3.3　針對容器軟件供應鏈的攻擊案例

隨著容器技術的普及，容器鏡像也成為軟件供應鏈中非常重要的一部分。人們像使用pip等工具從倉庫獲取各種編程語言軟件庫一樣，可從Docker Hub或第三方倉庫拉取鏡像，在其基礎上進行開發，從而實現所需功能，最后打包發布。

然而，業務依賴的基礎鏡像可能存在問題——無論是開發者無心導致的安全漏洞還是攻擊者故意埋下的惡意代碼，這種“內生風險”的潛在危害比黑客從外部發起攻擊嚴重得多，且更不易被發現。

下面我們將介紹兩種類型的容器軟件供應鏈攻擊：鏡像漏洞利用和鏡像投毒。