Что такое Docker-образ без операционной системы, например Distroless или Scratch, и зачем DevSecOps-инженер будет настаивать на его использовании в production?

Scratch — пустая основа образа, а Distroless содержит минимальную среду выполнения без привычного shell и пакетного менеджера; ядро предоставляет хост.

Меньше лишних компонентов означает меньшую поверхность атаки и меньше зависимостей для обновления, но не отсутствие уязвимостей. Для приложения всё равно нужны подходящие библиотеки, сертификаты и другие runtime-файлы. Отладку продумывают отдельно, например через отладочные контейнеры; «без операционной системы» здесь не означает выполнение без ядра.

Источник: github.com.