Distroless Images
devsecopsDéfinition
Images conteneurs Google ne contenant que l'application et ses dépendances runtime, sans shell, gestionnaire de paquets ni outils système, réduisant drastiquement la surface d'attaque.
Description
Les images Distroless (Google) ne contiennent que le runtime de l'application (JRE, glibc) sans bash, sh, apt, curl ou autres utilitaires système. En cas de compromission, l'attaquant ne dispose d'aucun outil pour pivoter ou exfiltrer des données via des commandes shell.
Mise en œuvre
Multi-stage Dockerfile : FROM gcr.io/distroless/java17-debian12 AS runtime en stage final. Pour le débogage, utiliser :debug tag (contient busybox) uniquement en non-prod. Combiner avec USER nonroot et readOnlyRootFilesystem: true.
Points clés
- Réduction drastique de la surface CVE : 0 à 5 vulnérabilités vs 100+ pour debian:slim
- Images disponibles : Java, Python, Node.js, Go (static), cc, base
- Scanner Trivy : score de risque considérablement réduit sur les distroless
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis