15、深入了解 Docker 容器漏洞审计与分析

深入了解 Docker 容器漏洞审计与分析

1. 开源漏洞扫描工具概述

在 Docker 镜像安全领域，有一些实用的开源工具。Trivy 是一个用于检测多个操作系统软件包和应用程序依赖项错误的漏洞扫描器。Clair 是一个针对 Docker 应用和容器的漏洞扫描开源项目，它由 API 驱动，能逐层检查容器以发现安全问题，还能自动监控所有容器的可利用漏洞并实时发送通知。Anchore Image Scanner 则是一个能识别 Docker 镜像中各种漏洞和策略问题的镜像分析工具，在结合 docker - compose 测试后，它非常适合作为持续集成阶段的一部分，每次 Docker 镜像有更改时运行，以检查新的漏洞或已有的修复情况。

Anchore 引擎分析 Docker 镜像时，遵循以下阶段：
1. 获取并提取镜像内容，而不执行它。
2. 分析内容，尽可能多地提取和分类元数据。
3. 将上一步的分析结果保存到数据库中。
4. 根据扫描结果评估策略，包括镜像中发现的工件的漏洞匹配情况。
5. 更新用于漏洞和策略评估的数据，如果数据有任何变化，则应用新数据来更新镜像分析结果。

可以使用以下命令查看漏洞门内的触发器：

$ docker-compose exec api anchore-cli policy describe --gate=vulnerabilities

2. Anchore 相关命令选择题

题目	选