作者 | Mark Silvester

譯者 | 明知山

BellSoft 發(fā)布全新容器安全解決方案，旨在應(yīng)對企業(yè)軟件供應(yīng)鏈中日益嚴(yán)重的漏洞危機。

在 KubeCon 2025 大會上，BellSoft 發(fā)布新的“加固鏡像”產(chǎn)品，將 Java 運行時優(yōu)化、操作系統(tǒng)加固與主動 CVE 修復(fù)合而為一。據(jù)官方新聞稿稱，這種一體化方案可將已知漏洞減少 95%，還將資源消耗最多壓低 30%。

容器安全仍是軟件開發(fā)團隊長期面臨的挑戰(zhàn)。BellSoft 引用 NetRise 的行業(yè)數(shù)據(jù)指出，一個典型的容器鏡像可能暗藏 600 多個已知漏洞。Java 工作負(fù)載面臨特定風(fēng)險，公告稱，目前近半數(shù) Java 服務(wù)包含已知可被利用的漏洞，而 Go 及其他語言的漏洞比率相對較低。此次發(fā)布的鏡像試圖通過將安全控制直接嵌入容器生命周期來緩解這些風(fēng)險，滿足日益增長的“左移”安全策略需求。

這些鏡像的技術(shù)底座是 BellSoft 自研的輕量級發(fā)行版 Alpaquita Linux，該發(fā)行版采用了 BusyBox 與 APK，解決了開發(fā)者從標(biāo)準(zhǔn) Linux 發(fā)行版遷移時的常見痛點——他們在與 Alpine Linux 這類僅支持 musl 的極簡環(huán)境兼容時往往會遇到許多摩擦。

為了實現(xiàn)加固目的，鏡像移除了包管理器和非必要組件，將其最小化，鎖定了配置。這種不可變性旨在防止攻擊者植入惡意軟件或篡改運行時環(huán)境。該方案還提供了詳細(xì)的軟件物料清單（SBOM），以協(xié)助審計和滿足合規(guī)性需求。

BellSoft 表示，在遷移至 Liberica JDK Lite（已包含在這些鏡像中）時，組織可觀察到效率有了顯著的提升。新聞稿指出，內(nèi)部基準(zhǔn)測試顯示 RAM 和磁盤空間使用減少了 30%。BellSoft 使用內(nèi)部開發(fā)的補丁，而非僅依賴上游的發(fā)布，相比標(biāo)準(zhǔn)社區(qū)維護的鏡像，可為關(guān)鍵 CVE 提供更快的修復(fù)速度。

在隨附的新聞稿中，BellSoft 首席技術(shù)官 Aleksei Voitylov 表示：“加固鏡像是 BellSoft 對市場安全、高性能容器解決方案日益增長需求的回應(yīng)，也是兌現(xiàn)了我們交付最完整、可靠 Java 體驗的承諾。我們的加固鏡像把 Java 運行時優(yōu)化、主動 CVE 修復(fù)以及輕量靈活的基礎(chǔ)結(jié)合在一起，為組織提供了一個安全、可審計的平臺，可減少漏洞、提升性能并簡化遷移過程?！?/p>

隨著供應(yīng)鏈安全成為企業(yè)優(yōu)先考慮的事項，加固容器鏡像市場有了顯著的增長。BellSoft 的解決方案進入了一個由成熟廠商占據(jù)的競爭格局：Chainguard 提供了類似的基于 Wolfi OS 的低 CVE 鏡像套件，重點聚焦軟件供應(yīng)鏈完整性，Docker 也提供了加固鏡像，而谷歌的“Distroless”鏡像則開創(chuàng)了移除 shell 和包管理器的理念。

然而，Distroless 鏡像常因去掉了 shell 而導(dǎo)致調(diào)試?yán)щy。BellSoft 將其方案定位為 Java 團隊更靈活的替代選擇，憑借頂級 OpenJDK 貢獻者的功底，同步優(yōu)化運行時與操作系統(tǒng)，在 Distroless 的極儉和標(biāo)準(zhǔn)鏡像的易用性之間給出折中選擇。

BellSoft 加固鏡像現(xiàn)已提供三個版本。免費社區(qū)版可在 Docker Hub 上獲得，為加固的 Liberica 運行時容器；標(biāo)準(zhǔn)版與高級版可支持更多的語言，包括 GraalVM、Go 與 Python，并附帶關(guān)鍵 CVE 修復(fù)的 SLA 與技術(shù)支持。

查看英文原文：

https://www.infoq.com/news/2025/12/bellsoft-hardened-images/

聲明：本文為 InfoQ 翻譯，未經(jīng)許可禁止轉(zhuǎn)載。