Cybersecurity-Docker Hub的安全漏洞讓容器技術 (Container) 成為新興資安領域的利基市場

Home - 趨勢分析 - Cybersecurity-Docker Hub的安全漏洞讓容器技術 (Container) 成為新興資安領域的利基市場

Cybersecurity-Docker Hub的安全漏洞讓容器技術 (Container) 成為新興資安領域的利基市場

TAcc+新創分析師 毛國光

 

Docker Hub容器映像使用量持續增長,顯示越來越多的應用程式開發業者使用容器技術 (Container) 加快開發與維運效益,但也增加業者使用到潛藏惡意軟體之開源映像等可能,成為各大企業與資安業者著手補強的重點領域。

 

  • Docker對外公布使用Docker Hub容器映像 (Container Image) 的提取量大幅增長,但專門提供 Container 資安服務的公司 Prevasio 也發布研究報告,發現Docker Hub中過半以上映像檔有資安漏洞 — 

Container技術運用作業系統 (OS) 核心達成資源隔離,不需要虛擬軟體層,也不用像虛擬主機 (VM) 需要安裝Guest OS,使其映像檔比VM小非常多,更容易透過網路傳輸至雲端部署,節省大量運算資源;容器技術自2013年Linux發布對Control Group和Namespaces機制的強化版後,促成Linux Container技術的實現,美國軟體公司DotCloud (即Docker公司前身) 也在此基礎上開發了Container標準化平台Docker,由於其解決傳統應用程式服務在開發、運行和部署之間的瓶頸,使得眾多網路服務業者或雲端平台大廠紛紛支援Docker。

 

2020年從Docker Hub存儲庫中提取的Docker容器數量年增145%,僅2020年第四季提取次數即達300億,但資安公司Prevasio掃描Hub中400萬個映像檔,發現過半含有安全漏洞,其中13%屬於高風險級別,另有6,400個映像檔被其判定含有挖礦、木馬等惡意程式,只要應用程式開發團隊未察覺而使用,就會在開發階段即暴露於資安攻擊之下。

 

  • 因應危機,Docker開始與原始提供商共同推動官方認證的映像檔,以期降低資安風險,資安大廠也紛紛併購Container Security業者,藉此補強本身產品組合之缺口,也為相關資安新創帶來一波出場 — Docker官方映像由原始提供商與Docker共同策劃,目前Docker Hub中已有160多個此類映像。此領域資安相關之併購,可看到2019年5月Palo Alto Networks以4億1,000萬美元的價格收購Twistlock、2020年5月Vmware收購Octarine、2020年10月Cisco收購PortShift、2021年1月Red Hat收購StackRox以及2021年2月Rapid7以5,000萬美元收購了Alcide,其中原因包括Container security為利基市場,市場易飽和,投入之新創成長規模受限,且資安客戶通常希望採購整合方案以減少管理複雜度,促使資安大廠透過併購強化產品組合。

 

參考資料:

  • “Container security acquisitions increase as companies accelerate shift to cloud,” Techcrunch, 2021.
  • “Container Security: Examining Potential Threats to the Container Environment,” Trend Micro, 2019.
  • “Docker Hub Container Image Pulls Grew in 2020,” Container Journal, 2021.
  • “Docker security checklists mitigate container cyberthreats,” TechTarget, 2021.
  • “【開源陷阱】Docker Hub 400萬images過半有漏洞 開發團隊貪快變內鬼, ” Wepro180, 2020
  • “【關鍵資安議題:容器安全】剖析容器的資安風險與防護,” iThome, 2019.

Share: