Image tarama, container güvenliğinin “shift-left” aşamasında kritik rol oynar; araç seçimi tespit doğruluğu, hız ve entegrasyon esnekliğine göre kurgulanır. Karşılaştırmalı çerçeve: (1) Trivy: Hafif, hızlı ve çok yönlü; dosya sistemi, paket yöneticisi ve language-specific bağımlılıkları tarar; CI/CD entegrasyonu basittir, ancak kurumsal raporlama ve merkezi yönetim sınırlıdır. (2) Clair (CoreOS/Quay): API tabanlı, katmanlı tarama mimarisi sunar; Kubernetes-native ortamlarda iyi entegre olur, ancak bakım ve güncelleme eforu yüksektir. (3) Grype (Anchore): SBOM (Software Bill of Materials) üretimi ve politika tabanlı değerlendirme yetenekleri güçlüdür; compliance odaklı ekipler için idealdir. Seçim matrisinde, kurumun “tarama kapsamı” (OS paketleri + uygulama bağımlılıkları), “yanlış pozitif toleransı” ve “merkezi yönetim ihtiyacı” kriterleri önceliklendirilmelidir. PoC’de, her aracın kurumun gerçek image’larındaki tespit oranı, tarama süresi ve CI pipeline etkisi ölçülmelidir.

Runtime koruma, “bilinen zafiyetler” ötesinde, sıfır-gün ve fileless saldırıları tespit etmek için davranışsal izleme gerektirir. Değerlendirme kriterleri: (1) Tespit yeteneği: Falco, kernel-level system call izleme ile şüpheli davranışları (privilege escalation, reverse shell, sensitive file access) tespit eder; kural tabanlıdır ve özelleştirilebilir ancak false positive yönetimi manuel efor gerektirir. (2) Bağlamsal zenginleştirme: Sysdig, container, pod, namespace ve Kubernetes metadata ile alarmleri zenginleştirir; “hangi deployment, hangi namespace’te, hangi kullanıcı tarafından tetiklendi” sorusu tek alarmda yanıtlanır. (3) Otomatik yanıt ve izolasyon: Aqua, şüpheli container’ı otomatik karantinaya alır, network policy günceller veya process sonlandırır; MTTR’yi dakikalardan saniyelere indirir. Seçimde, çözümün “tespit doğruluğu”, “operasyonel etki” (CPU/memory overhead) ve “SOAR entegrasyonu” yetenekleri PoC’de somut olarak test edilmelidir.