이미지 경량화와 보안 스캐닝 — 프로덕션에 올리기 전에 확인할 것들

# 나쁜 예: 전체 OS 포함 (~900MB)
FROM node:20

# 보통: Debian slim (~200MB)
FROM node:20-slim

# 좋은 예: Alpine Linux (~140MB)
FROM node:20-alpine

# 더 좋은 예: distroless (~120MB)
FROM gcr.io/distroless/nodejs20-debian12

FROM node:20-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build

FROM node:20-alpine
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY package*.json ./
RUN npm ci --omit=dev && npm cache clean --force
CMD ["node", "dist/server.js"]

# apt: 추천하지 않는 패키지 제외 + 캐시 정리
RUN apt-get update \
    && apt-get install -y --no-install-recommends curl ca-certificates \
    && rm -rf /var/lib/apt/lists/*

# apk: 캐시 없이 설치
RUN apk add --no-cache curl

# .dockerignore
.git
.github
node_modules
*.md
docs/
tests/
.env*
.vscode
.idea
coverage/

# 나쁜 예: 파일이 이전 레이어에 남아있음
RUN wget https://example.com/large-file.tar.gz
RUN tar xzf large-file.tar.gz
RUN rm large-file.tar.gz

# 좋은 예: 하나의 레이어에서 모두 처리
RUN wget https://example.com/large-file.tar.gz \
    && tar xzf large-file.tar.gz \
    && rm large-file.tar.gz

# docker history로 레이어별 크기 확인
docker history myapp:latest

# dive로 상세 분석 (추천)
dive myapp:latest

# 이미지 크기 비교
docker images --format "{{.Repository}}:{{.Tag}} {{.Size}}"

# 설치 (macOS)
brew install trivy

# 이미지 스캔
trivy image myapp:latest

# 심각도 필터링 (HIGH, CRITICAL만)
trivy image --severity HIGH,CRITICAL myapp:latest

# JSON 출력
trivy image --format json --output result.json myapp:latest

# 취약점이 발견되면 실패 (CI에서 활용)
trivy image --exit-code 1 --severity CRITICAL myapp:latest

myapp:latest (alpine 3.19.1)
Total: 3 (HIGH: 2, CRITICAL: 1)

┌──────────────┬────────────────┬──────────┬────────┬──────────────────────┐
│   Library    │ Vulnerability  │ Severity │ Status │   Fixed Version      │
├──────────────┼────────────────┼──────────┼────────┼──────────────────────┤
│ libssl3      │ CVE-2024-1234  │ CRITICAL │ fixed  │ 3.1.4-r5            │
│ libcrypto3   │ CVE-2024-5678  │ HIGH     │ fixed  │ 3.1.4-r5            │
│ curl         │ CVE-2024-9999  │ HIGH     │ fixed  │ 8.5.0-r1            │
└──────────────┴────────────────┴──────────┴────────┴──────────────────────┘

# 파일 시스템 스캔 (빌드 전에 소스 코드 검사)
trivy fs --scanners vuln,secret .

# Dockerfile 자체의 문제 점검
trivy config Dockerfile

# SBOM 생성
trivy image --format spdx-json --output sbom.json myapp:latest

# Docker Desktop 최신 버전에서 사용 가능
docker scout cves myapp:latest

# 권고 사항 확인
docker scout recommendations myapp:latest

# SBOM 확인
docker scout sbom myapp:latest

# 베이스 이미지 업데이트 제안
docker scout compare --to myapp:previous myapp:latest

# 설치 및 인증
npm install -g snyk
snyk auth

# 이미지 스캔
snyk container test myapp:latest

# 모니터링 (지속적으로 새 취약점 알림)
snyk container monitor myapp:latest

# GitHub Actions 예시
name: Security Scan
on: push

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Build image
        run: docker build -t myapp:${{ github.sha }} .

      - name: Run Trivy vulnerability scanner
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: myapp:${{ github.sha }}
          format: sarif
          output: trivy-results.sarif
          severity: CRITICAL,HIGH
          exit-code: 1

      - name: Upload scan results
        uses: github/codeql-action/upload-sarif@v3
        if: always()
        with:
          sarif_file: trivy-results.sarif

# Trivy로 SPDX 형식 SBOM 생성
trivy image --format spdx-json -o sbom.spdx.json myapp:latest

# CycloneDX 형식
trivy image --format cyclonedx -o sbom.cdx.json myapp:latest

# Docker Scout으로 SBOM 확인
docker scout sbom myapp:latest

# Syft로 SBOM 생성 (Anchore 프로젝트)
syft myapp:latest -o spdx-json > sbom.json

# Cosign으로 이미지 서명 (Sigstore 프로젝트)
cosign sign myregistry.com/myapp:v1.0.0

# 서명 검증
cosign verify myregistry.com/myapp:v1.0.0

# 키 없는 서명 (keyless signing — OIDC 기반)
cosign sign --yes myregistry.com/myapp:v1.0.0