T
traeai
登录
返回首页
Docker

加固镜像详解：更少CVE，更小攻击面

4.5Score
加固镜像详解：更少CVE，更小攻击面

TL;DR · AI 摘要

Docker Hardened Images通过预置安全配置和最小化攻击面减少CVE暴露，但本文仅为产品导航页，未提供加固镜像的技术原理、构建流程或实测数据等工程细节。

核心要点

  • Docker Hardened Images是面向企业的安全容器镜像产品，主打减少CVE和攻击面。
  • 文章主体为Docker产品线导航与定价表，缺失加固机制、SBOM、合规标准等技术说明。
  • 工程师需查阅Docker官方文档或Scout工具获取Hardened Images的实际使用指南与安全基线。

结构提纲

按章节快速跳转。

  1. §产品导航概览

    页面主要罗列了Docker的AI代理、应用安全和开发工具等产品分类，缺乏技术阐述。

  2. ·加固镜像产品定位

    Docker Hardened Images被营销为企业级安全镜像，但该内容未提供实现细节或安全基准。

  3. ›定价与版本信息

    Docker个人版、专业版和团队版的详细定价表占据了主要内容，侧重于功能列表而非安全架构。

思维导图

用一张图看清主题之间的关系。

查看大纲文本（无障碍 / 无 JS 友好）
  • Docker Hardened Images
    • Security Value Prop
      • Fewer CVEs
      • Smaller Attack Surface
    • Content Limitations
      • Missing Technical Details
      • Pricing Focus

金句 / Highlights

值得收藏与分享的关键句。

#Docker#容器安全#加固镜像#供应链安全
打开原文

详解加固镜像 | Docker

跳转到正文

Image 4

来自 800 多位构建者和领导者的 AI Agent 现状洞察。立即下载您的副本

✕

[](https://www.docker.com/)

AI 与 Agent

应用安全

应用开发

开发者

获取最新 Docker 资讯

  • 定价- [x] 按年付费 按月付费 Docker Personal $0 $0 面向需要构建和部署容器基本工具的个人开发者。 立即开始 立即开始 包含： #### Docker Desktop #### Docker Engine + Kubernetes #### Docker Hub #### Docker Scout #### Docker Debug 包含用量： #### 1 个用户 #### 1 个启用 Docker Scout 的仓库* #### 每小时 100 次 Docker Hub 拉取* #### 1 个私有 Docker Hub 仓库 #### Docker Build Cloud 和 Testcontainers Cloud 免费试用 Docker Pro $11 $9 每用户/月 面向需要更高级功能和额外资源的个人专业人士。 立即购买 立即购买 包含： #### Docker Build Cloud #### Testcontainers Cloud #### 同步文件共享 #### 查看 Docker Scout 健康评分 #### 5 个工作日支持响应 包含用量： #### 1 个用户 #### 2 个启用 Docker Scout 的仓库 #### 无限 Docker Hub 拉取速率 #### 200 分钟 Docker Build Cloud 构建时长 #### 100 分钟 Testcontainers Cloud 运行时长 最受欢迎 Docker Team $16 $15 每用户/月 面向需要协作工具以提升协同效率的小型团队。 立即购买 立即购买 包含： #### 批量添加用户 #### 审计日志 #### Docker Hub 基于角色的访问控制 #### 2 个工作日支持响应 包含用量： #### 最多 100 个用户 #### 无限启用 Docker Scout 的仓库 #### 无限 Docker Hub 拉取速率 #### 无限私有 Docker Hub 仓库 #### 500 分钟 Docker Build Cloud 构建时长 #### 500 分钟 Testcontainers Cloud 运行时长 #### 10 个组织访问令牌 #### 1 个 Docker Hub 组织 Docker Business $24 $24 每用户/月 面向需要强大安全性、管控能力和合规功能的企业。 立即购买 立即购买 联系销售 联系销售 包含： #### 加固版 Docker Desktop #### 单点登录 (SSO) #### SCIM 用户配置 #### 镜像和注册表访问管理 #### Desktop Insights 仪表板 #### 增强型容器隔离 (ECI) #### 通过发票购买 #### 1 个工作日支持响应 包含用量： #### 无用户数量上限 #### 无限启用 Docker Scout 的仓库 #### 无限 Docker Hub 拉取速率 #### 无限私有 Docker Hub 仓库 #### 1,500 分钟 Docker Build Cloud 构建时长 #### 1,500 分钟 Testcontainers Cloud 运行时长 #### 100 个组织访问令牌 #### 无限 Docker Hub 组织*** 图片 5## Docker 加固镜像 (DHI)

为每个团队提供安全、精简的容器镜像，如需企业级功能可免费使用。开始免费试用

搜索

登录立即开始

切换菜单

加固镜像详解：减少 CVE，缩小攻击面

发布于 2026 年 6 月 4 日

图片 6：Aditya Tripathi 的文章

Aditya Tripathi

当安全团队首次扫描其容器环境时，往往会发现数百个已知漏洞，而其中几乎没有任何一个可追溯到应用程序代码。

绝大多数漏洞来自基础镜像中预装的软件包：shell、编译器、调试工具以及应用程序从未调用过的库。在基于容器的软件供应链中，基础镜像是基石。如果该基础镜像携带了不必要的组件，那么构建在其上的每一个工作负载都会继承相应的风险。

加固镜像从源头上解决了这一问题。它们是专为基础镜像设计的，仅保留应用程序所需的运行时组件，持续进行补丁更新，并附带可验证的元数据，使安全团队能够准确确认镜像内部包含的内容及其构建方式。

## 核心要点

* 大多数容器漏洞源于从基础镜像继承的不必要软件包，而非应用程序代码本身。

* 加固镜像移除了容器化应用不需要的所有内容，可将攻击面缩小多达 95%。

* 除了最小化之外，加固镜像还包含可验证的供应链元数据：SBOM、构建来源和可利用性数据。

* 容器加固不同于虚拟机加固；它侧重于镜像内容和构建完整性，而非操作系统级别的配置基准。

为什么标准容器镜像存在隐藏风险

像标准 Linux 发行版这样的通用基础镜像可能预装了 400 个或更多的软件包。而一个典型的容器化应用通常只使用其中的 20 到 30 个。其余的都是继承来的冗余：包管理器、文本编辑器、网络诊断工具、文档文件，以及容器原本从未打算支持的使用场景所需的库。

每一个未使用的软件包都是潜在的攻击面。漏洞扫描器会标记它们，因为它们确实存在于镜像中，即使应用程序从未导入或执行过它们。这导致了信噪比问题，消耗了安全团队的大量精力。当团队面对 200 个发现，而其中 80% 存在于没有任何运行中的工作负载所触及的软件包中时，真正需要立即关注的漏洞就会在分级处理中被埋没。

软件包本身是问题的另一半。如果攻击者获得了初始访问权限，生产环境容器中的 Shell 将为其提供交互式操作环境。包管理器允许他们安装额外的工具。调试实用程序帮助他们映射网络并识别横向移动目标。这些都不应出现在生产环境容器中，但它们默认包含在大多数通用基础镜像中，悄然扩大了任何安全漏洞的影响范围。

什么使容器镜像“加固”

那么，实践中的加固镜像究竟是什么？最小化受到的关注最多，但它只是三个要求之一。真正加固的镜像还需要持续维护并可独立验证。

_快速定义：_ _加固镜像是最小化、持续修补的基础镜像，仅提供应用程序运行所需的运行时组件，并附带可验证的供应链元数据，如 SBOM、构建来源证明和加密签名。_

图 7：以卡片形式展示的三大支柱：最小化（移除未使用的软件包、减少 CVE 暴露面、缩小攻击足迹）、持续修补（自动更新基础镜像、及时修复 CVE、触发重建）和可验证元数据（SBOM、来源证明、签名、VEX 文档）。

最小化攻击面

加固镜像最显著的特征是最小化。Shell、包管理器和调试工具被移除。仅包含应用程序正常运行所需的运行时组件。这比单纯选择精简版基础镜像更为彻底。加固镜像通常从软件包层面重新构建，精心挑选每个组件，而不是在通用发行版的基础上做减法。

其结果是 CVE 暴露面大幅缩小。通用镜像可能携带数百个已知漏洞，而针对相同运行时的加固镜像通常只有个位数漏洞，甚至没有。

持续修补与重建

一个从不更新的加固镜像只会成为其构建之日的快照。周二加固的镜像到周五就可能开始偏离安全基线：上游发布了三个 CVE，两个库补丁发布，镜像已经开始积累它本应防止的风险。

安全需要持续维护：监控上游项目的修复程序，重建镜像以合并补丁，并按既定节奏和明确的 SLA 执行此操作。最佳的加固镜像是持续重建的，而非按季度或发布周期进行。这正是生产级加固镜像与一次性精简 Dockerfile 尝试的区别所在。

可验证的供应链元数据

这是加固镜像与组织正在采用的更广泛的供应链安全最佳实践相连接的地方。真正的加固镜像附带：

  • 软件物料清单 (SBOM)：列出镜像中的每个软件包、版本和依赖项
  • 构建来源证明：符合 SLSA 等框架，提供关于镜像构建方式和位置的加密证明
  • 漏洞可利用性交换 (VEX) 数据：指明根据软件的实际配置，镜像中存在的哪些 CVE 是不可利用的
  • 加密签名：验证镜像在构建和部署之间未被篡改

这些元数据使得 CI/CD 管道中的自动化策略执行成为可能。只有当镜像提供商从一开始就将这些元数据构建到供应链中时，除非基础镜像具有签名的 SBOM 和有效的来源证明否则阻止部署的 CI 门禁才是可行的。对于在受监管环境中运行的组织来说，这也使得安全和合规团队无需逆向工程镜像内容即可对其进行验证。

容器加固 vs. 虚拟机加固

“加固镜像”一词同时出现在容器和虚拟机语境中，但这两种实践针对的是技术栈的不同层级。

图 8：并排对比表，包含五行内容：容器加固在镜像层操作，包括最小化、来源证明、SBOM、签名和 VEX，由应用团队负责；而虚拟机加固在操作系统层操作，包括防火墙规则、内核参数、CIS 基准和用户权限，由基础设施团队负责。
  • 虚拟机加固侧重于操作系统配置：禁用不必要的服务、收紧防火墙规则、限制用户权限以及调优内核参数。其标准由 CIS Linux Benchmarks 等框架定义。它针对完整的操作系统进行安全锁定。
  • 容器加固则在镜像层面运作：关注打包内容（最小化）、镜像构建方式（来源溯源）以及内容是否透明（SBOM 和漏洞数据）。它从极简的基础出发，仅构建应用程序所需的组件。

这两种实践都是有效的，且通常共存。许多组织对其容器宿主节点应用虚拟机加固，而对运行在这些节点上的镜像应用容器加固。两者相辅相成，但其技术、工具和评估标准各不相同。经过 CIS 加固的 AMI 与加固后的容器基础镜像解决的是不同层面的 distinct 问题。

如何评估加固镜像

并非所有标榜为“加固”的镜像都符合同一标准。在评估选项时，请重点关注以下特征：

  • 透明度： 您能否查看镜像中的每一个软件包？是否提供完整且机器可读的 SBOM？
  • 来源溯源： 您能否独立验证镜像的构建方式和构建地点？是否有签署的证明并符合公认的框架标准？
  • 补丁更新频率： 上游安全修复的集成速度有多快？是否有明确定义的 SLA，还是仅尽力而为？
  • 兼容性： 这些镜像能否作为现有 Dockerfile 和 CI/CD 流水线中的直接替代品，还是需要更改工作流？
  • 漏洞数据完整性： 提供商是否为了美化镜像而屏蔽或过滤 CVE 数据，还是发布了包含可利用性上下文的完整漏洞透明报告？

这些问题的答案能将真正加固的镜像与仅仅做到最小化的镜像区分开来。最小化是必要条件，但并非充分条件。如果缺乏来源溯源、补丁更新纪律和透明度，小体积镜像不过是一个可见性更差的较小攻击面而已。

加固镜像不是什么

“加固”一词有时被滥用。因此，有必要澄清哪些情况不属于加固，因为这些方法虽然解决了部分问题，但仍使系统面临其他风险。

  1. 选择 slim 或 Alpine 变体可以减小镜像体积，但并未解决来源溯源、补丁更新频率或供应链元数据问题。这只是镜像变小了，而非被加固了。
  2. 运行扫描器并手动移除标记的软件包只能产生特定时间点的修复，而非持续维护的加固镜像。下一个上游 CVE 就会让您回到原点。
  3. 从零构建 distroless 镜像实现了最小化，但需要投入大量持续精力来维护整个产品组合中每个镜像的补丁时效性。如果没有定义好的重建周期和可验证的元数据，维护负担将随镜像数量成比例增长。

在供应链安全的语境下，加固意味着系统性地解决上述所有问题：镜像既是最小化的，又是经过维护且可验证的。

开始使用加固镜像

加固容器镜像正成为安全容器部署的标准基础。它们解决了大多数容器漏洞发现的根本原因：从通用基础镜像继承的不必要软件包。此外，借助可验证的供应链元数据，它们为安全团队提供了现代合规要求所需的透明度和审计追踪能力。

Docker Hardened Images 为涵盖运行时、框架、数据库和基础设施组件的数千个镜像提供了这一基础。每个镜像均附带 SBOM、SLSA Build Level 3 来源证明、VEX 数据和加密签名。社区版免费且基于 Apache 2.0 协议开源，对使用或再分发无任何限制。

浏览我们的加固镜像完整目录，立即开始替换您的基础镜像。

常见问题解答

加固镜像与最小化镜像有何区别？

最小化镜像拥有更少的软件包，但这只是加固的一个维度。加固镜像还包括具有明确 SLA 的持续补丁更新、可验证的构建来源、完整的 SBOM 以及漏洞可利用性数据。最小化减少了攻击面；而加固则确保剩余的攻击面得到维护、保持透明且可验证。

加固镜像是否适用于现有的 CI/CD 流水线？

设计良好的加固镜像旨在作为标准基础镜像的直接替代品。如果您的 Dockerfile 以通用运行时镜像开头，通常可以在不更改构建流程的情况下替换为等效的加固镜像。关键考虑因素是 shell 访问权限：某些加固镜像完全移除了 shell，这意味着依赖 shell 命令的构建步骤可能需要调整为多阶段构建。

加固镜像如何减少 CVE 数量？

容器镜像中的每个软件包都是潜在的 CVE 来源。通过移除应用程序不需要的软件包，加固镜像消除了这些软件包携带的漏洞。一个包含 400 个软件包的通用基础镜像可能存在 200 个已知 CVE。而包含 30 个软件包的等效加固镜像可能只有不到 5 个 CVE，因为绝大多数易受攻击的组件从未被包含在内。这显著缩小了攻击者可利用的攻击面，并减轻了安全团队的分诊负担。

关于作者

Image 9: Posts by Aditya Tripathi

Aditya Tripathi

高级首席产品营销经理，Docker

Aditya Tripathi 负责 Docker 安全产品组合的产品营销，专注于安全默认配置、供应链风险以及如何让安全工具真正为开发者所用。

概念Docker 加固镜像安全软件供应链安全产品

目录

[](https://www.linkedin.com/sharing/share-offsite/?url=https%3A%2F%2Fwww.docker.com%2Fblog%2Fwhat-are-hardened-images%2F "访问此 LinkedIn 主页")[](https://twitter.com/intent/tweet?url=https%3A%2F%2Fwww.docker.com%2Fblog%2Fwhat-are-hardened-images%2F "访问此 X 主页")[](https://www.facebook.com/sharer/sharer.php?u=https%3A%2F%2Fwww.docker.com%2Fblog%2Fwhat-are-hardened-images%2F "访问此 Facebook 主页")

相关文章

产品

功能特性

开发者

定价

公司

语言

  • [](http://twitter.com/docker)
  • [](https://www.linkedin.com/company/docker)
  • [](https://www.instagram.com/dockerinc/)
  • [](http://www.youtube.com/user/dockerrun)
  • [](https://www.facebook.com/docker.run)
  • [](https://www.docker.com/blog/feed)

© 2026 Docker Inc. 保留所有权利

服务条款隐私政策法律声明

Cookie 设置

点击“接受所有 Cookie”，即表示您同意在您的设备上存储 Cookie，以增强网站导航、分析网站使用情况并协助我们进行营销推广。

Cookie 设置 拒绝全部 接受所有 Cookie

图片 14：公司徽标

隐私偏好中心

当您访问任何网站时，它可能会在您的浏览器上存储或检索信息，通常以 Cookie 的形式进行。这些信息可能涉及您本人、您的偏好或您的设备，主要用于使网站按照您的预期正常运行。这些信息通常不会直接识别您的身份，但可以为您提供更个性化的网络体验。由于我们尊重您的隐私权，您可以选择不允许某些类型的 Cookie。点击不同的类别标题以了解更多信息并更改我们的默认设置。但是，阻止某些类型的 Cookie 可能会影响您对网站的使用体验以及我们能够提供的服务。

更多信息

允许全部

管理同意偏好

#### 功能性 Cookie

  • [x] 功能性 Cookie

这些 Cookie 使网站能够提供增强的功能和个性化设置。它们可能由我们设置，也可能由我们在页面中添加服务的第三方提供商设置。如果您不允许使用这些 Cookie，则部分或全部此类服务可能无法正常运行。

#### 严格必要的 Cookie

始终启用

这些 Cookie 是网站正常运行所必需的，无法在我们的系统中关闭。它们通常仅在响应您相当于服务请求的操作时设置，例如设置您的隐私偏好、登录或填写表单。您可以将浏览器设置为阻止这些 Cookie 或就这些 Cookie 向您发出警报，但网站的某些部分将无法正常工作。这些 Cookie 不存储任何个人身份信息。

#### 性能 Cookie

  • [x] 性能 Cookie

这些 Cookie 使我们能够统计访问量和流量来源，从而衡量和改进我们网站的性能。它们帮助我们了解哪些页面最受欢迎和最不受欢迎，并查看访客如何在网站上浏览。这些 Cookie 收集的所有信息都是汇总的，因此是匿名的。如果您不允许使用这些 Cookie，我们将无法知道您何时访问了我们的网站，也无法监控其性能。

#### 定向 Cookie

  • [x] 定向 Cookie

这些 Cookie 可能由我们的广告合作伙伴通过我们的网站设置。这些公司可能会使用它们来建立您的兴趣档案，并在其他网站上向您展示相关广告。它们不直接存储个人信息，而是基于对您的浏览器和互联网设备的唯一标识。如果您不允许使用这些 Cookie，您收到的广告针对性将会降低。

Cookie 列表

清除

  • [x] 复选框标签 标签

应用 取消

同意 合法利益

  • [x] 复选框标签 标签
  • [x] 复选框标签 标签
  • [x] 复选框标签 标签

拒绝全部 确认我的选择

图片 15：由 Onetrust 提供支持

图片 16图片 17

AI 可能会生成不准确的信息，请核实重要内容