Corte o inchaço, não as funcionalidades – Imagens OCI mínimas e segurança avançada no Ubuntu

Introdução
A necessidade de entregar aplicações containerizadas de forma rápida e segura tem pressionado os ISVs a repensar a construção de imagens OCI. O novo foco da comunidade Ubuntu – "Cut bloat, not features" – traz uma abordagem que prioriza imagens mínimas sem sacrificar a visibilidade de vulnerabilidades. Neste artigo vamos analisar o que mudou, como isso afeta servidores de produção (VPS, Cloud) e quais práticas devem ser adotadas pelos administradores de sistemas para garantir estabilidade e segurança do kernel, Docker, LXD e demais runtimes.

O que há de novo no Ubuntu?
A última série de releases do Ubuntu (22.04 LTS e 24.04) inclui pacotes atualizados do **ubuntu-minimal** e do **snapcraft** que permitem gerar imagens OCI com:
- Camadas base reduzidas a menos de 30 MB usando o **ubuntu-base** minimalista.
- Metadados de segurança enriquecidos (SBOM – Software Bill of Materials) embutidos automaticamente.
- Integração nativa com o **Canonical Livepatch** e com o **kernel security hardening** via **AppArmor** e **seccomp**.
- Ferramentas de *scanning* que evitam "CVE noise" ao excluir vulnerabilidades irrelevantes ao runtime escolhido.
Essas mudanças são entregues como **snap**s de build‑time (snapcraft 7.x) e como pacotes **deb** de **docker.io** e **lxd** que suportam a flag `--squash` por padrão, reduzindo drasticamente a superfície de ataque.

Impacto prático para Sysadmins
1. **Redução do tamanho das imagens** – Imagens que antes ocupavam 150 MB agora podem ficar abaixo de 50 MB. Isso diminui o tempo de download em ambientes de cloud e reduz custos de armazenamento em registries privados.
2. **Visibilidade de vulnerabilidades** – O SBOM incorporado permite que ferramentas como **Trivy**, **Clair** e **Anchore** correlacionem CVEs apenas com pacotes efetivamente presentes, eliminando falsos positivos que antes inundavam os relatórios.
3. **Hardening automático** – Ao habilitar o kernel **AppArmor** profile "ubuntu‑minimal", o sysadmin ganha políticas de confinamento pré‑definidas que bloqueiam chamadas de sistema não‑necessárias, mitigando ataques de escalonamento de privilégios.
4. **Compatibilidade com LXD** – O LXD 5.0 inclui o novo "image‑auto‑prune" que remove camadas órfãs durante a importação de imagens OCI, mantendo o storage pool enxuto.

Passo a passo: Construindo uma imagem OCI mínima no Ubuntu

Código Selecionar Expandir

# 1. Instale o snapcraft (versão mínima 7.2)
sudo snap install snapcraft --classic

# 2. Crie um diretório de projeto
mkdir myapp && cd myapp
snapcraft init

# 3. Edite o snapcraft.yaml para usar a base "ubuntu-base:22.04"
# Exemplo de trecho relevante:
# base: ubuntu-base:22.04
# parts:
#   myapp:
#     plugin: go
#     source: .
#     build-packages:
#       - ca-certificates
#     stage-packages:
#       - libc6
#     prime:
#       - -etc/ssl/certs/ca-certificates.crt

# 4. Construa a snap (que gera a OCI image)
snapcraft --destructive-mode

# 5. Converta para OCI e aplique squash
docker load -i myapp_1.0_amd64.snap
docker tag myapp:latest myregistry.local/myapp:1.0
docker push myregistry.local/myapp:1.0

# 6. Verifique o tamanho
docker images myregistry.local/myapp:1.0

# 7. Escaneie com Trivy (usa o SBOM embutido)
trivy image myregistry.local/myapp:1.0
Essas etapas garantem que apenas as dependências realmente necessárias sejam incluídas, reduzindo a superfície de ataque e eliminando CVEs de pacotes ausentes.

Ajustes de segurança no kernel e runtime
- **AppArmor**: habilite o profile "docker-default" e "lxd-container-default" e adicione exceções apenas quando necessário.

Código Selecionar Expandir

sudo aa-status
sudo aa-enforce /etc/apparmor.d/docker
- **seccomp**: use o JSON de política fornecido pelo snapcraft (`snapcraft seccomp`) para bloquear syscalls raras.
- **Livepatch**: mantenha o kernel atualizado sem reinicializações, essencial para ambientes de alta disponibilidade.

Código Selecionar Expandir

sudo snap install canonical-livepatch
sudo canonical-livepatch enable
- **Kernel hardening**: ative `kernel.unprivileged_userns_clone=0` e `fs.protected_regular=1` via sysctl para impedir escalonamento de privilégios dentro de containers.

Código Selecionar Expandir

sudo sysctl -w kernel.unprivileged_userns_clone=0
sudo sysctl -w fs.protected_regular=1

Considerações para ambientes VPS e Cloud
Em provedores como AWS, GCP ou DigitalOcean, a redução de tamanho das imagens impacta diretamente no **tempo de boot** das instâncias spot e no **custo de transferência de dados**. Ao usar imagens OCI mínimas, é possível criar AMIs ou snapshots que iniciam em menos de 10 s, comparado a 30 s das imagens tradicionais. Além disso, a menor quantidade de camadas facilita a replicação entre regiões, reduzindo latência de deploy em pipelines CI/CD.

Conclusão – Estabilidade antes de tudo
A estratégia "cut bloat, not features" traz benefícios claros: imagens menores, menos ruído de CVEs e políticas de segurança mais precisas. Contudo, a estabilidade permanece o pilar central para ambientes corporativos. Recomenda‑se validar cada nova imagem em um *staging* idêntico ao *production*, monitorar métricas de *startup time* e manter o kernel sempre coberto pelo Livepatch. Ao combinar as ferramentas nativas do Ubuntu (ubuntu‑minimal, AppArmor, Livepatch) com práticas DevOps (CI/CD, SBOM, scanning automatizado), os sysadmins podem entregar software containerizado rápido, seguro e, sobretudo, estável.