Entregando Contêineres Mais Leves e Seguros no Ubuntu: Estratégias para Reduzir Bloat sem Perder Funcionalidades

**Hoje** at 18:45

Introdução
A nova diretriz "Cut bloat, not features" anunciada pelos responsáveis do Ubuntu traz à tona um debate antigo entre desenvolvedores de ISVs (Independent Software Vendors) e equipes de operações: como equilibrar o tamanho mínimo das imagens OCI com a visibilidade completa de vulnerabilidades? Nesta publicação, analisaremos o impacto prático dessa iniciativa para ambientes de produção – VPS, nuvem pública ou privada – e detalharemos as melhores práticas de segurança do kernel, Docker e LXD, tudo sob a ótica de um Sysadmin experiente.

O que há de novo no Ubuntu?
A Canonical introduziu um conjunto de ferramentas e pacotes otimizados para a construção de imagens OCI (Open Container Initiative) que:
1. **Removem dependências desnecessárias** (bloat) sem sacrificar bibliotecas essenciais.
2. **Mantêm metadados de segurança** (SBOM – Software Bill of Materials) íntegros, facilitando a correlação de CVEs.
3. **Integram-se nativamente ao Snapcraft e ao Ubuntu Pro**, permitindo que as atualizações de segurança do kernel e das bibliotecas base sejam propagadas automaticamente para as imagens.
Essas mudanças são distribuídas via repositório *ubuntu-minimal* e via pacotes *ubuntu-base* atualizados para a série 24.04 LTS.

Impacto prático para Sysadmins
- **Redução de custos de armazenamento**: Imagens que antes ocupavam ~400 MB podem cair para ~180 MB, diminuindo o uso de disco em servidores de CI/CD e clusters Kubernetes.
- **Menor superfície de ataque**: Cada pacote removido reduz a superfície de vulnerabilidades conhecidas, limitando o ruído de CVEs irrelevantes.
- **Melhor integração com scanners**: Ferramentas como Trivy, Grype e Clair conseguem mapear SBOMs gerados pelos novos builds, evitando falsos negativos.
- **Atualizações de kernel mais ágeis**: O Ubuntu Pro entrega patches de kernel em tempo real para containers que utilizam o *kernel livepatch*, mantendo a estabilidade sem reinicializações.

Como criar OCI images mínimas no Ubuntu
A seguir, um passo‑a‑passo prático para gerar imagens Docker/LXD enxutas usando os recursos recém‑disponibilizados.

Código Selecionar

# 1. Instalar o pacote base mínimo
sudo apt-get update && sudo apt-get install -y ubuntu-base

# 2. Criar um Dockerfile multi‑stage
cat > Dockerfile <<'EOF'
# ---------- Stage 1: Build ----------
FROM ubuntu:24.04 AS builder
RUN apt-get update && apt-get install -y build-essential cmake git
WORKDIR /src
COPY . .
RUN cmake . && make && make install DESTDIR=/install

# ---------- Stage 2: Runtime ----------
FROM ubuntu:24.04 AS runtime
# Instala apenas o runtime mínimo usando ubuntu-base
RUN apt-get update && apt-get install -y ubuntu-base && \\
    rm -rf /var/lib/apt/lists/*
COPY --from=builder /install/usr/local/bin/myapp /usr/local/bin/myapp
# Define entrypoint
ENTRYPOINT ["/usr/local/bin/myapp"]
EOF

# 3. Build da imagem
docker build -t myapp:minimal .

# 4. Verificar tamanho
docker images myapp:minimal

Observações importantes:
- O uso do *ubuntu-base* garante que apenas os pacotes essenciais (glibc, libstdc++, etc.) estejam presentes.
- O *multi‑stage* elimina arquivos de compilação, reduzindo drasticamente o tamanho final.
- Para LXD, basta converter a imagem Docker para um *image alias*:

Código Selecionar

lxc image import myapp_minimal.tar.gz --alias myapp/minimal
lxc launch myapp/minimal mycontainer

Integração com scanners de vulnerabilidade
Com a SBOM embutida, a integração é direta:

Código Selecionar

# Trivy com suporte a SBOM
trivy image --format cyclonedx --output sbom.json myapp:minimal
# Analisar vulnerabilidades usando o SBOM
trivy sbom sbom.json

Caso o scanner ainda apresente "blind spots", habilite o modo *offline* para que ele consulte a base de dados CVE do Ubuntu Pro:

Código Selecionar

trivy client --download-db-only && trivy client --cache-dir /var/lib/trivy

Boas práticas de segurança do Kernel
1. **Enable Livepatch** – No Ubuntu Pro, habilite o Livepatch para containers que rodam em hosts com kernel 6.5+:

Código Selecionar

sudo ua enable livepatch

2. **Aplicar AppArmor profiles** – Utilize os perfis padrão *docker-default* e *lxd-profile* e ajuste conforme necessário:

Código Selecionar

sudo aa-status
sudo aa-enforce /etc/apparmor.d/docker

3. **Habilitar seccomp customizado** – Reduza syscalls disponíveis:

Código Selecionar

docker run --security-opt seccomp=seccomp.json myapp:minimal

4. **Atualizações automáticas** – Configure o *unattended-upgrades* para aplicar patches críticos sem reinicialização:

Código Selecionar

sudo dpkg-reconfigure unattended-upgrades

Conclusão
A estratégia "Cut bloat, not features" do Ubuntu oferece ao Sysadmin corporativo um caminho claro para entregar containers mais leves, com menor ruído de CVEs e maior rapidez nas atualizações de segurança. Ao adotar *ubuntu-base*, builds multi‑stage e integrar SBOMs aos scanners, reduzimos custos operacionais e aumentamos a confiabilidade dos ambientes de produção – seja em VPS, nuvem pública ou clusters on‑premises. A combinação de imagens enxutas, Livepatch do kernel e políticas de AppArmor/Seccomp garante estabilidade a longo prazo, permitindo que as equipes de desenvolvimento foquem na entrega de funcionalidades, enquanto a operação mantém a segurança e a performance sob controle.