Security Scanning 🔍

ডকার ইমেজ বিল্ড করার পর সেটির ভেতরে কোনো নিরাপত্তা ঝুঁকি (Security Vulnerabilities) আছে কিনা তা যাচাই করার পদ্ধতিকেই Security Scanning বলা হয়। প্রোডাকশনে ইমেজ পুশ করার আগে এটি একটি অত্যন্ত গুরুত্বপূর্ণ ধাপ।

---

১. ভালনারেবিলিটি স্ক্যানিং কি? (What is Vulnerability Scanning?)

আপনার ডকার ইমেজে ব্যবহৃত বেস ইমেজ (যেমন: Ubuntu, Alpine) এবং আপনার অ্যাপ্লিকেশনের লাইব্রেরি বা ডিপেন্ডেন্সিগুলোতে (যেমন: npm packages, python libs) যদি কোনো জানা সিকিউরিটি হোল থাকে, তবে সেগুলোকে আইডেন্টিফাই করাই হলো স্ক্যানিংয়ের কাজ।

• CVE (Common Vulnerabilities and Exposures): এটি সিকিউরিটি বাগগুলোর একটি গ্লোবাল লিস্ট। স্ক্যানারগুলো আপনার ইমেজে থাকা ফাইলগুলোকে এই লিস্টের সাথে মিলিয়ে দেখে।

---

২. জনপ্রিয় সিকিউরিটি স্ক্যানিং টুলস

ক. Docker Scout (ডকার স্কাউট)

এটি ডকারের নতুন এবং সবচেয়ে শক্তিশালী সিকিউরিটি এনালিটিক্স টুল। এটি অটোমেটিকালি আপনার ইমেজে থাকা CVE ডিটেক্ট করে এবং প্রতিকারের পরামর্শ দেয়।

# ইমেজ স্ক্যান করা
docker scout quickview mytheme-app:latest
docker scout cves mytheme-app:latest

খ. Trivy (ট্রিভি)

এটি বর্তমানে ডিভঅপ্স ইঞ্জিনিয়ারদের কাছে সবচেয়ে জনপ্রিয় ওপেন সোর্স স্ক্যানার। এটি অনেক দ্রুত এবং বিস্তারিত রিপোর্ট প্রদান করে।

# Trivy দিয়ে ইমেজ স্ক্যান করা
trivy image python:3.9-slim

গ. Docker Scan (লেগেসি)

এটি ডকারের আগের স্ক্যানিং কমান্ড ছিল (Snyk ইঞ্জিন চালিত)। বর্তমানে এটি খুব একটা ব্যবহৃত হয় না।

docker scan my-image:latest

---

৩. স্ক্যানিংয়ের প্রকারভেদ

1. Base Image Vulnerabilities: আপনার FROM লাইনে থাকা ইমেজে যদি সমস্যা থাকে। (সমাধান: সবসময় Alpine বা নির্দিষ্ট ছোট ভার্সন ব্যবহার করা)।
2. Dependency Scanning: আপনার প্রোজেক্টের লাইব্রেরিগুলোতে (যেমন: package.json এর লাইব্রেরি) থাকা ঝুঁকি।
3. Application Code Scanning: সোর্স কোডে থাকা সিকিউরিটি বাগ।

---

৪. কন্টিনিউয়াস স্ক্যানিং (Continuous Scanning)

সিকিউরিটি স্ক্যানিং শুধুমাত্র লোকাল মেশিনে করলে হয় না। এটি CI/CD Pipeline-এর অংশ হওয়া উচিত।

• যখনই কেউ কোড পুশ করবে বা নতুন ইমেজ বিল্ড হবে, তখন অটোমেটিকালি স্ক্যান রান হবে।
• যদি কোনো "Critical" বা "High" পর্যায়ের ঝুঁকি পাওয়া যায়, তবে বিল্ডটি ফেইল করে দেওয়া উচিত।

---

৫. স্ক্যানিং রিপোর্টের সিভিয়্যারিটি লেভেল

• Critical: অবিলম্বে ফিক্স করা প্রয়োজন।
• High: গুরুত্ব সহকারে দ্রুত ফিক্স করতে হবে।
• Medium: ফিক্স করা ভালো, কিন্তু ইমিডিয়েট রিস্ক কম।
• Low/Info: সাধারণ তথ্য বা ছোটখাটো বাগ।

---

সারসংক্ষেপ (Summary)

একটি সুরক্ষিত অ্যাপ্লিকেশন চালানোর জন্য অটোমেটেড সিকিউরিটি স্ক্যানিংয়ের কোনো বিকল্প নেই। আপনার ডেভেলপমেন্ট লাইফসাইকেলে Trivy বা Docker Scout ব্যবহার করা শুরু করুন এবং ইমেজের সাইজ কমানোর পাশাপাশি নিরাপত্তাও নিশ্চিত করুন।

---

IMPORTANT

প্রোডাকশনে ইমেজ পুশ করার আগের শেষ চেকটি যেন সবসময় একটি সিকিউরিটি স্ক্যান হয়!