Выбор ответа Senior Безопасность цепочки поставки обновлено
Сканер нашёл 300 CVE
Вопрос
Trivy нашёл в образе 300 уязвимостей, из них 4 критические с доступным исправлением. Разумная политика?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Блокировать на критических с исправлением, остальное разбирать по сроку. Требование нуля CVE парализует выкатку: многие уязвимости без исправления или в неиспользуемых пакетах.
Варианты ответа
- Блокировать выкатку, пока в образе не останется ни одной уязвимости
- Отключить сканер, раз результатов слишком много и они мешают выкатке
- Игнорировать всё, что не в своём коде: зависимости чинят авторы
- Блокировать на критических с исправлением, остальное разбирать по срокуправильный ответ
Разбор
Требование нуля CVE парализует выкатку: многие уязвимости без исправления или в неиспользуемых пакетах. Отключить сканер значит не знать о реальной опасности. Уязвимости зависимостей это как раз главный канал атак. Помогает и смена базового образа на минимальный: число находок падает в разы.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.