La scansione delle immagini container è l'analisi di un'immagine container prima della distribuzione per individuare vulnerabilità note, configurazioni errate e secret incorporati. Uno scanner esamina i livelli dell'immagine, i pacchetti installati, i file di configurazione e talvolta il contenuto del filesystem all'interno dell'immagine. L'obiettivo è intercettare i problemi di sicurezza in anticipo, mentre sono ancora poco costosi da correggere.
Questo è importante perché un container spesso parte da un'immagine di base condivisa, quindi una libreria debole o una credenziale esposta possono essere copiate in molti carichi di lavoro. Gli aggressori possono sfruttare pacchetti obsoleti, modificare in modo malevolo gli artefatti di build o abusare di secret accidentalmente inseriti in un'immagine. I difensori usano la scansione nelle pipeline CI/CD, durante i caricamenti nel registro o come controllo di distribuzione per bloccare le immagini rischiose. Una buona scansione non garantisce la sicurezza, ma riduce l'esposizione prevenibile e offre ai team un punto di controllo ripetibile prima che un container raggiunga la produzione.