Clair 容器映像檔漏洞掃描實戰

– 10 分鐘閱讀

Clair 是一款開源容器映像檔漏洞掃描工具，能有效識別 Docker 映像中的已知安全風險。本文將逐步說明如何使用 Docker Compose 佈署 Clair，並搭配 clairctl 和 Clair Scanner 進行漏洞分析。同時，我們也會介紹 Quay.io 儲存函式庫的整合應用，以及如何利用 Quay 的網頁介面進行映像檔管理和漏洞檢測。此外，文章還會探討 Anchore 引擎的架構和使用方法，包含 Anchore CLI 的安裝和操作，提供更進階的容器安全分析方案，並詳細解釋 CVSS 漏洞評分指標，讓開發者能更精準地評估漏洞風險。

Clair 漏洞掃描工具安裝與使用

Clair 是一款由 CoreOS 開發的開源漏洞掃描工具，用於掃描 Docker 映像檔中的已知漏洞。本篇文章將介紹 Clair 的安裝步驟、使用方法以及其在容器安全領域的應用。

Clair 安裝步驟

Clair 的安裝可以透過 Docker Compose 工具完成。首先，我們需要從 GitHub 倉函式庫下載 Clair 的安裝檔案。

步驟 1：下載 Clair 安裝檔案

$ git clone https://github.com/hxquangnhat/clair-analyze-local-images.git
$ cd clair-analyze-local-images/

步驟 2：啟動 Clair 服務

$ docker-compose up -d

這個命令會在後台啟動 Clair 和 Postgres 服務。

docker-compose.yml 檔案內容

version: '2.1'
services:
  postgres:
    image: postgres:9.6
    restart: unless-stopped
    volumes:
      - ./docker-compose-data/postgres-data/:/var/lib/postgresql/data:rw
    environment:
      POSTGRES_PASSWORD: ChangeMe
      POSTGRES_USER: clair
      POSTGRES_DB: clair
  clair:
    image: quay.io/coreos/clair:v2.0.0
    restart: unless-stopped
    volumes:
      - ./docker-compose-data/clair-config/:/config/:ro
      - ./docker-compose-data/clair-tmp/:/tmp/:rw
    depends_on:
      postgres:
        condition: service_started
    command: [--log-level=debug, --config, /config/config.yml]

Clair 使用方法

步驟 1：分析映像檔漏洞

$ docker exec clair_clairanalyser <image_name>

這個命令會對指定的映像檔進行漏洞分析。

#### 內容解密：

此命令用於對指定的 Docker 映像檔進行漏洞掃描。clair_clairanalyser 是 Clair 容器中的分析工具，<image_name> 是要掃描的映像檔名稱。

Clair 的另一種安裝方式

除了使用 Docker Compose 外，我們還可以手動安裝 Clair。

步驟 1：啟動 Postgres 容器

$ sudo docker run -d -e POSTGRES_PASSWORD="" -p 5432:5432 --restart always postgres:9.6

#### 內容解密：

此命令啟動一個 Postgres 容器，並將其對映到主機的 5432 埠。Postgres 是 Clair 用於儲存漏洞資料的資料函式庫。

步驟 2：建立 Clair 組態檔案

$ sudo mkdir $HOME/clair_config
$ sudo curl -L http://raw.githubusercontent.com/coreos/clair/master/config.yaml.sample -o $PWD/clair_config/config.yaml

#### 內容解密：

這些命令建立 Clair 的組態目錄，並下載預設的組態檔案。組態檔案用於設定 Clair 的執行引數。

步驟 3：啟動 Clair 容器

$ sudo docker run --net=host -d -p 6060-6061:6060-6061 --restart always -v $PWD/clair_config:/config quay.io/coreos/clair:v2.0.7 --config=/config/config.yaml
$ curl -X GET -l http://localhost:6061/health

#### 內容解密：

第一個命令啟動 Clair 容器，並對映埠 6060 和 6061。第二個命令檢查 Clair 的健康狀態。

使用 Clair Scanner 分析映像檔

Clair Scanner 是 Clair 的命令列工具，用於分析映像檔中的漏洞。

步驟 1：安裝 Clair Scanner

$ mkdir clairscanner
$ sudo wget http://github.com/arminc/clair-scanner/releases/download/v8/clair-scanner-linux-amd64
$ sudo mv clair-scanner-linux-amd64 clair-scanner
$ sudo chmod +x clair-scanner

#### 內容解密：

這些命令下載並安裝 Clair Scanner。Clair Scanner 是用於分析映像檔的命令列工具。

步驟 2：分析映像檔

$ sudo ./clair-scanner -c http://localhost:6060 vulnerables/cve-2016-10033

#### 內容解密：

此命令使用 Clair Scanner 分析指定的映像檔。-c 引數指定 Clair 的 URL，vulnerables/cve-2016-10033 是要分析的映像檔名稱。

使用 clairctl 分析映像檔

clairctl 是另一個用於分析映像檔的工具。

docker-compose.yml 檔案內容（clairctl）

version: '2.1'
services:
  postgres:
    image: postgres:9.6
    restart: unless-stopped
    volumes:
      - ./docker-compose-data/postgres-data/:/var/lib/postgresql/data:rw
    environment:
      POSTGRES_PASSWORD: ChangeMe
      POSTGRES_USER: clair
      POSTGRES_DB: clair
  clair:
    image: quay.io/coreos/clair:v2.0.0
    restart: unless-stopped
    volumes:
      - ./docker-compose-data/clair-config/:/config/:ro
      - ./docker-compose-data/clair-tmp/:/tmp/:rw
    depends_on:
      postgres:
        condition: service_started
    command: [--log-level=debug, --config, /config/config.yml]
  clairctl:
    image: jgsqware/clairctl:latest
    restart: unless-stopped
    environment:
      DOCKER_API_VERSION: 1.24
    volumes:
      - ./docker-compose-data/clairctl-reports/:/reports/:rw
      - /var/run/docker.sock:/var/run/docker.sock:ro
    depends_on:
      clair:
        condition: service_started

Quay.io 映像儲存函式庫與靜態映像分析

在前面的章節中，我們已經檢視了使用 Docker Compose 執行 Clair 的過程，以及如何檢測特定 Docker 映像中的漏洞。現在，我們將探討 Quay.io 映像儲存函式庫，它提供了與 Docker Hub 類別似的功能，並支援靜態映像分析。

Quay.io 簡介

Quay.io 是由 CoreOS 開發的容器登入服務，除了提供與 Docker Hub 相似的功能外，還具備靜態映像分析能力。其主要目標是檢測二進位檔案中過時和易受攻擊的函式庫。Quay.io 的主要特點包括：

  • 在將映像上傳至生產環境之前進行掃描
  • 與 CVE 更新的漏洞對映
  • 連結至 CVE 資料函式庫中的漏洞資訊
  • 易於整合至 CI/CD 工作流程
  • 網頁介面和分析引擎 API
  • 在底層使用 CoreOS Clair 開源 CVE 引擎

註冊 Quay.io

要登入 Quay.io，需要從命令列執行 docker login quay.io 命令。步驟如下：

$ docker login quay.io
Username: myusername
Password: mypassword

在 Quay.io 帳戶組態中，可以建立加密密碼以增加安全性。接下來的步驟是建立一個新的容器，以便執行將要分析的映像。

建立容器和映像儲存函式庫

建立容器後，會傳回一個識別碼：

$ docker commit quay.io/username/reponame

內容解密：

此步驟會建立一個新的容器並傳回其識別碼。docker commit 命令用於從容器建立一個新的映像，並將其推播至 Quay.io 儲存函式庫。

要將映像推播至 Quay.io 儲存函式庫，需要執行 docker push 命令：

$ sudo docker push quay.io/namespace/repository:tag

內容解密：

此命令將映像推播至指定的 Quay.io 儲存函式庫。docker push 命令用於將本地映像推播至遠端儲存函式庫。

要從 Quay.io 儲存函式庫提取映像，可以執行以下命令：

$ sudo docker pull quay.io/namespace/repository

內容解密：

此命令從 Quay.io 儲存函式庫提取指定的映像。docker pull 命令用於從遠端儲存函式庫提取映像至本地。

使用 Quay.io 網頁介面建立和管理儲存函式庫

另一種建立儲存函式庫的方法是透過 Quay.io 使用者網頁介面。點選右上角的 + 圖示並選擇 New repository。在以下截圖中，我們可以看到用於建立新儲存函式庫的 Quay.io 頁面：

圖表翻譯： 此圖表展示了使用 Quay.io 網頁介面建立新儲存函式庫的流程。

管理儲存函式庫標籤

儲存函式庫的標籤可以在儲存函式庫頁面的標籤面板中檢視和修改。在以下截圖中，我們可以看到用於檢視儲存函式庫標籤的 Quay.io 頁面：

透過此介面，可以為同一個映像分配多個標籤。點選標籤旁的圖示並選擇 Add new tag，即可為已標記的映像新增標籤。Quay.io 將確認新增標籤的操作。

映像掃描和漏洞檢測

在 Manifest layers 部分，可以看到構成映像的層。在以下截圖中，我們可以看到構成映像的層：

我們可以看到與映像掃描相關的資訊，包括在每個層中檢測到的漏洞。對於每個漏洞，顯示了 CVE 編號、嚴重性級別、受影響的套件、包含漏洞的版本以及具有修復程式的版本。

內容解密：

Quay.io 的安全掃描器會對映像進行掃描，以檢測其中存在的漏洞。掃描結果會顯示在 Manifest layers 部分，包括每個層中的漏洞資訊。

漏洞嚴重性級別

漏洞掃描報告中會為漏洞分配高、中或低嚴重性級別。此嚴重性級別取決於 CVSS 評分：

  • 高：漏洞的基本 CVSS 評分範圍為 8.0 至 10.0。
  • 中：漏洞的基本 CVSS 評分範圍為 4.0 至 7.9。
  • 低：漏洞的基本 CVSS 評分範圍為 0.0 至 3.9。

如果我們深入瞭解細節，會發現對於每個漏洞，都定義了一系列指標，這些指標將給出最終評分和嚴重性級別。

本章重點回顧：
  1. Quay.io 的主要特點和功能。
  2. 如何註冊 Quay.io 和建立容器和映像儲存函式庫。
  3. 使用 Quay.io 網頁介面建立和管理儲存函式庫。
  4. Quay.io 的映像掃描和漏洞檢測功能。
  5. 如何檢視和管理漏洞資訊。

本章內容豐富且詳細地介紹了 Quay.io 的功能和使用方法，為讀者提供了深入瞭解容器安全和漏洞管理的基礎。在接下來的章節中，我們將繼續探討其他與容器安全相關的主題。

使用Quay安全掃描器與Anchore引擎進行Docker映像檔安全分析

在現代化的DevOps流程中，確保容器化應用程式的安全性已成為一項重要任務。Quay安全掃描器與Anchore引擎是兩款強大的工具，能夠幫助開發團隊識別Docker映像檔中的已知漏洞和潛在安全風險。本文將探討這兩款工具的使用方法和技術細節。

Quay安全掃描器的工作原理

Quay安全掃描器是一種容器安全掃描工具，能夠自動掃描Docker映像檔中的已知漏洞。它利用通用漏洞評分系統（CVSS）來評估漏洞的嚴重程度。

CVSS指標詳解

CVSS是一套用於評估漏洞嚴重程度的標準化系統。它包含多個指標，用於全面評估漏洞的影響範圍和嚴重程度。


### CVSS主要指標
1. **攻擊向量（Access Vector）**：衡量攻擊者利用漏洞所需的接近程度。
   - 網路（Network）：攻擊者可遠端利用漏洞。
   - 鄰近（Adjacent）：攻擊者需要在同一網路區域。
   - 本地（Local）：攻擊者需要本地存取許可權。
   - 物理（Physical）：攻擊者需要實體存取目標系統。

2. **攻擊複雜度（Access Complexity）**：評估利用漏洞所需的技術難度。
   - 高（High）：需要特定的條件或組態。
   - 中（Medium）：有一定的技術要求。
   - 低（Low）：容易被利用。

3. **身份驗證（Authentication）**：衡量利用漏洞所需的驗證次數。
   - 多次（Multiple）：需要多次驗證。
   - 一次（Single）：需要一次驗證。
   - 無（None）：無需驗證。

4. **機密性影響（Confidentiality Impact）**：評估漏洞對機密性的影響。
   - 無（None）：無影響。
   - 部分（Partial）：部分資訊洩露。
   - 完整（Complete）：完整資訊洩露。

5. **完整性影響（Integrity Impact）**：評估漏洞對資料完整性的影響。
   - 無（None）：無影響。
   - 部分（Partial）：部分資料被竄改。
   - 完整（Complete）：資料完全被竄改。

6. **可用性影響（Availability Impact）**：評估漏洞對系統可用性的影響。
   - 無（None）：無影響。
   - 部分（Partial）：部分功能受影響。
   - 完整（Complete）：系統完全不可用。

內容解密：

上述CVSS指標共同決定了一個漏洞的最終評分和嚴重等級。瞭解這些指標有助於開發團隊優先處理最關鍵的安全問題。

使用Anchore引擎進行映像檔分析

Anchore引擎是一款開源的容器映像檔分析工具，提供對Docker映像檔的深入安全檢查和合規性檢查。它支援與CI/CD流程整合，能夠在映像檔建置階段就發現潛在的安全問題。

Anchore引擎架構

Anchore引擎的架構包含多個元件，能夠提供全面的映像檔分析功能。

@startuml
skinparam backgroundColor #FEFEFE
skinparam componentStyle rectangle

title Clair 容器映像檔漏洞掃描實戰

package "Docker 架構" {
    actor "開發者" as dev

    package "Docker Engine" {
        component [Docker Daemon] as daemon
        component [Docker CLI] as cli
        component [REST API] as api
    }

    package "容器運行時" {
        component [containerd] as containerd
        component [runc] as runc
    }

    package "儲存" {
        database [Images] as images
        database [Volumes] as volumes
        database [Networks] as networks
    }

    cloud "Registry" as registry
}

dev --> cli : 命令操作
cli --> api : API 呼叫
api --> daemon : 處理請求
daemon --> containerd : 容器管理
containerd --> runc : 執行容器
daemon --> images : 映像檔管理
daemon --> registry : 拉取/推送
daemon --> volumes : 資料持久化
daemon --> networks : 網路配置

@enduml

圖表翻譯：

此圖展示了Anchore引擎的主要元件及其相互關係。API服務作為入口點，負責接收請求並與其他元件互動。映像分析服務負責掃描Docker映像檔。目錄服務維護漏洞資料函式庫，而策略引擎則根據定義的策略評估映像檔的安全性。

安裝Anchore引擎

安裝Anchore引擎最簡單的方法是使用Docker Compose。以下是安裝步驟：

  1. 下載Anchore引擎原始碼

    $ git clone https://github.com/anchore/anchore-engine.git
$ cd anchore-engine

  2. 啟動Anchore引擎

    $ docker-compose up -d

內容解密：

使用Docker Compose啟動Anchore引擎會建立多個服務，包括API服務、映像分析服務和資料函式庫服務。這些服務共同工作，提供完整的映像檔分析功能。

使用Anchore CLI進行映像檔分析

Anchore CLI是Anchore引擎的命令列介面工具，能夠讓使用者方便地管理和檢查容器映像檔。

安裝Anchore CLI

可以透過pip或原始碼安裝Anchore CLI：

$ pip install anchorecli

或者從原始碼安裝：

$ git clone https://github.com/anchore/anchore-cli.git
$ cd anchore-cli
$ python setup.py install

使用Anchore CLI分析映像檔

安裝完成後，可以使用以下命令分析本地Docker映像檔：

$ anchore-cli --u admin --p foobar image add <image_name>
$ anchore-cli --u admin --p foobar image vuln <image_name> all

內容解密：

上述命令首先將指定的映像檔新增到Anchore引擎進行分析，然後查詢該映像檔的漏洞資訊。透過這些命令，開發團隊能夠及時發現並修復映像檔中的安全問題。

隨著容器技術的不斷發展，容器安全領域也將持續進化。未來，我們可以期待以下幾個方向的發展：

  1. 更先進的漏洞檢測技術：利用機器學習和人工智慧技術提高漏洞檢測的準確性和效率。
  2. 與DevOps流程的更緊密整合：將安全掃描工具無縫整合到CI/CD流程中，實作自動化的安全檢查。
  3. 更全面的合規性檢查：除了漏洞掃描外，提供更多維度的合規性檢查，幫助企業滿足各種監管要求。

透過不斷採用新技術和改進現有工具，開發團隊能夠更好地保護容器化應用程式的安全，為使用者提供更可靠的服務。

玄貓 BlackCat

玄貓 BlackCat

技術愛好者，專注於分享程式開發、雲端技術與 AI 應用的心得體會。