97 Docker-Images unter Beobachtung: unsere CVE-Überwachung mit Trivy

Stellen Sie Ihrem Dienstleister die Frage, oder sich selbst: „Wie viele bekannte kritische Schwachstellen laufen in Ihrer Infrastruktur, hier und jetzt?“ Lange Zeit lautete unsere ehrliche Antwort: Wir wissen es nicht genau. Rund hundert Container-Images im Produktivbetrieb, Dutzende Upstream-Projekte, die jede Woche Korrekturen veröffentlichen, und kein Prozess, um beides abzugleichen. So haben wir diese Lücke geschlossen: mit Trivy, einem Open-Source-Scanner, und vor allem mit der Architektur drumherum, die mehr zählt als das Werkzeug.

Scannen, was läuft, nicht nur, was man baut #

Der übliche Reflex verlegt den Schwachstellenscan in die CI: Jeder Build wird vor dem Deployment geprüft. Notwendig, aber strukturell unzureichend, aus einem einfachen Grund: CVEs werden nach Ihren Deployments veröffentlicht. Ein Image, das beim Build am 1. März sauber war, kann eine kritische Lücke enthalten, die am 15. bekannt wird. Findet Ihr einziger Scan in der CI statt, bleiben Sie bei einer Anwendung, die nicht neu gebaut wird, auf unbestimmte Zeit blind. Daher das umgekehrte Prinzip: regelmäßig scannen, was tatsächlich läuft: die Liste der aktiven Images, auf den Hosts selbst erhoben, nicht die theoretische Liste der Repositories.

Die Architektur, von der Erhebung bis zum Bericht #

1. Erhebung: Jede Woche fragt ein Inventarisierungsjob die rund dreißig Hosts der Serverflotte ab und erfasst die Images, die tatsächlich laufen: der festgestellte Bestand, nicht der gemeldete.
2. Scan: Trivy analysiert die jeweils rund 93 bis 97 eindeutigen Images. Rechnen Sie mit etwa 20 Minuten bei drei parallelen Scans, für einen wöchentlichen Rhythmus völlig akzeptabel.
3. Aussortieren: eine dokumentierte Ausschlussliste (der bekannte Fehlalarm, die CVE ohne verfügbare Korrektur, die nicht exponierte Komponente): jeder Ausschluss mit schriftlicher Begründung, sonst wird die Liste zu einem Teppich, unter den alles gekehrt wird.
4. Ausgabe: Die Zahl der kritischen Befunde steht im Betreff der wöchentlichen E-Mail, nicht auf Seite 12 eines Berichts. Eine Woche mit null liest man in einer Sekunde; ein neuer kritischer Befund springt sofort ins Auge.
5. Ausfallsicherheit: Ein fehlgeschlagener Scan macht den Rest des Berichts nicht zunichte (der Fehler wird vermerkt, die Kette läuft weiter), und die Überwachungskette wird selbst über einen Heartbeat überwacht: Der Montag, an dem der Bericht nicht kommt, ist genau der, an dem man sich Sorgen machen muss.

Ein Bericht, der seine eigenen Grenzen nicht nennt, wird als vollständige Abdeckung gelesen. Der Abschnitt „Umfang und Grenzen“ ist keine Bescheidenheit: Er macht den Rest glaubwürdig.

Das Rauschen aussortieren: die eigentliche Kompetenz #

Der erste Scan einer echten Serverflotte ist eine kalte Dusche: Hunderte von Einträgen, von denen die überwältigende Mehrheit keine sofortige Maßnahme verdient. Der Wert liegt nicht im Scanner, sondern im Aussortieren. Unser Raster: Eine Schwachstelle verdient eine schnelle Maßnahme, wenn alles zusammenkommt: kritisch + Korrektur verfügbar + Komponente tatsächlich exponiert. Der Rest fließt in den normalen Update-Zyklus. Denn das ist die eigentliche betriebliche Schlussfolgerung: CVE-Behebung heißt in 95 % der Fälle schlicht aktualisieren: Der Scan ersetzt keine Versionshygiene, er priorisiert sie. Beide Formen der Überwachung (Aktualität der Versionen, Schwachstellen) sind zwei Seiten desselben Prozesses.

Der Bonus, der Gespräche verändert: der PDF-Bericht #

Über die wöchentliche E-Mail hinaus erzeugt die Kette einen Auditbericht als PDF mit rund dreißig Seiten: Zusammenfassung, Bestandsaufnahme, Härtung der Zugänge, Netzwerkexposition, Schwachstellen pro Image, Versionsdrift und der berühmte Abschnitt „Umfang und Grenzen“. Zwei Feinheiten des Härtungschecks sind es wert, übernommen zu werden: die effektive SSH-Konfiguration lesen (sshd -T) und nicht die Hauptdatei (ein Drop-in kann wieder öffnen, was die Datei schließt), und „Passwortauthentifizierung aktiviert“ mit „Konten haben tatsächlich ein Passwort“ abgleichen, sonst stuft man Hosts als kritisch ein, auf denen der Angriff unmöglich ist. Dieses PDF dient ebenso der Steuerung wie dem Beantworten von Anfragen: Sicherheitsfragebögen von Kunden, Versicherer, Ausschreibungen.

Diese Überwachung ist ein Glied der Kette, die wir im Rahmen unserer Managed Services betreiben, mit dem Patching, das darauf folgt, und den Backups für den schlimmsten Fall. Wenn Ihnen die Frage aus dem ersten Absatz Unbehagen bereitet hat, ist das der richtige Ausgangspunkt.