강화 이미지(Hardened Images)란 무엇이며 왜 사용하나요?

최소 설계 접근 방식으로 이미지 크기를 줄이고 공격 표면을 제한하는 강화 이미지의 개념과, Docker Hardened Images가 일반 강화 이미지와 어떻게 다른지 알아봐요.

출처: 문서

본문

오늘날 다양한 소프트웨어 환경에서 컨테이너 이미지는 종종 유연성과 광범위한 호환성을 위해 설계돼요. 그 덕분에 많은 사용 사례에 이상적이지만, 특정 워크로드에 필요한 것보다 더 많은 구성 요소가 포함되어 버리기도 해요. Docker Hardened Images는 기본 설계에서 최소화하는 접근 방식(minimal-by-design)을 택해 이미지 크기를 줄이고, 공격 표면을 제한하며, 보안 및 컴플라이언스 워크플로를 간소화해요.

강화 이미지는 컨테이너 이미지에 들어 있는 것을 최소화해서 이런 문제를 해결해요. 소프트웨어가 적을수록 취약점이 적고, 배포가 빠르며, 매주 처리해야 할 red dashboard(경고 지표)도 줄어들어요.

플랫폼 엔지니어와 보안 팀에게 강화 이미지는 CVE 트라이지(triage) 순환에서 벗어날 방법을 제공해, 끊임없는 소방(화재 진압) 없이 안전하고 컴플라이언스에 맞는 인프라를 제공하는 데 집중할 수 있게 해줘요.

강화 이미지란 무엇인가요?

강화 이미지(hardened image)는 취약점을 줄이고 엄격한 보안 및 컴플라이언스 요구사항을 충족하기 위해 의도적으로 최소화되고 보안 처리된 컨테이너 이미지예요. 위험을 높이는 필수적이지 않은 구성 요소를 포함할 수 있는 표준 이미지와 달리, 강화 이미지는 애플리케이션을 안전하게 실행하는 데 필요한 것만 포함하도록 간소화돼요. 관련 기법을 더 자세히 보려면 Base image hardening 문서를 봐요.

강화 이미지의 이점

공격 표면 감소: 필수적이지 않은 구성 요소를 제거하여 공격자의 잠재적 진입점을 제한해요.
보안 체계 개선: 정기 업데이트와 취약점 스캔이 강화 이미지가 시간이 지나도 안전하게 유지되도록 도와줘요.
컴플라이언스 촉진: SBOM 같은 서명된 메타데이터를 포함해 규제 및 조직 컴플라이언스 표준을 충족하는 데 기여해요.
운영 효율성: 더 작은 이미지 크기는 더 빠른 풀pull, 더 낮은 런타임 오버헤드, 더 낮은 클라우드 리소스 비용으로 이어져요.

Docker Hardened Image란 무엇인가요?

Docker Hardened Images(DHI)는 최소·안전 설계에 엔터프라이즈급 지원과 도구를 결합해 강화 이미지를 더욱 발전시켜요. 보안을 핵심으로 구축된 이 이미지는 오늘날 가장 까다로운 소프트웨어 공급망 및 컴플라이언스 표준을 충족하도록 지속적으로 유지관리, 테스트, 검증돼요.

Docker Hardened Images는 기본적으로 안전하고(secure by default), 설계상 최소화되어 있으며(minimal by design), 직접 관리할 필요 없이 유지되기 때문에 우리가 유지관리를 신경 쓸 필요가 없어요.

Docker Hardened Images가 일반 강화 이미지와 어떻게 다른가요?

SLSA 준수 빌드: Docker Hardened Images는 SLSA Build Level 3를 충족하도록 빌드되어, 공급망 위협으로부터 보호하는 변조 방지·검증 가능·감사 가능한 빌드 프로세스를 보장해요.
Distroless 접근 방식: 셸, 패키지 매니저, 디버깅 도구가 포함된 전체 OS를 번들하는 전통적인 베이스 이미지와 달리, distroless 이미지는 애플리케이션을 실행하는 데 필요한 최소한의 OS 구성 요소만 유지해요. 불필요한 도구와 라이브러리를 제외함으로써 공격 표면을 최대 95% 줄이고 성능과 이미지 크기를 개선할 수 있어요.
지속적인 유지보수: 모든 DHI는 지속적으로 모니터링·업데이트되어 익스플로잇 가능한 알려진 CVE를 제로에 가깝게 유지하며, 팀이 패치 피로(patch fatigue)와 갑작스러운 경고를 피하도록 도와줘요.
컴플라이언스 준비 완료: 각 이미지에는 암호화 서명된 메타데이터가 포함돼요.
- 이미지에 무엇이 들어 있는지 보여주는 SBOM
- 어떤 취약점이 실제로 익스플로잇 가능한지 식별하는 VEX 문서
- 이미지가 어떻게, 어디서 빌드되었는지 증명하는 Build provenance
호환성 중심 설계: Docker Hardened Images는 최소 런타임 환경을 제공하면서도 일반적인 Linux 배포판과의 호환성을 유지해요. 셸과 패키지 매니저 같은 필수적이지 않은 구성 요소를 제거해 보안을 강화하면서도, 익숙한 배포 표준에 기반한 작은 베이스 레이어를 유지해요. 이미지는 일반적으로 musl libc(Alpine 기반)와 glibc(Debian 기반)로 제공되어 광범위한 애플리케이션 호환성 요구를 지원해요.

왜 Docker Hardened Images를 사용하나요?

Docker Hardened Images(DHI)는 기본적으로 안전하고, 설계상 최소화되어 있으며, 우리가 관리하지 않아도 유지되도록 설계됐어요. 다음을 제공해요.

안심을 위한 이미지: 초소형이고 distroless인 DHI는 기존 컨테이너 공격 표면의 최대 95%를 제거해요.
더 이상 패치 공포 없음: 지속적인 CVE 스캔과 SLA 기반 해결(remediation)로 Docker가 위협보다 앞서 나가도록 도와줘요.
감사 준비된 이미지: 모든 DHI에는 보안 및 컴플라이언스 워크플로를 지원하는 서명된 SBOM, VEX, provenance가 포함돼요.
우리 스택과 함께 작동하는 이미지: Alpine과 Debian 변형으로 제공되는 DHI는 기존 Dockerfile과 파이프라인에 그대로 들어가요.
엔터프라이즈 지원이 뒷받침된 이미지: Docker의 지원과 중요 취약점에 대한 신속한 대응으로 안심을 얻어요.

강화 이미지(Hardened Images)란 무엇이며 왜 사용하나요?