АВТОМАТИЗОВАНА СИСТЕМА КЕРУВАННЯ ЖИТТЄВИМ ЦИКЛОМ ЕТАЛОННИХ ОБРАЗІВ ЯК ЗАСІБ ЗНИЖЕННЯ ВРАЗЛИВОСТЕЙ ПУБЛІЧНОЇ ХМАРНОЇ ІНФРАСТРУКТУРИ

Євгеній Марценюк; Богдан Маньковський; Олег Дейнека

doi:10.28925/2663-4023.2026.35.1447

Автор(и)

Євгеній Марценюк Національний університет «Львівська Політехніка» https://orcid.org/0009-0009-2289-0968
Богдан Маньковський Національний університет «Львівська Політехніка» https://orcid.org/0009-0001-3857-9842
Олег Дейнека Національний університет «Львівська Політехніка» https://orcid.org/0009-0005-9156-3339

DOI:

https://doi.org/10.28925/2663-4023.2026.35.1447

Ключові слова:

публічна хмара; еталонний образ (golden image); машинний образ; монолітна архітектура; незмінна інфраструктура (immutable infrastructure); DevSecOps; HashiCorp Packer; сканування вразливостей; AWS AMI; Azure Compute Gallery; GCE Custom Images; VMware vSphere; керування життєвим циклом образів; shift-left.

Анотація

Значна частина досліджень і практичних заходів із безпеки публічних хмар зосереджена на рівні окремого екземпляра — віртуальної машини, EC2-інстанса чи контейнера, — тоді як організаційні процеси керування машинними образами (image management) залишаються поза увагою. На практиці ці процеси або взагалі не впроваджені, або ігноруються, або сформовані підрозділом інформаційної безпеки некоректно, унаслідок чого до промислового середовища потрапляють застарілі, невідповідні та вразливі образи. У цьому дослідженні керування життєвим циклом еталонних образів (golden images) розглядається як окремий рівень контролю безпеки для монолітних застосунків, розгорнутих на віртуальних машинах у VMware vSphere, Google Compute Engine, AWS та Microsoft Azure.

Наукова новизна роботи полягає в інтеграції конвеєра формування незмінних (immutable) образів на базі HashiCorp Packer та Ansible з оркестрацією Jenkins/Tekton, автоматизованим скануванням, шлюзом політик, реєстром доказів перевірки, моніторингом і погодженням через ITSM. Конкретні допоміжні платформи розглядаються як взаємозамінні реалізації логічних функцій, а не як самостійні об’єкти дослідження. Такий підхід переносить контроль вразливостей ліворуч (shift-left) — на етап складання образу — та закриває розрив підзвітності між командами DevSecOps, InfoSec і власниками застосунків.

У роботі представлено авторську референсну архітектуру для монолітних VM-навантажень та результати контрольованого локального експерименту з чотирма історичними Ubuntu 24.04 cloud images. Парне порівняння трьох станів — baseline, full-upgrade і full-upgrade з контрольованим видаленням застарілих пакетів ядра — виконано за однакового APT snapshot і замороженої бази Trivy. Звичайний full-upgrade зменшив 1680 виправних HIGH/CRITICAL CVE до 1605, тобто забезпечив 4,46% покриття. Після перезавантаження в нове ядро та точного видалення 22 застарілих kernel packages кількість виправних HIGH/CRITICAL зменшилася до нуля без втрати перевіреної функціональності. Policy gate змінив рішення з BLOCK на REVIEW, оскільки в кожному образі залишилося п’ять CRITICAL CVE без доступного виправлення.

Завантаження

Дані завантаження ще не доступні.

Посилання

Orca Security. (2025). 2025 state of cloud security report. https://orca.security/resources/state-of-cloud-security/

Wiz. (2025). Cloud data security snapshot 2025. https://www.wiz.io/reports/cloud-data-security-report-2025

IBM Security, & Ponemon Institute. (2025). Cost of a data breach report 2025. IBM. https://www.ibm.com/reports/data-breach

Palo Alto Networks, Unit 42. (2023). Cloud threat report: Volume 7. https://unit42.paloaltonetworks.com/cloud-threat-report/

Sysdig. (2025). 2025 cloud-native security and usage report. https://www.sysdig.com/resources/reports/2025-cloud-native-security-and-usage-report

Cloud Security Alliance. (2024). Top threats to cloud computing 2024. https://cloudsecurityalliance.org/artifacts/top-threats-to-cloud-computing-2024

Datadog Security Labs. (2025). whoAMI: A cloud image name confusion attack. https://securitylabs.datadoghq.com/articles/whoami-a-cloud-image-name-confusion-attack/

Amazon Web Services. (2024). Allowed AMIs: Account-level guardrail for approved Amazon Machine Images. https://docs.aws.amazon.com/AWSEC2/latest/UserGuide/ec2-allowed-amis.html

HashiCorp. (2024). Build a golden image pipeline with HCP Packer. HashiCorp Developer. https://developer.hashicorp.com/packer/tutorials/cloud-production/golden-image-with-hcp-packer

Center for Internet Security. (2024). CIS Hardened Images and CIS Benchmarks. https://www.cisecurity.org/cis-hardened-images

Mohammed, K. I., Shanmugam, B., & El-Den, J. (2025). Evolution of DevSecOps and its influence on application security: A systematic literature review. Technologies, 13(12), Article 548. https://doi.org/10.3390/technologies13120548

Rangnau, T., van Buijtenen, R., Fransen, F., & Turkmen, F. (2020). Continuous security testing: A case study on integrating dynamic security testing tools in CI/CD pipelines. In Proceedings of the 2020 IEEE 24th International Enterprise Distributed Object Computing Conference (EDOC) (pp. 145–154). https://doi.org/10.1109/EDOC49727.2020.00026

Chornii, V., Martseniuk, Y., Partyka, A., & Harasymchuk, O. (2025). Information security risks associated with the uncontrolled storage of secrets in source code. CEUR Workshop Proceedings, 4042, 250–271. https://ceur-ws.org/Vol-4042/

Sapsai, O., Martseniuk, Y., Partyka, A., & Harasymchuk, O. (2025). Research on automated security incident management in public cloud environments. CEUR Workshop Proceedings, 4042, 226–249. https://ceur-ws.org/Vol-4042/

Vakhula, O., Opirskyy, I., Vorobets, P., Bobko, O., & Kulinich, O. (2025). Research on policy-as-code for implementation of role-based and attribute-based access control. CEUR Workshop Proceedings, 3991, 139–157. https://ceur-ws.org/Vol-3991/

Vakhula, O., & Opirskyy, I. (2024). Research on security-as-code approach for cloud-native applications based on Kubernetes clusters. CEUR Workshop Proceedings, 3800, 58–69. https://ceur-ws.org/Vol-3800/

Sysdig. (2024). 2024 cloud-native security and usage report. https://www.sysdig.com/2024-cloud-native-security-and-usage-report

Sysdig. (2026). 2026 cloud-native security and usage report. https://www.sysdig.com/press-releases/2026-usage-report

Amazon Web Services. (n.d.). What is EC2 Image Builder? AWS Documentation. https://docs.aws.amazon.com/imagebuilder/latest/userguide/what-is-image-builder.html

Microsoft. (n.d.). Azure VM Image Builder overview. Microsoft Learn. https://learn.microsoft.com/en-us/azure/virtual-machines/image-builder-overview

Google Cloud. (n.d.). Setting up trusted image policies. Google Cloud Documentation. https://cloud.google.com/compute/docs/images/restricting-image-access

Broadcom. (n.d.). Manage VM templates in a content library. VMware vSphere 8.0 Documentation. https://techdocs.broadcom.com/us/en/vmware-cis/vsphere/vsphere-8-0/vsphere-virtual-machine-administration/using-content-librariesvsphere-vm-admin/manage-vm-templates-in-a-content-libraryvsphere-vm-admin.html

Harbor. (2025). Vulnerability scanning (Harbor 2.13.0 documentation). https://goharbor.io/docs/2.13.0/administration/vulnerability-scanning/

National Institute of Standards and Technology. (2022). Secure Software Development Framework (SSDF), version 1.1 (NIST SP 800-218). https://doi.org/10.6028/NIST.SP.800-218

Supply-chain Levels for Software Artifacts. (2026). SLSA specification, version 1.2. https://slsa.dev/spec/v1.2/

Verizon. (2026). 2026 data breach investigations report. Verizon Business. https://www.verizon.com/business/resources/reports/dbir/

National Institute of Standards and Technology. (2012). Guide for conducting risk assessments (NIST SP 800-30 Rev. 1). https://doi.org/10.6028/NIST.SP.800-30r1

FIRST. (2023). Common Vulnerability Scoring System version 4.0: Specification document. https://www.first.org/cvss/v4.0/specification-document

FIRST. (n.d.). Exploit Prediction Scoring System (EPSS): Model and documentation. https://www.first.org/epss/

Cybersecurity and Infrastructure Security Agency. (n.d.). Stakeholder-Specific Vulnerability Categorization (SSVC). https://www.cisa.gov/resources-tools/resources/stakeholder-specific-vulnerability-categorization-ssvc

Cybersecurity and Infrastructure Security Agency. (n.d.). Known Exploited Vulnerabilities catalog. https://www.cisa.gov/known-exploited-vulnerabilities-catalog

Canonical. (n.d.). Ubuntu cloud images. https://cloud-images.ubuntu.com/

Canonical. (n.d.). Ubuntu Snapshot Service. https://snapshot.ubuntu.com/; https://ubuntu.com/server/docs/how-to/software/snapshot-service/

Aqua Security. (n.d.). Trivy documentation. https://trivy.dev/docs/

HashiCorp. (n.d.). QEMU builder for Packer. HashiCorp Developer. https://developer.hashicorp.com/packer/integrations/hashicorp/qemu/latest/components/builder/qemu

War, A., Diallo, A., Habib, A., Klein, J., & Bissyandé, T. F. (2025). Vulnerabilities in infrastructure as code: What, how many, and who? Empirical Software Engineering, 30(5), Article 120. https://doi.org/10.1007/s10664-025-10672-8

Kumar, R., & Goyal, R. (2020). Modeling continuous security: A conceptual model for automated DevSecOps using open-source software over cloud (ADOC). Computers & Security, 97, Article 101967. https://doi.org/10.1016/j.cose.2020.101967

Rajapakse, R. N., Zahedi, M., Babar, M. A., & Shen, H. (2022). Challenges and solutions when adopting DevSecOps: A systematic review. Information and Software Technology, 141, Article 106700. https://doi.org/10.1016/j.infsof.2021.106700

Paul, A., Manoj, R., & Udhayakumar, S. (2024). Amazon Web Services cloud compliance automation with Open Policy Agent. In Proceedings of the 2024 International Conference on Expert Clouds and Applications (ICOECA) (pp. 313–317). https://doi.org/10.1109/ICOECA62351.2024.00063

Diaz-De-Arcaya, J., Osaba, E., Benguria, G., Etxaniz, I., Lobo, J. L., Alonso, J., Torre-Bastida, A. I., & Almeida, A. (2023). IEM: A unified lifecycle orchestrator for multilingual IaC deployments. In Companion of the 2023 ACM/SPEC International Conference on Performance Engineering (pp. 195–199). https://doi.org/10.1145/3578245.3584938

Morales, J. A., Hamed, J., Reynolds, D., Shepard, D., Antunes, L., Yankel, J., & Yasar, H. (2023). Experiences with secure pipelines in highly regulated environments. In Proceedings of the 18th International Conference on Availability, Reliability and Security (ARES 2023), Article 57. https://doi.org/10.1145/3600160.3605466