InfoQ
·
Docker推出安全性增强的基础镜像
内容提要
Docker推出了安全性增强的基础镜像（DHI），旨在减少容器应用漏洞，支持安全软件供应链。DHI采用无发行版构建，去除多余组件，攻击面减少95%。每个镜像定期自动更新，关键漏洞在七天内修复，兼容现有Dockerfile，适用于受监管行业。DHI已在Docker Hub上线。
关键要点
-
Docker推出了安全性增强的基础镜像（DHI），旨在减少容器应用漏洞，支持安全软件供应链。
-
DHI采用无发行版构建，去除多余组件，显著减少攻击面。
-
与传统基础镜像相比，DHI减少了高达95%的漏洞风险。
-
每个镜像定期自动更新，关键漏洞在七天内修复，确保接近零的已知CVE数量。
-
DHI镜像兼容现有Dockerfile，旨在最小化构建管道的干扰。
-
DHI镜像包括签名的软件材料清单（SBOM）和来源元数据，支持透明度和供应链可见性。
-
Docker已宣布早期集成合作伙伴，包括Microsoft、GitLab、JFrog等，确保DHI与流行的安全和CI/CD工具无缝协作。
-
内部测试显示，使用DHI替换标准Node.js镜像后，安装包数量减少98%，已知CVE消除。
-
DHI现已在Docker Hub上线，访问权限由Docker的订阅层级决定，包含设置文档和定制工具。
延伸解读
安全性提升的意义
Docker推出的安全性增强基础镜像（DHI）通过去除多余组件，显著降低了容器应用的攻击面。这对于需要高安全性的行业尤为重要，能够有效减少潜在的安全漏洞，提升整体系统的安全性。
与传统镜像的比较
DHI与传统基础镜像相比，减少了高达95%的漏洞风险。这一显著差异使得开发团队在选择基础镜像时，可以更有信心地使用DHI，尤其是在需要快速响应安全漏洞的情况下。
自动更新与维护
DHI镜像定期自动更新，关键漏洞在七天内修复，确保了接近零的已知CVE数量。这种维护机制对于企业来说，意味着可以减少手动更新的负担，提升运维效率。
适用性与兼容性
DHI镜像兼容现有Dockerfile，旨在最小化构建管道的干扰。这使得开发团队可以轻松过渡到使用DHI，而无需大幅修改现有的构建流程，降低了实施新技术的风险。
延伸问答
Docker的安全性增强基础镜像有什么特点？
Docker的安全性增强基础镜像（DHI）采用无发行版构建，去除多余组件，攻击面减少95%，并定期自动更新，关键漏洞在七天内修复。
DHI如何支持安全软件供应链？
DHI包括签名的软件材料清单（SBOM）和来源元数据，增强透明度和供应链可见性，适合受监管行业使用。
使用DHI替换标准镜像有什么好处？
使用DHI替换标准Node.js镜像后，安装包数量减少98%，并消除了已知的CVE，显著提高了安全性。
DHI与现有Dockerfile的兼容性如何？
DHI设计为与现有Dockerfile兼容，旨在最小化构建管道的干扰，方便用户迁移。
DHI的更新频率是怎样的？
DHI的每个镜像定期自动更新，关键漏洞在七天内修复，确保接近零的已知CVE数量。
DHI目前在哪些平台上可用？
DHI现已在Docker Hub上线，访问权限由Docker的订阅层级决定，并包含设置文档和定制工具。
