Container & Dependency Security

Container membawa dependency ke produksi. Jika image atau dependency memiliki kerentanan, risikonya ikut ter-deploy. Keamanan harus dimulai dari build.

Risiko utamaCopy Anchor Link

Base image minimalCopy Anchor Link

Semakin sedikit komponen, semakin kecil attack surface.

Non-root dan read-onlyCopy Anchor Link

FROM node:22-alpine
WORKDIR /app
COPY --chown=node:node . .
USER node
CMD ["node", "server.js"]

Docker Compose:

services:
  app:
    image: ghcr.io/org/app:1.4.0
    read_only: true
    tmpfs:
      - /tmp
    security_opt:
      - no-new-privileges:true
    cap_drop:
      - ALL

Scan imageCopy Anchor Link

trivy image ghcr.io/org/app:1.4.0
trivy image --severity HIGH,CRITICAL --exit-code 1 ghcr.io/org/app:1.4.0

Di pipeline:

- name: Scan image
  uses: aquasecurity/trivy-action@0.28.0
  with:
    image-ref: ghcr.io/org/app:${{ github.sha }}
    severity: HIGH,CRITICAL
    exit-code: "1"

Scan filesystem dan IaCCopy Anchor Link

trivy fs .
trivy config .

Ini mendeteksi dependency rentan, secret, dan salah konfigurasi sebelum build.

Dependency auditCopy Anchor Link

npm audit
npm audit --audit-level=high
npm outdated

Gunakan lockfile (package-lock.json) untuk build reproducible.

SBOMCopy Anchor Link

syft ghcr.io/org/app:1.4.0 -o spdx-json > sbom.json
grype sbom.json

SBOM memungkinkan pencarian cepat saat ada CVE baru.

Signing dan verifikasiCopy Anchor Link

cosign generate-key-pair
cosign sign --key cosign.key ghcr.io/org/app:1.4.0
cosign verify --key cosign.pub ghcr.io/org/app:1.4.0

Di Kubernetes, gunakan Kyverno/Gatekeeper untuk menolak image tidak bertanda tangan.

Tag immutableCopy Anchor Link

Gunakan digest atau tag SHA:

ghcr.io/org/app@sha256:...
ghcr.io/org/app:git-abc1234

Hindari deploy latest karena tidak jelas versi apa yang berjalan.

Pembaruan dependencyCopy Anchor Link

• Aktifkan Dependabot/Renovate.
• Review changelog dan breaking changes.
• Uji di CI.
• Deploy bertahap.
• Pantau setelah update.

Runtime securityCopy Anchor Link

• Network policy membatasi komunikasi.
• Jangan mount Docker socket.
• Batasi capability.
• Gunakan seccomp/AppArmor.
• Pantau proses mencurigakan.
• Rotasi kredensial image registry.

Praktik: hardening imageCopy Anchor Link

1. Pilih base image minimal dan pin digest.
2. Multi-stage build.
3. Jalankan sebagai non-root.
4. .dockerignore rahasia.
5. Scan image; gagal pada HIGH/CRITICAL.
6. Hasilkan SBOM.
7. Tanda tangani image.
8. Deploy dengan tag immutable.

RingkasanCopy Anchor Link

• Base image dan dependency adalah sumber risiko utama.
• Scan, SBOM, dan signing mengamankan supply chain.
• Non-root, read-only, dan capability minimal mengurangi dampak.
• Perbarui dependency secara rutin dan teruji.