根据目前权威的市场调查数据显示，72% 客户的容器规模为 100 个以上，4% 客户的容器规模超 5000 个，部署小规模容器的客户已经相当普遍，容器使用率迎来新增长。
容器镜像安全是云原生应用交付安全的重要一环，对上传的容器镜像进行及时安全扫描，并基于扫描结果选择阻断应用部署，可有效降低生产环境漏洞风险。容器安全面临的风险有：镜像风险、镜像仓库风险、编排工具风险，小德今天就跟大家聊一聊镜像风险中的镜像扫描。
之前介绍过Harbor，从安装部署到简单使用，今天这里就不再重复介绍了，有需要的可以跳转到'Harbor 功能强大的企业级私有仓库'查看，今天主要介绍Harbor的安全功能——镜像漏洞扫描
Trivy 是一款简单且全面的容器和其他软件构件的漏洞扫描工具。由于其易用性和高效性，Trivy 在容器安全领域受到了广泛的关注和使用。
在上一篇文章《从自身漏洞与架构缺陷，谈Docker安全建设》中，介绍Docker存在的安全问题、整套Docker应用架构的安全基线以及安全规则，重头戏是Docker安全规则的各种思路和方案。本文作为“续集”，考虑到镜像安全问题的普遍性和重要性，将重点围绕Docker镜像安全扫描与审计的具体实现展开讨论，包括技术选型、功能使用以及如何与企业Docker容器编排系统、仓库集成等具体问题，最后还提供了一个现成的开源集成方案。
题图摄于广州花城广场 本文作者之一Simon（赵仁明），VMware云原生实验室架构师。10+年云平台、数据平台、人工智能基础设施平台研发经验。目前主要关注云原生与人工智能领域的开源及创新项目。 国内外的用户都在使用云原生技术来提高应用的开发效率和可管理性，不少用户运用开源 Harbor 制品仓库，管理敏捷软件供应链中云原生应用的镜像，包括镜像存储、镜像扫描和镜像签名等功能。 Harbor 已经提供了一些高级的安全功能，例如，对镜像进行扫描，以发现潜在的安全问题。Harbor 的镜像扫描功能本质上属于静态扫
Docker和Snyk最近建立了合作伙伴关系，以提供容器漏洞扫描。这对您意味着什么？Snyk现在与Docker Hub集成在一起，可以扫描官方镜像。此外，Docker已将Snyk扫描直接集成到Docker Desktop客户端中。
当试图决定使用哪些制品时，了解一些关于制品安全性的信息是很有用的。使用Artifact Hub[1]，可以看到基于容器的制品的安全扫描，比如基于 Operator Framework OLM 的操作器、一些 Helm Charts、OPA 策略和 Tinkerbell 操作。
Clair 是一款开源的容器漏洞扫描工具，专门用于识别容器镜像中的安全漏洞。在云计算和微服务架构中，容器化技术（如 Docker 和 Kubernetes）日益普及，容器安全成为重要议题。Clair 的出现就是为了应对这种需求，它可以帮助开发者和系统管理员发现和修复容器镜像中的安全漏洞。
（本文发布时，Harbor在Github上已获得2828颗星：https://github.com/vmware/harbor）
Trivy 是一种适用于 CI 的简单而全面的容器漏洞扫描程序。软件漏洞是指软件或操作系统中存在的故障、缺陷或弱点。Trivy 检测操作系统包（Alpine、RHEL、CentOS等）和应用程序依赖（Bundler、Composer、npm、yarn等）的漏洞。
在过去的四年中，我们实时地对客户真实数据进行分析，对容器有了更深入的了解。随着我们安全和监控能力的提高，我们独特的优势使我们能明晰企业处理安全性和合规性的细节，随着时间的推移，我们对如何使用基础设施、应用和容器有了更多的了解，对此，我们为您带来了Sysdig 2021年容器安全和使用报告。
随着企业上云的步伐逐渐加快，Docker 作为当前云原生领域中最热门的开源容器引擎，其热度也是一路走高。虽然官方提供了公共的镜像仓库，但是从安全和效率等角度考虑，部署企业私有环境内的 Registry 也是非常必要的。Harbor 是由 VMware 公司中国研发中心发起的企业级的云原生制品仓库开源项目，现已从CNCF毕业。Harbor 可通过策略与基于角色的访问控制实现工件保护，扫描镜像内容使其免受漏洞侵害，最后对镜像进行可信签名。为企业用户提供了包括了 RBAC 权限管理、LDAP、审计、安全漏洞扫描、镜像验证、管理界面、自我注册、HA 等必需的功能，
在现代软件开发中， 我们会使用一些公共镜像作为基础镜像来快速构建我们的应用镜像，并将其部署到生产环境中。
镜像安全扫描是确保云原生环境安全非常重要和基础的一个环节，通过镜像安全扫描可以检测容器镜像中的漏洞，避免攻击者植入恶意代码，快速响应漏洞，从而降低安全风险。
本文由“GO开源说”第七期 《Harbor助你玩转云原生》直播内容修改整理而成，视频内容较长，本文内容有所删减和重构。 注：微信公众号不按照时间排序，请关注“亨利笔记”，并加星标以置顶，以免错过更新。 相关视频： 视频回放：Harbor助你玩转云原生（1） 视频回放：Harbor助你玩转云原生（2） 云原生技术的兴起为企业数字化转型带来新的可能。作为云原生的要素之一，带来更为轻量级虚拟化的容器技术具有举足轻重的推动作用。其实很早之前，容器技术已经有所应用，而 Docker 的出现和兴起彻底带火了容器。其
如今，镜像安全扫描变得越来越流行。这个想法是分析一个Docker镜像并基于CVE数据库寻找漏洞。这样，我们可以在使用镜像之前知道其包含哪些漏洞，因此我们只能在生产中使用“安全”镜像。
最近在调研国内外开源的容器安全相关工具，发现了很多优秀的项目，国外的项目有 trivy、anchor 等，在漏洞检测这块做的很出色了；而国内的项目不多，关注非漏洞检测的工具更少，所以对长亭开源的问脉容器安全工具集比较感兴趣，遂记录初次使用的过程。
（本文发布时，开源镜像仓库Harbor在Github上已获得3043颗星： https://github.com/vmware/harbor ）
开源镜像仓库 Harbor 2.0 正式发布了！从 2017 年 4 月发布 1.1 版本算起，经过整整 3 年，Harbor 的版本号终于 “升” 到 2.x 了。当然了，Harbor 2.0 不仅仅是大版本数字跃升那么简单，还给带来了众多重要更新，涉及代码多项重构，凝聚了项目组艰辛的付出。Harbor 2.0 成为符合 OCI（Open Container Initiatives）规范的开源镜像仓库，能够存储多种云原生工件（Artifacts），例如，容器镜像、Helm Chart、OPA、Singularity 等等。
最近在公司搭建CI流水线，涉及到容器镜像安全的话题，形成了一个笔记，分享与你，也希望我们都能够提高对安全的重视。
作者：Alex Xu，Harbor贡献者，VMware高级产品经理。文章最初在goharbor.io发表。
镜像是容器运行的基础，容器服务引擎可以使用不同的镜像启动相应的容器实例。在容器实例出现异常后，能迅速通过删除实例、启动新的容器实例来恢复服务，这些灵活、敏捷的操作，均需要以容器镜像作为支撑技术。
根据绿盟2018年3月的研究显示，目前Docker Hub上的镜像76%都存在漏洞，其研究人员拉取了Docker Hub上公开热门镜像中的前十页镜像，对其使用Docker镜像安全扫描工具Clair进行了CVE扫描统计。结果显示在一百多个镜像中，没有漏洞的只占到24%，包含高危漏洞的占到67%。很多我们经常使用的镜像都包含在其中，如：Httpd,Nginx,Mysql等等。
Rainbond是一体化的云原生应用管理平台，它提供“以应用为中心”的抽象，使用者不需要学习K8s和容器，平台将K8s和容器封装在内部，这种封装方式能极大提高使用的易用性和安装的便利性，但封装的内部组件如何替换是一个问题，本文将讲解如何使用Harbor替换掉Rainbond原有的默认镜像仓库。
容器安全是实施和管理像Docker这样的容器技术的关键方面。它包括一组实践、工具和技术，旨在保护容器化应用程序及其运行的基础架构。在本节中，我们将讨论一些关键的容器安全考虑因素、最佳实践和建议。
GitLab 12.9 将弃用用于 Python 依赖扫描的 Alpine Linux 镜像，改用 Debian 作为基础镜像。
不要使用从整个操作系统从头安装的模式来构建应用，比如我们使用node环境的时候，我们应该直接使用node镜像，而不是使用centos或者ubuntu镜像，然后自己安装node环境。
目前 Kubernetes 在容器编排市场中占据了主导地位，与此同时，众多组织在使用 Kubernetes 时或多或少遇到了安全问题。本文深入探讨使用 Kubernetes 时可能遇到的风险和挑战，并给出了对应的安全实践。
开源云原生制品仓库 Harbor 2.1 上月正式发布了！关于 Harbor 你了解多少呢？ ---- 容器技术这些年 近些年来，容器技术迅速席卷全球，颠覆了应用的开发、交付和运行模式，在云计算、互联网等领域得到了广泛应用。其实，容器技术在约二十年前就出现了，但直到 2013 年Docker推出之后才遍地开花，毫不夸张地说，Docker公司率先点燃了容器技术的火焰，拉开了云原生应用变革的帷幕，促进容器生态圈一日千里地发展。2015年CNCF的成立促进了容器技术在云原生领域的应用，降低用户开发云原生应用的门槛
近些年来，容器技术迅速席卷全球，颠覆了应用的开发、交付和运行模式，在云计算、互联网等领域得到了广泛应用。其实，容器技术在约二十年前就出现了，但直到 2013 年Docker推出之后才遍地开花，毫不夸张地说，Docker公司率先点燃了容器技术的火焰，拉开了云原生应用变革的帷幕，促进容器生态圈一日千里地发展。2015年CNCF的成立促进了容器技术在云原生领域的应用，降低用户开发云原生应用的门槛。CNCF成立之初只有一个开源项目，就是后来大名鼎鼎的Kubernetes。到了2018年，Kubernetes已成为容器编排领域事实上的标准，并成为首个CNCF的毕业（graduated）项目。2020年8月，CNCF旗下的开源项目增加到了63个，包括原创于中国的Harbor等项目。
通过扫描 Docker Hub 中的 400 万个容器镜像，Prevasio 发现 ，其中有 51% 的镜像存在高危漏洞，并且有 6432 个镜像包含病毒或恶意程序。
从刚开始接触AWVS10.5 扫描器开始，一直被我认为是最好的漏洞扫描器。轻量级的客户端，简洁易用的操作界面，可直接观察站点扫描的过程，再加上一些辅助工具，提供了强大的单兵作战能力，一个人，一台笔记本，足矣。后来的AWVS版本舍弃了客户端，未免有点可惜，但丝毫不会影响我们对它的评价。
容器——包含整个运行时环境的轻量级安装包——已经解决了可移植性、兼容性和快速、受控部署的解决方案。容器包括一个应用程序、依赖项、库和其他二进制文件以及运行它们所需的配置文件。
Stacs一款功能强大的静态令牌和凭证扫描工具，本质上来说，Stacs是一个基于YARA的静态凭证扫描工具，该工具支持二进制文件格式、嵌套文档分析、可组合规则集和忽略列表以及SARIF报告。
保证容器安全是一项复杂的任务。这个问题域很广，面对大量的检查清单和最佳实践，你很难确定采用哪个解决方案。所以，如果你要实现容器安全策略，应该从哪里开始呢？
最近几年容器化技术快速发展，各大互联网厂商也都开始使用容器化技术，而如何保证容器安全便是撰写本文的目的之一。Anchore Engine的功能之一是可以基于CVE数据来对容器镜像进行漏洞扫描，从而发现是否存在安全漏洞和策略问题。本文将从两个部分来讲解Anchore Engine的使用：
开发者在开发代码的过程中，都会担心代码、依赖、项目打包成的镜像是否存在安全问题。而RSAC 2023议题《5 Open Source Security Tools All Developers Should Know About》，则推荐了5个开源的安全工具，覆盖代码扫描、依赖检查、基础设施扫描、容器扫描、运行时扫描5个方面。
与其他介绍Docker的文章不同，由本文开启的系列文章将专注于Docker安全研究，一共分为6部分。
ARMO 公司在 KubeCon 北美 2023 上发布了 Kubescape 3.0。
容器化技术作为云原生“三驾马车”之一，在助力企业技术架构升级、应用效能提升的同时，也给企业安全防护带来了全新的挑战。在传统模式下，攻击者控制了单台节点后，仍需横向对其他节点进行缓慢渗透，才可控制整个系统。而在容器环境下，一旦攻击者控制了单个容器，可通过容器敏感目录挂载或漏洞利用等方式逃逸至宿主机获取更高权限，从而控制宿主机以及上面运行的所有容器业务，通过集群漏洞、配置不当等风险控制整个集群业务。原本“一次打包，到处运行”的便利变成了“一次入侵，控制一切”的被动。
题图摄于德州圣安东尼奥 注：微信公众号不按照时间排序，请关注“亨利笔记”，并加星标以置顶，以免错过更新。 VMware招聘机器学习和云原生开发工程师 本篇继续和大家说说镜像那些事，是连载之四，从《Harbor权威指南》一书节选的纯技术干货，敬请关注、转发和收藏。 第一篇：容器镜像的结构 第二篇：OCI 镜像规范 第三篇：OCI 制品 第四篇：Registry 的作用原理 《Harbor权威指南》目前当当网优惠中，点击下图直接购买。 容器镜像一般由开发人员通过 “docker build” 之类的命令构
点击上方“芋道源码”，选择“设为星标” 管她前浪，还是后浪？ 能浪的浪，才是好浪！ 每天 10:33 更新文章，每天掉亿点点头发... 源码精品专栏 原创 | Java 2021 超神之路，很肝~ 中文详细注释的开源项目 RPC 框架 Dubbo 源码解析 网络应用框架 Netty 源码解析 消息中间件 RocketMQ 源码解析 数据库中间件 Sharding-JDBC 和 MyCAT 源码解析 作业调度中间件 Elastic-Job 源码解析 分布式事务中间件 TCC-Transaction
Trivy是由aquasecurity开发的一个简单的漏洞扫描器，用于扫描容器和其他工件。它主要用于静态分析。适合与流水线的CI阶段集成。Aquasecurity以构建针对容器和管道安全的安全工具而广为人知。Trivy在也可以在github中使用。
新春伊始，中国原创的首个 CNCF 开源项目 Harbor 上周发布了 v2.2 版本。离上个版本 2.1 的发布已经有几个月的时间，新版本增加了好几项重要的功能：
在了解 DevSecOps 之前，我们先来了解一下 DevOps 是什么。DevOps 是文化理念、实践和工具的结合，可提高组织高速交付应用程序和服务的能力。
在集群模式的配置下，MinIO 部分接口由于信息处理不当返回了所有的环境变量信息（包括 MINIO_SECRET_KEY 和 MINIO_ROOT_PASSWORD），从而导致敏感信息泄漏漏洞，攻击者可能通过获取到的密钥配置信息直接登陆操作 MinIO 接口。
Rezilion发现了数百个Docker容器镜像的存在，这些镜像包含了大多数标准漏洞扫描器和SCA工具都没有检测到的漏洞。 研究发现，数百个Docker容器镜像中隐藏着许多高危险性/关键性的漏洞，这些容器镜像的下载量合计达数十亿次。其中包括已被公开的高知名漏洞。 一些隐藏的漏洞在野外被积极利用，这些漏洞是CISA已知被利用漏洞合集中的一部分，包括CVE-2021-42013、CVE-2021-41773、CVE-2019-17558。 经过研究发现漏洞存在的根本原因是无法检测未被软件包管理器管理的软件组件
今天我们为你准备了一篇有些不同的博文。Brigade[1]项目最近在改善我们的安全状况方面投入了巨大的努力——特别是在我们的软件供应链方面——今天我们想介绍一下我们取得的进展。当然，这样做的一个原因是向我们的社区保证，软件供应链安全是我们非常重视的一个话题，但我们也希望通过分享我们在最近几周获得并应用的有价值的见解，我们的社区也可以开始将其中的一些知识应用到他们自己的软件项目中。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
腾讯会议
实时音视频
