Docker Hardened Images حالا برای همه در دسترسه

وقتی داکر تصمیم می‌گیره امنیت رو از انحصار سازمان‌ها دربیاره

اگر بخوایم صادق باشیم، امنیت کانتینرها سال‌هاست یه مسئله‌ی حل‌نشده‌ست.
نه به این خاطر که ابزار نداریم، بلکه چون اغلب راه‌حل‌های درست، گرون، پیچیده یا مخصوص شرکت‌های خیلی بزرگ بودن.
Docker Hardened Images دقیقا از دل همین شکاف به‌وجود اومد و حالا با یه تصمیم مهم، داکر این شکاف رو برای همه باز کرده.

اصل ماجرا چیه؟

Docker اعلام کرده که Docker Hardened Images (DHI) که قبلا فقط در پلن‌های Enterprise ارائه می‌شد،
الان به‌صورت رایگان و متن‌باز در اختیار همه‌ی توسعه‌دهنده‌ها قرار گرفته.

این ایمیج‌ها تحت Apache License 2.0 منتشر شدن؛
یعنی استفاده آزاد، بدون محدودیت تجاری، بدون قفل پلتفرمی.

این خبر شاید توی نگاه اول شبیه یه آپدیت ساده به نظر بیاد،
اما در واقع داریم درباره‌ی آزاد شدن چیزی حرف می‌زنیم که تا دیروز «امنیت در سطح سازمانی» حساب می‌شد.

Docker Hardened Images دقیقا چی هست؟

Docker Hardened Images مجموعه‌ای از ایمیج‌های کانتینریه که از صفر برای پروداکشن طراحی شده،
نه برای آموزش، نه برای دیباگ، نه برای همه‌کاره بودن.

ایده‌ی پشت DHI خیلی ساده‌ست:

ایمیج پروداکشن باید فقط همون چیزهایی رو داشته باشه که برای اجرای اپلیکیشن لازمه، نه حتی یک بایت بیشتر.

به همین خاطر:

• خبری از ابزارهای اضافی نیست
• shell و package manager حذف شدن
• dependencyها به حداقل ممکن رسیدن

این ایمیج‌ها «لاغر» نیستن؛ کنترل‌شده‌ان.

مشکل ایمیج‌های معمولی کجاست؟

بیشتر ما با ایمیج‌های عمومی مثل Ubuntu، Alpine یا Node شروع می‌کنیم.
ایمیج‌هایی که برای همه‌چیز ساخته شدن:

• توسعه
• تست
• اجرا
• دیباگ

این همه‌منظوره بودن، توی پروداکشن تبدیل می‌شه به مشکل.

چرا؟ چون:

• هر پکیج اضافه، یه ریسک اضافه‌ست
• هر ابزار بلااستفاده، یه CVE بالقوه‌ست
• هر dependency مبهم، یه دردسر امنیتیه

نتیجه این می‌شه که اسکنر امنیتی پر از هشدار می‌شه،
در حالی که بخش بزرگی از اون هشدارها هیچ ربطی به اپلیکیشن شما نداره.

DHI با این وضعیت چیکار می‌کنه؟

کاهش واقعی سطح حمله

طبق اعلام Docker، ایمیج‌های Hardened:

• تا ۹۵٪ سطح حمله‌ی کمتری نسبت به ایمیج‌های استاندارد دارن
• تعداد پکیج‌هاشون به شکل چشمگیری کمتره
• فقط شامل runtimeهای ضروری هستن

این یعنی:

• CVE کمتر
• نویز کمتر در اسکن‌ها
• تمرکز بیشتر روی مشکلات واقعی

شفافیت کامل با SBOM

هر ایمیج DHI همراه با:

• Software Bill of Materials (SBOM) کامل
• لیست دقیق تمام کامپوننت‌ها
• مشخص بودن سورس و نسخه‌ی هر dependency

دیگه لازم نیست حدس بزنی داخل ایمیج چی هست؛
همه‌چی مشخصه.

اعتمادپذیری با SLSA Build Level 3

ایمیج‌ها داخل pipelineهایی ساخته می‌شن که:

• با SLSA Build Level 3 سازگارن
• provenance قابل بررسی دارن
• فرآیند ساختشون قابل audit کردنه

این یعنی اعتماد به ایمیج، فقط بر اساس اسم Docker نیست؛
بر اساس شواهده.

نکته‌ی مهم: اینا قبلا پولی بودن

تا قبل از این تصمیم:

• DHI فقط برای مشتری‌های Enterprise در دسترس بود
• تیم‌های کوچیک عملا بهش دسترسی نداشتن
• پروژه‌های Open Source نمی‌تونستن ازش استفاده کنن

حالا چی تغییر کرده؟

• همون ایمیج‌ها، رایگان شدن
• متن‌باز شدن
• برای همه در دسترسن

این حرکت، یه پیام واضح داره:

امنیت پایه‌ی نرم‌افزار نباید کالای لوکس باشه.

فقط ایمیج نه؛ زیرساخت هم هاردن شده

Docker همزمان با این خبر،
Hardened MCP Servers رو هم معرفی کرده؛ مخصوص اپلیکیشن‌های AI.

این شامل نسخه‌های امن‌شده‌ی سرویس‌هایی مثل:

• MongoDB
• Grafana
• GitHub
• سرویس‌های پرکاربرد دیگه

یعنی حتی سرویس‌های جانبی هم با نگاه Secure by Default ارائه می‌شن.

مدل ارائه‌ی DHI بعد از این تغییر

Docker الان DHI رو در سه سطح ارائه می‌کنه:

1. DHI Open Source (رایگان)

• ایمیج‌های هاردن‌شده
• SBOM
• provenance
• داده‌های CVE

برای خیلی از تیم‌ها، همین نسخه کاملا جواب می‌ده.

2. DHI Enterprise

مخصوص سازمان‌هایی با نیازهای سخت‌گیرانه‌تر:

• SLA هفت‌روزه برای CVEهای Critical
• ایمیج‌های FIPS-enabled
• تنظیمات STIG-ready
• امکان شخصی‌سازی ایمیج‌ها

3. DHI Extended Lifecycle Support (ELS)

برای سیستم‌های Legacy:

• پچ امنیتی تا ۵ سال بعد از EOL upstream
• مناسب سازمان‌هایی که امکان مهاجرت سریع ندارن

چرا این حرکت الان مهمه؟

حملات زنجیره‌ی تأمین نرم‌افزار دیگه استثنا نیستن؛ دارن تبدیل به قاعده می‌شن.
به همین خاطر:

• سرمایه‌گذاری روی Container Security به‌شدت رشد کرده
• بازار این حوزه تا دهه‌ی آینده چند برابر می‌شه
• ایمیج امن، تبدیل به یه نیاز پایه شده، نه یه مزیت رقابتی

Docker با آزاد کردن DHI، عملا جای خودش رو به‌عنوان یکی از بازیگران اصلی امنیت زیرساخت تثبیت می‌کنه.

جمع‌بندی

Docker Hardened Images حالا:

• رایگانن
• متن‌بازن
• آماده‌ی استفاده در پروداکشن

این تصمیم فقط یه آپدیت فنی نیست؛
یه تغییر نگاهه.

از این به بعد: امنیت پایه‌ی کانتینر،
نباید چیزی باشه که «بعدا بهش فکر کنیم».

اگه قراره نرم‌افزارت روی اینترنت اجرا بشه،
پایه‌ای که روش ساخته می‌شه، مهم‌تر از چیزیه که معمولا بهش توجه می‌کنیم.