Base Image Hardening

Définition

Le Base Image Hardening (durcissement des images de base) consiste à créer et maintenir des images Docker de base sécurisées utilisées comme fondation pour toutes les images d'application de l'organisation. Plutôt que de laisser chaque équipe choisir librement ses images de base (souvent des images publiques non maintenues), une équipe platform security maintient des images de base durcies intégrant les derniers patches de sécurité, les configurations OS sécurisées, et les agents de sécurité requis. Les images de base durcies sont construites à partir d'images officielles minimales (ubuntu:22.04-minimal, alpine:3.20, ubi9-minimal de RedHat) avec des modifications de sécurité systématiques : mise à jour complète des packages OS (apt-get upgrade ou apk upgrade), suppression des packages non nécessaires (editors, compilers, documentation), configuration de l'utilisateur non-root par défaut, restrictions des permissions sur les répertoires système, et désactivation des services non nécessaires. Les organisations peuvent publier leurs images de base durcies dans un registre interne (Harbor, AWS ECR privé, Azure Container Registry) et imposer via les Admission Controllers (Kyverno, OPA Gatekeeper) que tous les pods du cluster Kubernetes utilisent uniquement des images provenant de ce registre de confiance. Cette politique de registre de confiance (Trusted Registry Policy) prévient l'utilisation d'images publiques non vérifiées pouvant contenir des malwares (campagnes de typosquatting sur Docker Hub, images trojanisées). La chaîne de signature des images (image signing) via Cosign (Sigstore) permet de vérifier cryptographiquement qu'une image provient d'un pipeline de build approuvé et n'a pas été modifiée. Des outils comme Kyverno vérifient les signatures Cosign lors de l'admission des pods dans le cluster : si l'image n'est pas signée par le pipeline CI/CD de confiance, le pod est refusé. La gestion du cycle de vie des images de base durcies inclut : un pipeline de rebuild automatique déclenchable sur l'annonce de nouvelles CVE critiques dans les packages inclus, une politique de dépréciation des versions (les images de base vieilles de plus de 90 jours sont marquées comme dépréciées), et une communication proactive aux équipes quand une image de base est mise à jour.