyım çünkü daha küçük ve daha güvenli olduğunu duydum
‫ve dürüst olmak gerekirse bugünlerde cevabım bundan daha karmaşık ve muhtemelen bunu düşünmelisiniz ama aynı zamanda
‫belki de sadece iyi olduğunuz ve tarayıcıların yıllarca çalıştığını bildiğiniz şeylere bağlı kalmayın, muhtemelen
‫varsayılan görüntüleri kullanabilirsiniz çünkü Docker'ın varsayılan tüm resmi görüntüleri, örneğin sadece node
‫1'e bakalım.
‫Bu nedenle, varsayılan görüntülerin tümü, Alpine görüntüsünden biraz daha büyük, belki 80 Meg daha büyük olan ancak 80 Meg olan
‫Debian'ı kullanmak için varsayılan olarak ayarlanmıştır.
‫Demek istediğim, bu sadece küçük bir faktör, belki bir tür IO T cihazı belki de bunun gibi bir şey kullanmadığım
‫sürece benim için büyük bir motivasyon kaynağı değil.
‫Bilirsiniz, kenarda ya da gerçekten küçük flash sürücülerimin olduğu bir yerde ya da endişe yaratabilecek
‫bir şeyde.
‫Ancak varsayılan görüntülere bakarsanız, bunu fark etmediyseniz arka planda
‫tüm bu varsayılan görüntüler Docker run node veya duck veya run my sequel yazarsanız bilirsiniz.
‫Bunların hepsi varsayılan olarak Debian üzerinde çalışacak çünkü Docker altı yıl önce bunları bu şekilde
‫oluşturmaya başlamıştı.
‫Ancak bunların hepsinde artık Alpine seçenekleri var.
‫Yani belki benim devam kolonum Alpine diyebilir ve Alpine etiketini kullanabilirsiniz ve bu iyi bir şeydir ancak bu otomatik olarak her
‫zaman daha iyi bir deneyim elde edeceğiniz anlamına gelmez.
‫Tüm paketler Alpine paket yöneticisinde bile mevcut değildir.
‫Aslında kendi kullanımım için güvenlik araçlarını veya sahip olduğum farklı yardımcı programları saklamak zorundayım, bazıları Alpine'de
‫çalışıyor ve bazıları çalışmıyor.
‫Ve açıkçası, bunları nasıl derleyeceğimi elle bulmak istemiyorum çünkü derlenemiyorlar ve farklı
‫kütüphaneler nedeniyle hala bu sorunu gidermek istemiyorum.
‫Bu yüzden araçlarımın çoğu için bir Debian bırakıyorum ve diğerlerini Alpine aracılığıyla kullanıyorum.
‫Ve günün sonunda neredeyse her şeyin Debian'da kutudan çıktığı gibi çalışacağını
‫biliyorum çünkü paket yöneticisi veya apt apt paket yöneticisi uygulaması paket yöneticisinin kralı gibi
‫bir şey.
‫Eğer bir şey için bir paket varsa, muhtemelen bir apt olacaktır.
‫Doğru.
‫Yum'da bir şey göremeyebilirsiniz.
‫Pyne paket yöneticimizde göremeyebilirsiniz, ancak her zaman bir apt olacak ve
‫Debian, Ubuntu ve bu temel görüntülerin diğer varyantlarıyla birlikte gelecek.
‫Dolayısıyla, görseller hakkında düşünürken ve temel görsellerinizi oluşturmak istediğinizde
‫tüm bunları bir araya getirdiğinizde güvenlik kesinlikle bir faktördür.
‫Ancak güvenlik konusunda gerçekten endişeleriniz varsa bunlardan biri de resimlerinizi taramak isteyeceğinizdir.
‫Yani bunu yapmak istiyorsanız alp disiplini sizin için bir dezavantaj olabilir.
‫O halde bu makaleyi mutlaka okuyun, çünkü metnin içinde bunu belirttim.
‫Bir diğer husus da, alan avantajının sizin için gerçekten önemli olup olmadığıdır.
‫Potansiyel güvenlikten biraz kaybediyorsanız ve görüntü boyutunuz o kadar
‫önemli değilse, özellikle de Java veya HP gibi şeylerle uğraşırken yaygın olan
‫800 veya 900 mag görüntülere sahip biriyseniz, bilirsiniz.
‫Bunlar genellikle 80 Meg veya beş Meg ile karşılaştırıldığında çok büyük görüntülerdir.
‫Bu yüzden bu konuyu biraz düşünün.
‫Dış hattın daha güvenli olduğunu duyduğunuz için tüm eşyalarınızı otomatik olarak değiştirmeyin.
‫Açıkçası Alpine'in küçük olması nedeniyle başka birçok güvenlik avantajı da var.
‫İçinde çok az potansiyel güvenlik açığı var, ancak güvenlik açıkları var, doğru yazılım
‫güvenlik açıklarına karşı geçirimsiz değil, sadece belki daha az.
‫Ubuntu ve Debian.
‫Bu konuda söyleyeceğim son şey, Ubuntu ve Debian gibi diğer imajlara bakmadıysanız,
‫bu imajlar zaman içinde küçülüyor ve size sadece bir örnek göstereceğim.
‫Aslında bu benim en sevdiğim şeylerden biri çünkü eskiden eski görüntülerde bulunan şeyler
‫bu görüntülerden ve yeni sürümlerden çıkarılıyor ve bu da yazılımınızda sorunlara neden olabiliyor.
‫Örneğin ödeme veya IP yapılandırması ya da hatta P S komutu.
‫Yıllar önce görüntüde bulunan ve alışkın olduğunuz şeyler, güncel sürümlerde artık bu varsayılan görüntülerde
‫bulunmayabilir ve her zaman orada olacaklarını varsayıyorsanız bu biraz
‫sorun olabilir.
‫Bu yüzden bugünlerde, kutudan çıkan görüntü için bir boon kullanıyor olsam bile, belki de bir Debian kullanan
‫varsayılan görüntüleri kullanma alışkanlığım var.
‫Ayrıca, süreç listeleme için P S komutu ya da curl ya da doğru ödeme ya da başka bir şeye ihtiyaç duyabileceğim her neyse,
‫apt get yüklemesi yapacağım ve bu sadece gelecekteki sürümlerde bu şeyleri çıkarırlarsa
‫imajımda her zaman sahip olacağımdan emin olmak için çünkü bunları yükleyen
‫özel bir imaj yaptım.
‫Yani burada sadece bir Docker imajı L S yaparsam, temizlenmiş bir makinem yok, bu yüzden hayır yapıyorum.
‫Aslında burada sadece birkaç tane
‫var, bu yüzden bir Docker imajı çekersem sadece Ubuntu'yu
‫yapalım ve sonra debut in yapalım ve sonra Alpine yapalım çünkü
‫bu sayılar her zaman değişiyor.
‫Aslında en sık görülen sayıların ne olduğundan emin değilim, bu yüzden Docker görüntüsünü
‫tekrar daha az yapalım ve.
‫Doğru, Alpine beş buçuk milyon gibi oldukça çılgın bir rakamla geliyor.
‫Bunun arkasındaki tüm nedene bakarsanız, aslında statik ikili dosyaları ve bağlantılı ikili dosyaları nasıl oluşturdukları
‫konusunda oldukça havalı, bu yüzden gerçekten küçük değil.
‫Ubuntu'ya bakarsanız üç yıl
‫önce muhtemelen yüz yirmi Meg idi.
‫En az yüz otuz Meg.
‫Ve şimdi seksen yediye düştü ve Debian'ın şu anki sürümü 1'e 1.
‫Bu garip çünkü normalde Debian'dan daha büyük bir nimet olduğunu düşünürsünüz ve Debian'ın
‫bir sonraki sürümünde bunun değişeceğinden emin değilim.
‫Sohbette muhtemelen bu cevabı benden daha iyi
‫bilen biri
‫vardır ama sanırım C versiyonu
‫deneysel olabilir, belki de çok deneyseldir.
‫Sadece daha küçük olduğunu tahmin edeceğim ve bunu yaparken unutmayın ki eğer
‫siz de kendi konteynırınızı düşünüyorsanız, benim de çalışan yüzlerce konteynırım
‫olabilir.
‫Hepsinin aynı temel katmanı kullandığını varsayarsak, bu katmanın teklif sisteminde yalnızca bir kez yer
‫kapladığını unutmayın.
‫İmajlarınızı otomatik olarak budayarak temiz tuttuğunuz sürece, çalıştırdığınız uygulamaların çoğunun temel imajların bir veya
‫iki sürümü içinde olduğundan emin olmak gibi şeyler yaptığınız sürece, böylece sunucuda
‫tüm sürümlere sahip olmayacaksınız, o zaman bu şeylerle çok fazla yer kaplamayacaksınız.
‫Pekâlâ, deneysele bakalım.
‫Aslında daha büyük.
‫Bu çok üzücü.
‫Geçen yıl bir noktada Debian'ın bir şeye geçtiğini okuduğumu hatırlıyor gibiyim ve
‫kendi ince ince biraz farklı bir şey var.
‫Kesinlikle çok daha fazlasını dışarıda tutuyor ama bu şeylerin nasıl küçüldüğünü merak edebilirsiniz.
‫Bunun nedeni artık onları sıkıştırmaları ya da sıkıştırılmış hale getirmeleri değil, aslında sadece gerekli
‫olmayan araçları çıkarıyor olmaları ya da bu temel araçlar için artık gerekli olmayan kütüphaneleri çıkarıyor
‫olmalarıdır.
‫İşte bu yüzden P. gibi şeyler S. ve ödeme, çekirdek ve diğer yardımcı programlar bu görüntülerden
‫kayboluyor.
‫Bu yüzden dikkatli olun.
‫Dolayısıyla bunun harika bir tartışma olduğunu düşünüyorum ve bu konudaki yorumlarınızı
‫duymak ve okumak için sabırsızlanıyorum.
‫Aslında bu konu hakkında konuşmak ve Alpine hakkında biraz daha fazla bilgi vermek için birkaç kursumda güncellemeler
‫yapmayı planlıyorum ve neden ne zaman ve neden bir temel görüntünün farklı bir versiyonu yerine onu seçmek isteyebilirsiniz çünkü bu iyi
‫bir tartışma ve açıkçası bir temel görüntüyü diğerine tercih etmenin birçok farklı
‫nedeni hakkında konuşulacak çok şey var.