Cập Nhật AI Assist

Mô tả

Chào mừng bạn đến với bản cập nhật mới nhất của AI Assist! Trong tuần này, tôi đã tiếp tục làm việc trên bộ phân tích và phân tích docker valve. Tuần trước, chúng tôi có một sự kiện ngoại tuyến, mất khá nhiều ngày, và tuần này, chúng tôi có kỳ nghỉ và ngày hội gia đình và bạn bè, vì vậy đây là bản cập nhật kết hợp của Hai tuần qua, thực tế là khoảng năm ngày làm việc. Tuần trước, tôi bắt đầu bằng cách thu thập các tệp docker từ hình ảnh công cộng và bắt đầu phân tích chúng để tôi có thể xác minh liệu phân tích có đúng không. Tôi viết thêm một loạt các bài kiểm tra và chúng hoạt động. Có một số điều thú vị mà ban đầu tôi không bao gồm, như người bảo trì đã lỗi thời nhưng tất nhiên nó vẫn được sử dụng, và điều khác mà tôi đã làm là tôi đã mở rộng bộ quy tắc cho bộ phân tích bao gồm việc xác minh quy ước tên. Tôi thấy điều này xảy ra thường xuyên khi mọi người đặt tên một tệp Docker như "dockerfile.something" hoặc "dockerfile there something", điều này lý thuyết là ổn nhưng IDS và thậm chí cả GitLab cũng không nhận ra nó như một tệp Docker nữa và tôi nghĩ quy ước đặt tên chính xác là "subname.dockerfile" để bảo tồn loại tệp và nó không chỉ là một cách chung chung. Ngoài ra, tôi đã thêm một tính năng khá thú vị là phân tích động của các tệp. Vì như tôi đã nói trước đó, nếu bạn thực hiện một bản sao dấu chấm, nó sẽ không hoạt động đúng vì nó sẽ không thể biết được các tệp nào đang được phân tích và nó sẽ kiểm tra các tệp đó trên loại tệp nhạy cảm. Bây giờ tôi đã chỉnh sửa nó để thực sự tìm kiếm các tệp, tuy nhiên, tôi chỉ sẽ hiển thị một ví dụ với src vì nó tương tự như dot trong trường hợp này. Src là thư mục của tôi ở đây với một vài tệp và nếu chúng ta chạy nó trên bộ phân tích dockerfile và chúng tôi nhận được các tệp nguồn đã phân tích, chúng ta sẽ thấy rằng thực tế tất cả các tệp này sẽ được sao chép vào hình ảnh docker thay vì chỉ nói là chỉ có src và có lẽ nếu tôi thay đổi nó thành dấu chấm bây giờ, sẽ là một số tệp nhiều hơn nhưng sẽ là kết quả tương tự. Điều quan trọng cũng được bao gồm ở đây là docker ignore. Docker ignore là một tệp tương tự như git ignore, nó sẽ đảm bảo rằng các tệp này không được sao chép vào hình ảnh docker của bạn, một lần nữa là để ngăn thông tin nhạy cảm rò rỉ và điều đó cũng hoạt động như bạn có thể thấy vì Pi test cache và pi cache không được bao gồm trong các loại tệp này. Điều đó đòi hỏi một lượng công việc khá lớn, và tiếp theo là tôi sẽ thử nghiệm nó với nhiều tệp hơn. Tôi đang lên kế hoạch thu thập 10,000 tệp docker và bắt đầu chạy chúng để xem chúng ta có thể phân tích dữ liệu như thế nào và những thông tin chúng ta có được từ đó. Tôi cũng sẽ thêm hai hoặc ba quy tắc nữa và tôi cũng đã nghĩ về việc phân tích này làm gì vì tôi sẽ phát hành nó để mọi người có thể sử dụng ngay. Điều đó là đảm bảo hình ảnh nhỏ hơn, nhanh hơn trong việc xây dựng và an toàn nói chung bằng cách có hình ảnh cơ sở an toàn, không rò rỉ bất kỳ thông tin xác thực nào và chúng ta sẽ phải xem nó đi đến đâu từ đó. Tôi đang nghĩ về việc tối ưu hóa các tệp docker, nhưng cũng tự động tạo ra các tệp docker để đó là một điều tôi muốn thử nghiệm xem liệu tôi có thể xây dựng tạo ra một