2.7 Docker镜像安全扫描：Trivy和Clair实战检测镜像漏洞

2.7 Docker镜像安全扫描：Trivy和Clair实战检测镜像漏洞

引言

镜像安全是容器安全的重要环节。通过安全扫描工具检测镜像中的漏洞，可以及时发现和修复安全问题。本文将介绍Trivy和Clair两个主流的安全扫描工具，帮助你构建安全的容器镜像。

一、镜像安全概述

1.1 安全威胁

• 已知漏洞：CVE漏洞
• 恶意软件：后门、木马
• 配置问题：弱密码、权限过大
• 依赖风险：过时的依赖包

1.2 安全扫描的重要性

• 及时发现漏洞
• 符合合规要求
• 保护生产环境
• 建立安全基线

二、Trivy安全扫描

2.1 Trivy简介

Trivy是Aqua Security开发的开源安全扫描工具，支持多种目标类型。

2.2 安装Trivy

Linux:

# 下载wgethttps://github.com/aquasecurity/trivy/releases/download/v0.45.0/trivy_0.45.0_Linux-64bit.tar.gztar-xzf trivy_0.45.0_Linux-64bit.tar.gzsudomvtrivy /usr/local/bin/

Mac:

brewinstalltrivy

Docker:

dockerpull aquasec/trivy

2.3 扫描镜像

# 扫描镜像trivy image nginx:latest# 只显示严重漏洞trivy image --severity HIGH,CRITICAL nginx:latest# 输出JSON格式trivy image --format json nginx:latest# 输出到文件trivy image --format json -o result.json nginx:latest

2.4 扫描结果示例

nginx:latest (alpine 3.17.2) ============================ Total: 15 (HIGH: 5, CRITICAL: 2) ┌─────────────────┬────────────────┬──────────┬─────────────────┐ │ Library │ Vulnerability │ Severity │ Installed │ ├─────────────────┼────────────────┼──────────┼─────────────────┤ │ openssl │ CVE-2023-XXXXX │ CRITICAL │ 3.0.8-r0 │ │ libssl1.1 │ CVE-2023-YYYYY │ HIGH │ 1.1.1s-r0 │ └─────────────────┴────────────────┴──────────┴─────────────────┘

2.5 扫描配置

# .trivy.yamlformat:tableseverity:-CRITICAL-HIGH-MEDIUMexit-code:1ignorefile:.trivyignore