Sécurité des Conteneurs

Ce que contient ce pack

Ce pack rassemble les six outils open-source vers lesquels la plupart des équipes convergent après avoir quitté les plateformes commerciales de sécurité conteneur. Ensemble ils couvrent registre, scan d'image, linting infrastructure-as-code et défense runtime — les quatre couches qui apparaissent dans chaque post-mortem supply-chain.

La séparation compte : registre sans scan c'est du théâtre ; scan sans SBOM donne des numéros CVE sans surface de remédiation ; runtime sans politique réseau détecte l'intrusion mais ne contient pas le rayon d'explosion.

Pourquoi la sécurité conteneur compte maintenant

La vague d'incidents 2024-2025 (xz-utils, polyfill.io, vers npm) a rendu une chose concrète : le binaire que vous livrez est la somme de chaque dépendance que vous n'avez pas auditée. Une image moderne combine OS de base, runtime langage, couche app et outillage build — quatre supply chains empilées. Le coût d'une transitive compromise est le même que vous soyez 5 ou 5000.

Les scanners commerciaux (Snyk, Wiz, Aqua) marchent, mais demandent $30-100 par nœud par mois et envoient leur télémétrie dans leur cloud. Le pack open-source ici livre :

• Scan IaC pré-merge (Checkov en CI attrape buckets S3 mal configurés, securityContext manquant, secrets exposés avant la review)
• Scan d'image post-build (Grype + Syft à chaque push Harbor — fail le build si CVSS ≥ 7)
• Défense runtime (CrowdSec ingère logs nginx/Traefik et partage IPs attaquantes avec 100k+ pairs)
• Confinement réseau (Cilium NetworkPolicy : un pod compromis ne pivote pas vers votre DB)

Installer en une commande

# Installe le pack entier dans le projet actuel
tokrepo install pack/container-security

# Ou choisissez des ressources individuelles
tokrepo install grype
tokrepo install checkov

Le TokRepo CLI écrit configs scanner, templates jobs CI et snippets Helm values dans votre repo. Chaque page de ressource documente les flags qu'Anchore, Bridgecrew, Isovalent et l'équipe Harbor recommandent pour la production.

Pièges courants

• Scanner seulement les tags latest. Pinnez aux digests dans les manifests de prod ; latest dérive et votre historique de scans perd son sens.
• Traiter le score CVSS comme priorité. Un CVSS 9.8 dans une image base dev-only jamais exposée est moins prioritaire qu'un CVSS 6.5 dans votre proxy edge. Combinez l'output Grype avec analyse d'atteignabilité runtime.
• Sauter la génération de SBOM. Quand le prochain backdoor style xz tombera, les équipes qui ont déjà des SBOMs Syft en stockage répondent « sommes-nous exposés ? » en minutes. Sans SBOM, une semaine.
• Checkov comme seule gate IaC. Checkov est excellent sur les patterns mauvais connus mais n'attrape pas la sécurité métier (e.g. rôle IAM techniquement valide mais trop permissif). Pairez avec tfsec ou OPA pour la seconde passe.
• CrowdSec sans revue des scenarios. Les scenarios par défaut bloquent les attaquants évidents mais peuvent faux-positiver sur des crawlers agressifs. Réglez parsers/scenarios ou vous bloquerez votre propre monitoring.

Quand ce pack seul ne suffit pas

Si vous tournez Kubernetes à l'échelle, ajoutez Falco pour la détection runtime niveau syscall (c'est l'outil runtime d'origine — Tetragon de Cilium recouvre maintenant mais le corpus de règles Falco est plus large). Pour les secrets spécifiquement, ajoutez Vault ou Infisical — aucun n'est dans le pack car la gestion de secrets est un autre problème. Pour la provenance supply-chain (qui a construit cette image, sur quel runner), regardez Sigstore + attestations in-toto ; Harbor supporte cosign signing nativement, donc le chemin est court.