Image Scanning

Définition

Le scanning d'images de conteneurs est le processus d'analyse des images Docker/OCI pour détecter les vulnérabilités (CVE) dans les packages du système d'exploitation (Debian, Alpine, RHEL) et les bibliothèques applicatives (npm, pip, Maven, Go modules) avant leur déploiement en production. C'est l'une des pratiques de sécurité les plus fondamentales dans un environnement conteneurisé. Les outils de scanning d'images analysent le manifest de l'image, les layers filesystem, et les métadonnées des packages installés, puis les comparent à des bases de données de CVE (NVD, OSV, GitHub Advisory Database, bases spécifiques aux distributions Linux). Ils génèrent des rapports de vulnérabilités avec leur sévérité (CVSS score), le package affecté, la version corrigée disponible, et si des fix existent. Les principaux outils open source de scanning d'images incluent Trivy (CNCF, le plus populaire), Grype (Anchore, focus sur la précision), et Syft (génération de SBOM). Les solutions commerciales incluent Snyk Container, Aqua Security, Lacework, et les scanners intégrés aux registres (AWS ECR Enhanced Scanning via Inspector, Azure Defender for Containers, GCP Artifact Analysis). L'intégration du scanning dans le pipeline CI/CD (shift-left) est essentielle : scanner à chaque build (avant push vers le registre), définir des quality gates bloquants (refuser le déploiement si des CVE Critical non patchées sont présentes), et scanner les images en production pour détecter les nouvelles CVE publiées sur des images déjà déployées. Le scanning d'images ne se limite pas aux CVE du système d'exploitation : les scanners modernes détectent aussi les secrets hardcodés dans les layers de l'image (Trivy Secret Scanning), les mauvaises configurations Dockerfile (DAST pour conteneurs), et les licences de packages non conformes aux politiques de l'organisation.