কন্টেইনার রেজিস্ট্রি ও ইমেজ সিকিউরিটি স্ক্যানিং

১ · কন্টেইনার রেজিস্ট্রি

কন্টেইনার রেজিস্ট্রিContainer Registryকন্টেইনার ইমেজ সংরক্ষণ ও বিতরণ করার একটি রিপোজিটরি — পাবলিক (সবার জন্য উন্মুক্ত) বা প্রাইভেট (একটি নির্দিষ্ট প্রতিষ্ঠানের জন্য সীমাবদ্ধ) হতে পারে। L23-এ যেমন দেখা গেছে, একটি ইমেজ বিল্ড করার পর সেটিকে বিতরণ করতে হয় যাতে বিভিন্ন পরিবেশ (স্টেজিং, প্রোডাকশন) সেই একই ইমেজ পুল করতে পারে — রেজিস্ট্রি এই বিতরণ প্রক্রিয়ার কেন্দ্রীয় জায়গা। পাবলিক রেজিস্ট্রি (যেমন Docker Hub-স্টাইল সার্ভিস) ওপেন-সোর্স/সাধারণ ইমেজের জন্য ব্যবহৃত হয়, আর প্রাইভেট রেজিস্ট্রি একটি প্রতিষ্ঠানের নিজস্ব মালিকানাধীন অ্যাপ্লিকেশন ইমেজের জন্য (অ্যাক্সেস-নিয়ন্ত্রিত)।

২ · ইমেজ ট্যাগিং — এবং latest-এর ঝুঁকি

প্রতিটি ইমেজ একটি ট্যাগ দিয়ে চিহ্নিত হয় (যেমন myapp:1.2.0) — ভার্সন নির্দিষ্ট করার জন্য। latest ট্যাগ (যদি স্পষ্টভাবে ট্যাগ না দেওয়া হয়, ডিফল্টভাবে ব্যবহৃত হয়) সুবিধাজনক মনে হতে পারে, কিন্তু এটি একটি চলমান টার্গেট — আজ latest যা নির্দেশ করছে, কাল অন্য কিছু নির্দেশ করতে পারে (কেউ একটি নতুন ইমেজ বিল্ড করে পুশ করলেই)।

৩ · ইমেজ সিকিউরিটি স্ক্যানিং

একটি কন্টেইনার ইমেজ তার বেস OS থেকে শুরু করে প্রতিটি ইনস্টল করা লাইব্রেরি/প্যাকেজ পর্যন্ত অনেক স্তরের সফটওয়্যার ধারণ করে — এবং যেকোনো একটি স্তরে একটি পরিচিত দুর্বলতা (CVECommon Vulnerabilities and Exposuresপরিচিত, ডকুমেন্টেড সফটওয়্যার দুর্বলতার একটি স্ট্যান্ডার্ড আইডেন্টিফায়ার — Cybersecurity কোর্সের CVE/CVSS পাঠে বিস্তারিত।) থাকলে পুরো চলমান কন্টেইনারটিই ঝুঁকিতে পড়ে। ইমেজ সিকিউরিটি স্ক্যানিং একটি ইমেজের প্রতিটি লেয়ারে ইনস্টল করা প্যাকেজের তালিকা বের করে এবং সেগুলোকে পরিচিত-দুর্বল প্যাকেজের একটি আপডেটেড ডেটাবেসের সাথে ক্রস-রেফারেন্স করে।

এই স্ক্যানিং কোনো ঐচ্ছিক বা ম্যানুয়াল "মাঝেমধ্যে করি" ধাপ হওয়া উচিত নয় — বরং CI/CD পাইপলাইনে একটি স্বয়ংক্রিয় গেট হওয়া উচিত (M8-এ বিস্তারিত): একটি ইমেজে যদি একটি নির্দিষ্ট সিভিয়ারিটির উপরে কোনো দুর্বলতা পাওয়া যায়, পাইপলাইন সেই ইমেজকে ডিপ্লয় হতে বাধা দেয় (L33-এর "fail fast" নীতির প্রয়োগ, সিকিউরিটির প্রেক্ষাপটে)।

# ইমেজ ভালনারেবিলিটি স্ক্যান ও latest-ট্যাগ চেকার সিমুলেশন
image_layers = {
    "base_os_layer": ["libc6=2.31", "openssl=1.1.1n", "curl=7.68.0"],
    "runtime_layer": ["python3.12", "pip=23.0"],
    "app_layer": ["requests=2.25.0", "flask=2.0.1"],
}

# পরিচিত দুর্বল প্যাকেজের একটি ইলাস্ট্রেটিভ লুকআপ (বাস্তব CVE ডেটাবেস নয়, শুধু সিমুলেশন)
known_vulnerable = {
    "openssl=1.1.1n": "CVE-2022-XXXX (মাঝারি সিভিয়ারিটি)",
    "requests=2.25.0": "CVE-2023-YYYY (উচ্চ সিভিয়ারিটি)",
}


def scan_image(layers, vulnerable_db):
    findings = []
    for layer_name, packages in layers.items():
        for pkg in packages:
            if pkg in vulnerable_db:
                findings.append((layer_name, pkg, vulnerable_db[pkg]))
    return findings


def check_latest_tag(image_ref):
    """image_ref যেমন 'myapp:1.2.0' বা 'myapp:latest' বা ট্যাগবিহীন 'myapp' (ডিফল্টভাবে latest)।"""
    tag = image_ref.split(":")[1] if ":" in image_ref else "latest"
    return tag == "latest"


print("== ইমেজ ভালনারেবিলিটি স্ক্যান ==")
findings = scan_image(image_layers, known_vulnerable)
if findings:
    for layer_name, pkg, cve in findings:
        print(f"  [দুর্বলতা পাওয়া গেছে] লেয়ার={layer_name:14} প্যাকেজ={pkg:20} {cve}")
else:
    print("  কোনো পরিচিত দুর্বলতা পাওয়া যায়নি।")

print("\n== ডিপ্লয়মেন্ট রেফারেন্স চেক ==")
deployment_refs = ["myapp:1.2.0", "myapp:latest", "myapp"]
for ref in deployment_refs:
    flagged = check_latest_tag(ref)
    status = "ব্যর্থ — 'latest' ট্যাগ ব্যবহৃত!" if flagged else "পাস — নির্দিষ্ট ভার্সন ট্যাগ"
    print(f"  {ref:14}{status}")