據NetRise稱，容器是軟件供應鏈中增長最快且網絡安全最薄弱的環節。

各公司在努力確保容器安全方面頗費周折。從配置不當的云、容器和網絡，到在整個軟件生命周期中容器安全歸屬問題的不確定性，這些問題一直存在，然而，根據2022年Anchore的一份報告，企業計劃在未來24個月內擴大對容器的采用，其中88%的企業計劃增加容器的使用，31%的企業計劃大幅增加容器的使用。

然而，到了2024年，我們開始看到人們認識到了容器安全問題，Red Hat最近的一份報告顯示，67%的組織由于與容器和Kubernetes相關的安全問題而延遲或放緩了應用程序的部署。

依賴容器化應用帶來網絡安全挑戰

對容器化應用的日益依賴帶來了兩個網絡安全挑戰：

? 需要保持對容器中詳細軟件組件及其來源的可見性;

? 需要識別和優先處理容器組件中的漏洞和風險。

NetRise的研究人員從Docker Hub上下載量最高的250個鏡像中隨機選擇了70個容器鏡像進行分析，并生成了一份詳細的軟件材料清單(SBOM)。他們發現，平均每個容器鏡像包含389個軟件組件。

研究人員發現，八分之一的組件沒有軟件清單——它們缺乏通常在清單中找到的正式元數據，以及有關依賴項、版本號或軟件包來源的詳細信息。這意味著依賴清單進行分析的傳統容器掃描工具將存在顯著的可見性缺口，需要新的流程和工具來妥善緩解相關風險。

平均每個容器在其底層軟件組件中有604個已知漏洞，其中超過45%的漏洞存在2至10年以上的時間。NetRise威脅情報發現，在16557個被識別為具有嚴重或高危CVSS嚴重程度評級的CVE中，超過4%是被僵尸網絡用于傳播勒索軟件、被威脅行為者利用或用于已知攻擊的武器化漏洞。

此外，他們發現每個容器平均有4.8個配置錯誤，包括146個“可寫和可讀的非tmp目錄”，這些容器的身份控制過于寬松，每個容器平均有19.5個用戶名。

全面了解軟件風險始于全面可見性

軟件供應鏈內部缺乏透明度對全球各地的企業來說都至關重要。最重要的是，商業軟件(包括容器化軟件)內容的透明度至關重要。

作為起點，企業需要對其軟件進行全面了解，以理解其范圍、規模和相關風險。先進技術可以為企業提供急需的洞察，以豐富和完善安全運營中使用的資產發現、漏洞管理和入侵檢測工具，為所有軟件開發詳細的SBOM，檢測漏洞和非CVE風險，并對所有已識別的軟件供應鏈風險進行優先排序。

NetRise首席執行官Thomas Pace表示：“容器技術的采用正在快速增長，這主要是因為其輕量級且易于管理，然而，雖然容器改變了許多現代應用程序的設計、部署和管理方式，但它們似乎是軟件供應鏈中網絡安全最薄弱的環節之一。”