Entrega de Containers Otimizada no Ubuntu: Reduzindo Bloat sem Perder Funcionalidades

Introdução

A recente iniciativa "Cut bloat, not features" traz ao Ubuntu um conjunto de melhorias focadas na geração de imagens OCI (Open Container Initiative) menores, porém completas. Para ISVs (Independent Software Vendors) e equipes de DevOps, o dilema clássico entre tamanho da imagem e visibilidade de vulnerabilidades tem sido um obstáculo constante. Imagens inchadas aumentam o tempo de download, consomem mais armazenamento e ampliam a superfície de ataque, enquanto imagens excessivamente enxutas podem omitir bibliotecas críticas, gerando falsos negativos em scanners de segurança.

Este artigo explora, de forma prática e detalhada, como as novas ferramentas do Ubuntu – principalmente o **ubuntu-minimal-image** e a integração aprimorada com **snapcraft** – permitem construir containers Docker ou LXD com menos bloat, mantendo a rastreabilidade de CVEs e a compatibilidade com políticas de compliance corporativo.

O que há de novo no Ubuntu?

- **ubuntu-minimal-image**: um utilitário de linha de comando que cria camadas base a partir de pacotes essenciais listados no metapacote *ubuntu-minimal*. Ele elimina arquivos de documentação, traduções e manuais que normalmente inflacionam a camada "scratch".
- **Suporte nativo a SBOM (Software Bill of Materials)**: a nova geração de imagens inclui um manifesto SBOM em formato SPDX, facilitando a correlação entre vulnerabilidades identificadas por scanners como Trivy, Grype ou Clair.
- **Integração com o Snapcraft Build Service**: permite que snaps sejam convertidos em OCI images mantendo a sandbox do Snap, mas sem a sobrecarga de dependências duplicadas.
- **Camadas de segurança reforçadas**: o kernel do Ubuntu 24.04 LTS inclui patches de mitigação de Spectre/Meltdown e um novo módulo *oci-seccomp* que aplica perfis de syscalls restritivos por padrão.

Impacto prático para Sysadmins

1. **Redução de custos de rede e armazenamento** – Imagens que antes pesavam 300 MB podem cair para cerca de 120 MB, reduzindo o tempo de pull em ambientes de CI/CD e economizando espaço em registries privados.
2. **Visibilidade de vulnerabilidades aprimorada** – O SBOM embutido permite que ferramentas como **Ubuntu CVE Tracker** consumam diretamente a lista de pacotes, eliminando o ruído causado por dependências transitivas ocultas.
3. **Conformidade com políticas de hardening** – Perfis *seccomp* e *AppArmor* são aplicados automaticamente, alinhando‑se a normas como CIS Benchmarks e NIST 800‑53.
4. **Migração facilitada entre Docker e LXD** – Como a camada base segue o padrão OCI, a mesma imagem pode ser utilizada tanto no Docker Engine quanto no LXD, simplificando a orquestração híbrida.

Configurações e comandos recomendados

```bash
# Instalar o utilitário de criação de imagens minimalistas
sudo apt update && sudo apt install ubuntu-minimal-image

# Gerar uma imagem mínima baseada no Ubuntu 24.04 LTS
ubuntu-minimal-image \\
    --release focal \\
    --output ubuntu-minimal-focal.oci.tar.gz \\
    --exclude-docs --exclude-manpages

# Verificar o SBOM gerado (formato SPDX JSON)
cat ubuntu-minimal-focal.sbom.json | jq '.'

# Importar a imagem no Docker
docker load -i ubuntu-minimal-focal.oci.tar.gz

docker run --rm -it ubuntu-minimal-focal bash

# Testar o perfil AppArmor aplicado automaticamente
aa-status | grep ubuntu-minimal-focal
```

Para LXD, basta registrar a imagem:

```bash
lxc image import ubuntu-minimal-focal.oci.tar.gz \\
    --alias ubuntu/minimal:focal

lxc launch ubuntu/minimal:focal my-container
```

Considerações de segurança do kernel

A nova camada *oci-seccomp* inclui um perfil padrão que bloqueia syscalls raramente usadas por aplicações de negócios, como *keyctl*, *ptrace* e *bpf*. Caso sua aplicação precise de alguma dessas chamadas, o perfil pode ser estendido via arquivo JSON localizado em */etc/oci/seccomp/default.json*.

Além disso, o kernel 6.5 LTS traz o recurso **eBPF-based integrity monitoring**, que permite ao sysadmin criar políticas que detectam alterações inesperadas em arquivos de configuração dentro do container, disparando alertas via *auditd*.

Exemplo de política simples:

```bash
cat > /etc/ebpf/policy.h <<'EOF'
SEC("kprobe/vfs_write")
int BPF_KPROBE(vfs_write_hook, struct file *file, const char __user *buf, size_t count, loff_t *pos) {
    if (file->f_path.dentry->d_name.name == "etc/passwd") {
        bpf_trace_printk("[ALERTA] Escrita em /etc/passwd dentro do container\
");
    }
    return 0;
}
EOF

sudo bpftool prog load /etc/ebpf/policy.h /sys/fs/bpf/policy
```

Essas ferramentas, combinadas com o SBOM, fornecem uma visão holística da integridade do runtime.

Conclusão – estabilidade em produção

A estratégia "Cut bloat, not features" chega ao Ubuntu num momento crítico, onde a agilidade da entrega de software se choca com a necessidade de segurança robusta. Ao adotar imagens OCI minimalistas geradas pelo *ubuntu-minimal-image*, os administradores ganham performance de implantação, economia de recursos e, sobretudo, maior confiança nos relatórios de vulnerabilidade graças ao SBOM integrado.

Para ambientes corporativos que exigem alta disponibilidade, a combinação de perfis *seccomp* e *AppArmor* padrão, aliada ao monitoramento eBPF, garante que a redução de tamanho não comprometa a superfície de ataque. A recomendação final é integrar essas práticas ao pipeline CI/CD – por exemplo, adicionando o passo de geração de SBOM ao Jenkins ou GitLab – e validar as imagens com scanners de vulnerabilidade antes de enviá‑las ao registro.

Com essas medidas, o Ubuntu se consolida como plataforma de escolha para deployments containerizados estáveis, seguros e economicamente eficientes.