コンテナイメージスキャンは、イメージ内のOSパッケージ層とアプリケーション依存層の脆弱性を検出するビルド時の重要施策である。しかし、1つのイメージから大量の脆弱性が検出されるため、対応優先度の設計とノイズの削減が最大の課題となる。

対策として、軽量なベースイメージの選定やマルチステージビルドにより脆弱性の母数を減らすことが有効である。また、新SysC等の新CVEへの対応には、CI/CDでの「入口の検査」だけでなく、レジストリでの継続スキャンや起動を制御するAdmission Controlを組み合わせた継続運用が不可欠となる。

実務では、本番環境で実際に実行されているパッケージを識別する「In-Use判定」などのランタイム情報を活用し、修正版の有無や重大度を組み合わせて「本当に直すべきもの」へ絞り込む。これらを一元管理できるSysdig Secure等のツールも活用し、継続的なリスク管理体制を構築することが重要である。