Imagens hardened: como reduzir até 95% da superfície de ataque em containers

Imagens hardened não são só 'menos pacotes', são uma mudança estrutural na forma como construímos e validamos confiança em ambientes de entrega contínua. Elas atacam o cerne do problema: 95% das vulnerabilidades encontradas em containers vêm de componentes que a aplicação nunca executa, mas que herdam risco por padrão, shells, package managers, debuggers, bibliotecas de desenvolvimento. O Docker Hardened Images (DHI), agora totalmente gratuito e open source desde dezembro de 2025, é o primeiro catálogo industrial com mais de 1.000 imagens (Debian/Alpine) que entrega minimização + patching contínuo com SLA + metadados verificáveis (SBOM, SLSA Nível 3, VEX, assinaturas). Isso não é um ajuste no Dockerfile: é uma nova camada de garantia operacional, integrada diretamente ao ciclo de vida do pipeline.

O que diferencia DHI de distroless caseiros ou Alpine slim é a disciplina operacional: rebuilds automáticos diários com alerta de CVE upstream, políticas de remediação sub-7 dias para críticos (com meta de <24h), e integração nativa com scanners como Wiz, Mend.io e Black Duck via VEX. E o assistente experimental de IA da Docker já escaneia seus containers existentes e sugere substituições hardened, com aplicação automática em multi-stage builds. Isso transforma hardening de tarefa manual em controle de infraestrutura como código.

A cobertura CEVIU de maio mostrava o Fedora Hummingbird aplicando o modelo distroless a sistemas host, um conceito teórico e experimental. Agora, em junho de 2026, o mesmo modelo está em produção massiva: Docker Hardened Images são usadas em mais de 20 bilhões de pulls mensais no Hub, com suporte comercial (Select/Enterprise/ELS), Hardened Helm Charts e Hardened MCP servers (Mongo, Grafana, GitHub) também open source. Além disso, o lançamento dos Hardened System Packages (HSP) em Q1/2026 estendeu o princípio de hardening para pacotes individuais, não só imagens, fechando a lacuna entre base image e runtime dependencies. O que era um artigo sobre defesa teórica virou stack operacional com SLA, Terraform provider e integração em CI/CD real.

Em ambientes de Kubernetes cloud-native, varreduras pós-deploy são inúteis: workloads são efêmeras, ataques acontecem em segundos. A única defesa eficaz é empurrar segurança para a esquerda, até a imagem base. Imagens hardened reduzem o ruído de triagem de vulnerabilidades em até 95%, liberando time de segurança para focar em exploração real, não em falsos positivos. Mais ainda: com o CRA da UE entrando em vigor em dezembro de 2027, SBOMs e proveniência deixam de ser boas práticas e viram requisitos legais. Quem já usa DHI ou Red Hat Hardened Images está tecnicamente preparado para PCI-DSS 4.0, NIS2, FDA 2025 e CISA 2025, sem precisar recriar pipelines.