Imágenes de contenedor, capas y base

Una imagen se construye apilando capas. Las primeras vienen de la imagen base: el sistema operativo, sus bibliotecas y, a menudo, el entorno de ejecución del lenguaje. Las últimas las añade el equipo que construye la aplicación: sus dependencias y su propio código. El escáner de imágenes ve las dos mitades y las mezcla en un solo informe.

Por eso en el mismo informe conviven dos tipos de hallazgo. Los paquetes del sistema y del entorno de ejecución, que pertenecen a la base. Y las bibliotecas de la aplicación, que son las mismas que un escáner de dependencias ya habría encontrado en el repositorio.

Un hallazgo puede tener o no tener corrección publicada: una versión nueva del paquete que ya resuelve el fallo. Si existe, el trabajo es actualizar. Si no existe, actualizar no es una opción: el paquete seguirá vulnerable por mucho que se reconstruya la imagen. Esa diferencia decide el tratamiento, y por eso un buen informe la lleva en una columna aparte.

Mira los hallazgos de la imagen del servicio de cobros. Solo uno de sus paquetes no tiene todavía versión corregida.

El número de hallazgos de una imagen asusta, pero casi nunca cuenta lo que importa. Lo útil es partirlo por origen: cuántos dependen de la base y cuántos de la aplicación. Si la mayoría vive en las capas heredadas, la acción más eficaz no es abrir un ticket por cada uno, sino pedirle al equipo de la base una imagen nueva y reconstruir encima.

Cruza los hallazgos de la imagen del servicio de cobros con la tabla de capas y cuenta los que están en capas de origen base.

Cuando no hay corrección, el hallazgo no desaparece y tampoco se esconde. Se compara el riesgo con la función: si el paquete no hace falta en la imagen final, lo más limpio es quitarlo al reconstruir. Si hace falta, se documenta como excepción con dueño, medida compensatoria y fecha de revisión, tal como se vio en el módulo de excepciones, y se vuelve a mirar cuando salga la corrección.

Lo que no sirve es marcarlo como falso positivo para limpiar la cola: el fallo existe, simplemente no se puede resolver todavía.