Reduza o peso, não as funcionalidades: Imagens OCI mínimas e seguras no Ubuntu

Introdução

No cenário corporativo atual, Independent Software Vendors (ISVs) enfrentam um dilema clássico: entregar containers enxutos para reduzir custos de rede e armazenamento, sem sacrificar a visibilidade de segurança necessária para atender às exigências de compliance. A última atualização do ecossistema Ubuntu traz uma abordagem focada em "Cut bloat, not features", permitindo a criação de imagens OCI (Open Container Initiative) extremamente compactas, ao mesmo tempo em que mantém a rastreabilidade completa de vulnerabilidades. Este artigo detalha os impactos práticos dessa novidade para servidores de produção, segurança de kernel e administração de sistemas, oferecendo um guia passo‑a‑passo para a adoção em ambientes Docker e LXD.

O que há de novo no Ubuntu?

A Canonical lançou um conjunto de imagens base denominadas *ubuntu‑minimal* e *ubuntu‑oci*, otimizadas para o padrão OCI. As principais características incluem:
- Redução de até 40 % no tamanho da camada base em comparação com a tradicional "ubuntu:22.04".
- Metadados de segurança embutidos (SBOM – Software Bill of Materials) gerados automaticamente via *snapcraft* e *ubuntu‑pro*.
- Compatibilidade total com ferramentas de escaneamento como *Trivy*, *Grype* e *Cosign*, reduzindo o "CVE noise" que costuma sobrecarregar os pipelines de CI/CD.

Essas imagens são mantidas no *Ubuntu Pro* e recebem atualizações de segurança de kernel e bibliotecas críticas por até 10 anos, garantindo que a redução de tamanho não implique em perda de patches.

Impacto prático para Sysadmins

1. **Redução de custos de armazenamento e banda** – Em ambientes VPS ou Cloud, cada megabyte conta. Uma imagem de 45 MB ao invés de 75 MB reduz o tempo de pull em até 30 s em conexões medianas, diminuindo a janela de vulnerabilidade durante o download.
2. **Menor superfície de ataque do kernel** – As imagens minimalistas excluem módulos de kernel desnecessários (ex.: *aufs*, *overlay* extras). Isso impede que vulnerabilidades em drivers raramente usados sejam exploradas.
3. **Visibilidade de vulnerabilidades aprimorada** – Metadados SBOM permitem que scanners identifiquem exatamente quais pacotes foram incluídos, eliminando falsos positivos gerados por dependências transitivas ocultas.
4. **Integração com LXD** – O LXD agora oferece um perfil predefinido "minimal" que puxa automaticamente a imagem *ubuntu:22.04-minimal*. Isso simplifica a orquestração de máquinas virtuais leves em infraestruturas híbridas.

Como construir e validar imagens OCI mínimas

Segue um fluxo de trabalho recomendado para ISVs e equipes de DevOps:

Código Selecionar Expandir

# 1. Escolha a imagem base minimal
FROM ubuntu:22.04-minimal AS base

# 2. Instale apenas o necessário, evitando recomendações
RUN apt-get update && \\
    DEBIAN_FRONTEND=noninteractive apt-get install -y --no-install-recommends \\
        ca-certificates curl gnupg && \\
    rm -rf /var/lib/apt/lists/*

# 3. Copie a aplicação
COPY myapp /opt/myapp/

# 4. Defina o entrypoint
ENTRYPOINT ["/opt/myapp/start.sh"]

Algumas dicas adicionais:
- Use a flag `--no-install-recommends` para evitar pacotes auxiliares que inflacionam a imagem.
- Sempre limpe o cache do apt (`rm -rf /var/lib/apt/lists/*`) em uma única camada para evitar a criação de arquivos temporários.
- Em pipelines CI, execute `trivy image ` logo após o build e antes do push para detectar CVEs imediatamente.
- Assine a imagem com *Cosign* para garantir integridade: `cosign sign -key `.

Configuração de segurança no kernel

Para reforçar ainda mais a segurança, ajuste o kernel da máquina host que executa Docker/LXD:

Código Selecionar Expandir

# Habilitar apenas módulos necessários
cat > /etc/modprobe.d/disable.conf <install dccp /bin/true
install sctp /bin/true
install tipc /bin/true
EOF

# Aplicar sysctl restritivo
cat > /etc/sysctl.d/99-oci.conf <kernel.kptr_restrict = 2
kernel.yama.ptrace_scope = 2
fs.protected_regular = 2
EOF

sysctl --system

Essas alterações reduzem a capacidade de um atacante de explorar módulos de rede raramente utilizados e limitam a exposição de informações sensíveis do kernel.

Conclusão – estabilidade como prioridade

A estratégia "Cut bloat, not features" demonstra que é possível equilibrar a necessidade de imagens ultraleves com a exigência de visibilidade de segurança completa. Para administradores de sistemas, a adoção das novas imagens *ubuntu‑minimal* e *ubuntu‑oci* traz benefícios imediatos em termos de custo de infraestrutura, tempo de deploy e redução da superfície de ataque. Contudo, a estabilidade permanece o pilar central: mantenha o *Ubuntu Pro* ativo, aplique atualizações regulares de kernel e valide cada build com ferramentas de assinatura e SBOM. Ao seguir as práticas descritas, sua equipe garantirá entregas de software mais rápidas, seguras e confiáveis em ambientes de produção críticos.