Este artigo faz parte do guia completo de DevSecOps.
Por que containers merecem atenção
Uma imagem de container carrega o sistema operacional, bibliotecas e configurações. Vulnerabilidades na imagem-base ou em pacotes do sistema não aparecem na análise do código da aplicação — mas viajam junto com ela para produção.
Além das vulnerabilidades, há riscos de configuração: rodar como root, expor portas desnecessárias, embutir segredos ou usar imagens não confiáveis.
- Imagem-base enxuta e atualizada.
- Pacotes do sistema sem vulnerabilidades conhecidas.
- Container sem privilégios e com superfície mínima.
- Sem segredos embutidos na imagem.
Infraestrutura como código (IaC)
Quando a infraestrutura é descrita em código (Terraform, CloudFormation etc.), ela também pode ser verificada. Configurações expostas — buckets públicos, regras amplas, portas abertas — são mais fáceis de corrigir antes do provisionamento.
Verificar o IaC no pipeline evita que uma decisão de configuração vire um problema de segurança em produção, quando corrigir envolve reprovisionar e testar de novo.
Encaixando no pipeline
As verificações de containers e IaC entram como passos do pipeline, ao lado de SCA, SAST e secrets scanning. Como nos demais, os gates devem ser calibrados: bloquear o crítico, alertar o resto.
O princípio geral
Tudo o que vai para produção — código, dependências, imagens e infraestrutura — pode ser verificado antes. Quanto mais cedo no fluxo, menor o custo de corrigir.
Perguntas frequentes
Preciso escanear imagens mesmo usando bases oficiais?
Sim. Mesmo bases oficiais acumulam vulnerabilidades com o tempo; escanear a cada build mantém a imagem atualizada.