Distroless Images

Définition

Les Distroless Images sont une famille d'images de base pour conteneurs, maintenue par Google sous le projet distroless, qui ne contiennent que l'application compilée et ses bibliothèques de dépendances strictement nécessaires à l'exécution, à l'exclusion de tout shell, gestionnaire de paquets (apt, yum), utilitaire système (bash, curl, wget) ou outil de débogage. Cette approche réduit drastiquement la surface d'attaque par rapport à une image basée sur une distribution complète comme Ubuntu ou Debian : un attaquant qui parvient à exécuter du code arbitraire dans un conteneur distroless ne dispose d'aucun shell interactif pour effectuer une reconnaissance post-exploitation, télécharger des outils supplémentaires ou établir une persistance classique. Le nombre de packages installés étant minimal, la surface de vulnérabilités CVE détectées par les scanners est mécaniquement réduite, ce qui simplifie aussi la maintenance et accélère les cycles de patch. Google distribue des variantes distroless pour Java, Python, Node.js, Go (statique) et C++, généralement utilisées comme image finale dans un build multi-stage Docker, où une première étape compile l'application dans une image complète puis copie uniquement les artefacts nécessaires dans l'image distroless. Cette pratique s'inscrit dans les recommandations de durcissement des conteneurs du CIS Docker Benchmark et des principes DevSecOps de minimisation de la surface d'attaque.