Copacetic으로 컨테이너 이미지를 다시 빌드하지 않고 취약점을 패치한다

Copacetic은 전체 이미지 재빌드 없이 취약점을 고칩니다. 이 오픈소스 도구는 명령줄 인터페이스(CLI)로 작동합니다. 기존 컨테이너 이미지(container image) 위에 패치 레이어(patch layer)를 더합니다. Trivy 같은 취약점 스캐너(vulnerability scanner)의 결과를 이용합니다. 저는 이미지 전체를 다시 만드는 대신 패치 레이어로 수정 경로를 하나 더 만든 점이 흥미롭습니다.

pgvector 0.8.7은 취약점을 고친 뒤 기존 백엔드 연결도 교체해야 했습니다. Copacetic은 컨테이너 이미지에 패치를 반영하는 경로를 다룹니다. 두 소식은 수정된 내용이 실제로 쓰이는 환경에 적용됐는지 확인하는 일로 이어집니다.

이미지를 통째로 다시 만드는 대신, 필요한 취약점 패치를 기존 이미지에 덧댈 수 있습니다. Alpine, Debian, Ubuntu, RHEL 등 여러 배포판의 이미지를 지원합니다. 패키지 관리자(package manager)가 다른 이미지도 다룹니다. 멀티 플랫폼(multi-platform) 이미지도 지원합니다. 패치를 반영하는 방식이 달라진 점이 반갑습니다.

스캐너 결과가 패치의 출발점이므로, 무엇을 발견했는지부터 살펴야 합니다. 지원되는 패키지 관리자를 사용하는 이미지인지도 확인해야 합니다. DPKG·RPM 기반 distroless 이미지도 지원하며, 이 경우 빌드 도구용 컨테이너를 띄워 패치합니다. 이미지 종류에 따라 적용 방식이 달라지므로, 실제 사용 중인 이미지부터 살펴보게 됩니다.

지속적 통합(CI)에서 사용하는 스캐너 결과로 테스트용 이미지 하나를 패치해 보십시오. 같은 스캐너로 다시 검사하고, 이미지가 실행되는지도 확인하십시오. 검사에서 취약점이 사라지고 애플리케이션도 동작하면 두 가지를 각각 확인한 셈입니다.

취약점 재검사와 패치 이미지의 앱 실행 확인 가운데 무엇부터 하시겠습니까?