譯者 | 陳峻
審校 | 重樓
近年來，隨著網絡威脅的增加，容器化設置中的漏洞逐漸給各類應用程序帶來不同程度的安全風險。特別是隨著 DevOps 領域的不斷發展，各種容器的使用頻率也逐步攀升，這讓各類安全漏洞也逐漸成為了話題中的焦點。
而旨在提高容器安全性的高級工具--Docker Scout，通過支持漏洞檢測、軟件物料清單（ Software Bill of Materials，SBOM）的生成、以及策略的實施，從而保護 Docker 容器的生命周期，進而使之更簡化和更有效。
下面，我將和你討論 Docker Scout 的基本工作流，如何對其配置、以及其他特定功能技巧的演示。同時，你也可以了解到如何將 Docker Scout 集成到自己的 DevOps 工作流中。
了解 Docker Scout
作為一款安全必備的工具箱，Docker Scout 可以通過與 Docker 的無縫集成，協助你進行漏洞分析、依賴關系和合規性研判，進而最大限度地提高容器的安全性。
在使用過程中，Docker Scout 可以掃描容器的鏡像，以識別漏洞。同時，它也會創建 SBOM，并遵循安全策略。借助 Docker Scout的監控，容器化應用的風險將變得易于管理且簡單明了。
Docker Scout 的工作流
如圖所示， Scout 使得用戶能夠通過跟蹤他們的 Docker 鏡像以掃清漏洞。同時，它可以被輕松地集成到工作流程中，以實時掃描的方式提供有關目標容器中軟件組件的更多詳細信息。當然，它也可以通過生成SBOM，來確保不包含任何易受攻擊的代碼片段，進而允許用戶跟蹤和評估目標應用程序中嵌入的所有組件和依賴項。
此外，由于Docker Scout 的策略實施功能可以驗證容器的鏡像是否被“鎖定（locked-in）”。因此，它可以幫助開發團隊遵守行業的最佳實踐，進而輕松、主動地保護容器化的應用。
Docker Scout 的主要特點
- 漏洞掃描：Docker Scout 可以檢測容器中的已知漏洞。
- 生成SBOM：Docker Scout 能夠生成詳細的軟件物料清單。
- 策略實施：Docker Scout 會確保你的鏡像符合既定的安全標準。
因此，如果Docker Scout 能夠被恰當地集成到現有的軟件工具和工作流中，將能在 Docker 生態系統中良好運行，可以在不減慢開發速度的情況下，簡化容器的安全性。
如何設置 Docker Scout？
Docker Scout 的設置
Docker Scout 設置起來既快速又簡單。以下是最常見的入門步驟：
先決條件和安裝
在安裝Docker Scout之前，請確保你的Docker能夠按預期運行起來，以便Docker Scout與Docker桌面或Docker引擎配合使用。若要安裝Docker Scout，請運行以下命令：
docker scout init這將安裝Docker Scout及其所有依賴項。至此，你已為掃描鏡像做好了準備。
首次運行掃描
請使用以下命令運行第一次掃描。
docker scout quickview完成后，它將為你的鏡像快速提供安全概述。例如，若要掃描自己的應用請輸入：
docker scout quickview my-app:latest此命令將掃描你的Docker鏡像，并提供漏洞和合規性問題的摘要。
解讀掃描結果
Docker Scout的掃描結果會以章節形式呈現。其中：
- 漏洞部分：顯示了在鏡像中發現的任何CVE。
- SBOM部分：顯示了鏡像的軟件物料清單。
- 策略違規部分：列出任何被發現的違反安全策略的地方。
這些結果有助于你了解Docker鏡像的安全狀態。下面，我們來詳細了解Docker Scout的關鍵性功能是如何保護容器鏡像的：
漏洞掃描
漏洞掃描的工作流
為了在鏡像中查找已知的漏洞，Docker Scout會掃描每個包，并將其與CVE數據庫進行核對。當找到匹配項時，它會標記危險并顯示其嚴重程度、以及修復方法。這有助于在將問題鏡像投入生產環境之前，提前予以處理。
SBOM
Docker Scout為每個掃描的鏡像生成一個唯一的SBOM。它概述了形成鏡像的所有軟件組件。
SBOM可用于跟蹤所有的依賴關系，以方便識別那些存在于第三方軟件包中的漏洞。這對于提高供應鏈安全性和鏡像的完整性都是至關重要的。
安全策略和補救建議
你可以使用Docker Scout來設置安全策略（例如可接受的漏洞評級），以及確定潛在的風險。如果鏡像違反了相關策略，Docker Scout會提出采取補救措施，以便你在部署容器之前，為其建立最佳的安全實踐。
將Docker Scout集成到CI/CD管道中
為了自動化CI/CD管道中的安全檢查，你可以將Docker Scout集成到DevOps工作流，以便從一開始就確保安全性成為管道的一部分。
將Docker Scout與GitHub Actions/GitLab CI結合使用
Docker Scout與Github集成
將Docker Scout與GitHub Actions或GitLab CI相集成，可以自動化構建過程中的安全性。例如，在GitHub Actions中，你可以對每次推送都執行Docker Scout掃描，以確保鏡像在部署前的安全性。
以下是針對GitHub Actions的基本配置：
name: Docker Security Scan
on:
push:
branches:
- main
jobs:
security-scan:
runs-on: ubuntu-latest
steps:
- name: Checkout code
uses: actions/checkout@v2
- name: Run Docker Scout Scan
run: |
docker scout init
docker scout quickview my-app:latest此配置會在每次將更改推送到 main 分支時，運行安全掃描。
在部署之前自動執行安全檢查
將 Docker Scout 引入 CI/CD 管道，將有助于及早發現安全問題。也就是說，在每一次構建或更新鏡像時，Docker Scout 都會對其進行掃描，如果發現漏洞，則構建失敗。此舉可以有效地防止將不安全的鏡像部署到生產環境中。
以下是 GitLab CI 的配置示例：
stages:
- scan
docker_scan:
stage: scan
script:
- docker scout init
- docker scout quickview my-app:latest通過此設置，Docker Scout 將作為構建過程的一部分自動運行。
安全容器鏡像開發的最佳實踐
雖然 Docker Scout 有助于識別漏洞，但我們仍需配合從如下方面來降低安全風險。
減少攻擊面
最大限度地減少鏡像中的依賴項數量，畢竟包含的庫越少，潛在漏洞也就越少。可使用類似 Alpine 這樣的最小基礎鏡像，并且僅包含基本組件。
定期更新和修補
容器安全是一項持續的工作，請定期更新你的鏡像，以包含最新的補丁。當然，Docker Scout 也有助于跟蹤漏洞，方便你掌握必要的更新。
利用 Docker Scout 的洞見
請使用 Docker Scout 的洞見來持續改進你的安全態勢。這包括：查看漏洞報告，參考修復建議，并定期更新你的策略。畢竟，持續掃描和改進能夠及時驗證你的鏡像是否安全。
常見問答
- Docker Scout 如何檢測 Docker 鏡像中的漏洞？
- Docker Scout 會掃描容器鏡像，以查找已知的 CVE。它是通過將鏡像的組件與 CVE 數據庫進行比對來實現。
- 可以將 Docker Scout 集成到 CI/CD 管道中嗎？
- 是的，Docker Scout 可以與 CI/CD 管道無縫集成。例如，它可與 GitHub Actions 和 GitLab CI 相結合，在構建過程中運行自動安全掃描。
- Docker Scout 中的SBOM是什么？
- SBOM 可以跟蹤 Docker 鏡像中存在的所有軟件組成部分和依賴項，進而幫助開發者監控容器與外部庫相關聯的漏洞。
- 如何配置 Docker Scout 以實施安全策略？
- 通過在 Docker Scout 中自定義安全策略，以實施諸如：判定漏洞嚴重性級別，加固依賴項的最低補丁版本等策略。
- 如果 Docker Scout 在鏡像中發現漏洞，應該如何處置？
- Docker Scout 不但能突出顯示現有的漏洞，而且可以提供嚴重性評級。開發者應該根據所提供的修復步驟，在容器部署之前及時解決發現的問題。
小結
作為一種提供容器安全的工具，Docker Scout 能夠自動檢查和掃描漏洞并執行策略，從而幫助 DevOps 團隊改進 Docker 對其鏡像的整體保護。同時，將 Docker Scout 實施到現有的 CI/CD 管道中，也可以確保開發流程中的安全構建。
此外，Docker Scout 也能賦能用戶主動糾正可能違規的軟件行為，確保在開發的整個生命周期中遵循既定的策略。而在效率上，Docker Scout 則能夠讓用戶在幾個小時內構建、測試和部署出安全的應用，從而大幅提高了生產力。
譯者介紹
陳峻（Julian Chen），51CTO社區編輯，具有十多年的IT項目實施經驗，善于對內外部資源與風險實施管控，專注傳播網絡與信息安全知識與經驗。
原文標題：Your Docker Containers Are Probably Full of Security Holes—Here’s How to Fix Them Now，作者：Advait Patel
