컨테이너 보안: 컨테이너화된 응용 프로그램의 보안을 위한 개념, 이론, 대응법과 모범 관행까지

6.8 이미지 보안

119

어 이미지를 스캔해서 취약점들을 찾는다고 하자 (이 주제는 제

7

장에서 다룬다 ). 승인 제어기

(

admission

controller

)를 적절히 설정하면 취약점 스캔을 마친 이미지만 배치되게 할 수 있

다. 이를 위해서는 주어진 이미지의 스캔이 완료되었음을 어딘가에 기록해 두어야 한다. 만일

그런 기록이 이미지를 태그로 지칭한다면 이미지 스캔 여부 정보를 신뢰하기 힘들다. 이미지가

변해도 (따라서 다시 스캔해야 해도) 태그는 같을 수 있기 때문이다. 고유한 다이제스트를 이

용하면 이런 문제가 없다.

이미지 저장 방식을 익혔으니, 이제 이미지와 관련된 보안 문제로 넘어가자.

6.8

이미지 보안

이미지 보안의 주된 관심사는 이미지 무결성(

image

integrity

)이다. 간단히 말하면, 지금 실

행할 컨테이너 이미지가 애초에 여러분이 실행하려고 했던 그 이미지가 맞는지를 확인하는 것

이 중요하다. 공격자가 원래 의도한 것이 아닌 이미지를 배치본에서 실행할 수 있다면, 공격자

는 그 어떤 코드라도 실행할 수 있게 된다. 이미지 구축에서 저장, 실행으로 이어지는 사슬에는

다양한 약점이 존재한다 ([그림

6

-

2

] 참고 ).

소스 코드

소스 코드 조작

Dockerfile

조작

구축용 컴퓨터를

통한 배치본 공격

저장된 이미지

조작

악성 배치본

정의

취약한 ...