DockerScan v2.0

أكثر ماسح أمان Docker شمولاً

بواسطة Daniel Garcia (cr0hn) | GitHub | الموقع الإلكتروني

الميزات • التثبيت • بداية سريعة • التوثيق • حالات الاستخدام • ما الجديد • المساهمة

📑 جدول المحتويات

نظرة عامة
الميزات
ما الجديد في v2.0
التثبيت
بداية سريعة
الاستخدام
- مصادقة السجل الخاص
ماسحات الأمان
تنسيقات المخرجات
حالات الاستخدام
المقارنة
الهندسة المعمارية
المساهمة
المراجع
الترخيص
المؤلف

🎯 نظرة عامة

DockerScan v2.0 هو ماسح أمان من الجيل التالي لحاويات وصور Docker، أعيدت كتابته بالكامل بلغة Go. يجمع بين تقنيات متعددة لفحص الأمان بناءً على أحدث الأبحاث في 2024-2025 والمعايير الصناعية (CIS Benchmark, NIST SP 800-190) وأنماط الهجمات الحقيقية المكتشفة في بيئات الإنتاج.

لماذا DockerScan v2.0؟

✅ الأكثر شمولاً: يجمع أكثر من 5 تقنيات لفحص الأمان في أداة واحدة
✅ أحدث الأبحاث: يعتمد على هجمات سلسلة التوريد و CVEs لعام 2024-2025
✅ جاهز للإنتاج: مخرجات SARIF للتكامل المستمر (CI/CD) ورموز الخروج للأتمتة
✅ سريع للغاية: مكتوب بلغة Go مع فحص متزامن
✅ قابل للتوسيع: هيكل إضافي لماسحات مخصصة
✅ مجاني ومفتوح المصدر: ترخيص BSD-3

🌟 الميزات

🛡️ وحدات فحص الأمان

1. CIS Docker Benchmark v1.7.0

فحص امتثال كامل بأكثر من 80 ضابطًا آليًا:

✅ أمان تكوين المضيف (13 فحصًا)
✅ تعزيز خادم Docker (18 فحصًا)
✅ صلاحيات الملفات والدلائل (9 فحوصات)
✅ أفضل ممارسات صور الحاويات (13 فحصًا)
✅ التحقق من أمان وقت التشغيل (31+ فحصًا)
✅ الامتثال لعمليات الأمان

2. كشف هجمات سلسلة التوريد 🆕

بناءً على حملات هجمات حقيقية لعام 2024:

✅ كشف الحاويات بدون صور - تحديد الحاويات الضارة بدون طبقات فعلية (تم العثور على 4 ملايين+ على Docker Hub)
✅ كشف عملات التعدين الخبيثة - كشف برامج التعدين الضارة (تم اكتشاف أكثر من 120 ألف سحب صورة ضارة)
✅ كشف المكتبات المخترقة - التعرف على التبعيات المخترقة (حوادث xz-utils, liblzma)
✅ التحقق من توقيع الصور - التحقق من التوقيعات باستخدام Notary/Cosign
✅ كشف المحتوى التصيدي - فحص التوثيق بحثًا عن الهندسة الاجتماعية
✅ وجهات الشبكة الخبيثة - التعرف على خوادم القيادة والتحكم (C2) ومجموعات التعدين وعُقد Tor

3. كشف الأسرار المتقدم 🔑

أكثر من 40 نمطًا للأسرار بما في ذلك واجهات برمجة التطبيقات الحديثة (تحديث 2024):

✅ مزوّدو الخدمات السحابية: بيانات اعتماد AWS، GCP، Azure
✅ أنظمة التحكم بالإصدارات: رموز GitHub، GitLab، Bitbucket
✅ واجهات الذكاء الاصطناعي/التعلم الآلي: مفاتيح OpenAI، Anthropic، Hugging Face
✅ الدفع: مفاتيح Stripe، PayPal، Square
✅ الاتصالات: رموز Slack، SendGrid، Twilio، Mailchimp
✅ المصادقة: رموز JWT، رموز OAuth
✅ التشفير: المفاتيح الخاصة (RSA، SSH، PGP، EC، DSA)، الشهادات
✅ قواعد البيانات: سلاسل اتصال PostgreSQL، MySQL، MongoDB
✅ Docker: رموز مصادقة السجل
✅ تحليل الإنتروبيا: حساب إنتروبيا شانون للأسرار غير المعروفة (عتبة >4.5)

4. فحص CVE والثغرات 🚨

كشف الثغرات الحرجة لعام 2024-2025:

✅ CVE-2024-21626 - هروب حاوية runc (CVSS 8.6)
✅ CVE-2024-23651 - تسمم ذاكرة التخزين المؤقت لـ BuildKit (CVSS 9.1)
✅ CVE-2024-23652 - حالة سباق BuildKit (CVSS 7.5)
✅ CVE-2024-23653 - تصعيد الامتيازات في BuildKit
✅ CVE-2024-8695/8696 - تنفيذ تعليمات برمجية عن بُعد في Docker Desktop (CVSS 8.8)
✅ CVE-2025-9074 - ثغرة الوصول المحلية في Docker Desktop
✅ كشف الصور الأساسية المنتهية الصلاحية
✅ فحص الحزم المعروفة الثغرات

5. تحليل أمان وقت التشغيل ⚙️

فحوصات تعزيز وقت تشغيل الحاوية:

✅ مراجعة قدرات Linux - كشف القدرات الخطيرة (CAP_SYS_ADMIN, CAP_NET_ADMIN، إلخ)
✅ التحقق من ملف تعريف Seccomp - التأكد من تمكين تصفية استدعاءات النظام
✅ فحوصات AppArmor/SELinux - التحقق من التحكم الإلزامي في الوصول
✅ كشف الحاويات المميزة - تحديد الحاويات ذات الوصول الكامل للمضيف
✅ عزل مساحة الاسم - فحوصات PID، IPC، الشبكة، مساحة اسم المستخدم
✅ مؤشرات هروب الحاوية - كشف تقنيات الهروب الشائعة

📊 التقارير والتكامل

JSON - مخرجات قابلة للقراءة آليًا للأتمتة
SARIF - تكامل أصلي مع:
- علامة التبويب الأمان في GitHub
- Azure DevOps
- إضافات VS Code
- لوحات أمان GitLab
واجهة سطر أوامر جميلة - مستويات خطورة ملونة بالرموز التعبيرية
رموز الخروج - متوافقة مع CI/CD (0=نظيف، 1=تحذيرات، 2=حرج)

🚀 الأداء

⚡ أسرع بـ10 مرات من بدائل Python
🔄 فحص متزامن باستخدام goroutines في Go
💾 بصمة ذاكرة منخفضة (~50-100MB)
📦 ملف ثنائي واحد - بدون تبعيات

🆕 ما الجديد في v2.0؟

DockerScan v2.0 هي إعادة كتابة كاملة من الصفر. إليك ما تغير من الإصدار v1.x:

التغييرات الرئيسية

الميزة	v1.x (Python)	v2.0 (Go)
اللغة	Python 3.5+	Go 1.21+
الأداء	~500 صورة/ساعة	~5000 صورة/ساعة
استخدام الذاكرة	200-500 MB	50-100 MB
التوزيع	pip install + تبعيات	ملف ثنائي واحد
ماسحات الأمان	وحدتان	5 وحدات
CIS Benchmark	جزئي	كامل v1.7.0 (أكثر من 80 فحصًا)
سلسلة التوريد	❌ غير متوفرة	✅ بناءً على أبحاث 2024
أنماط الأسرار	10 أنماط	أكثر من 40 نمطًا
كشف CVE	أساسي	CVEs لعام 2024-2025
أمان وقت التشغيل	❌ غير متوفرة	✅ مراجعة كاملة للقدرات
مخرجات SARIF	❌ غير متوفرة	✅ دعم كامل
التكامل مع CI/CD	يدوي	أصلي (رموز الخروج، SARIF)

ما تم الحفاظ عليه من v1.x

✅ الأدوات الهجومية - إمكانيات إقحام الصور (قريبًا في v2.1)
✅ عمليات السجل - عمليات الدفع والسحب والحذف (قريبًا في v2.1)
✅ فحص الشبكة - اكتشاف سجلات Docker (قريبًا في v2.1)

الجديد في v2.0.5 🔐

🔑 مصادقة السجل الخاص - دعم كامل لفحص الصور من السجلات الخاصة (إصلاح #24)
🌐 دعم عدة سجلات - Docker Hub، GHCR، ECR، GCR، ACR، GitLab، والسجلات المستضافة ذاتيًا
🔐 طرق مصادقة متعددة - متغيرات البيئة (CI/CD)، علامات سطر الأوامر (اختبار)، ملف تكوين Docker (سلس)
🎯 أولوية المصادقة الذكية - علامات سطر الأوامر > متغيرات البيئة > تكوين Docker (اختيار تلقائي)
📝 رسائل خطأ محسّنة - تلميحات خاصة بالسجل (انتهاء صلاحية رمز ECR، حدود المعدل، الشهادات)
🧪 اختبارات شاملة - 64 حالة اختبار، 91.2% تغطية، تم اختباره مع سجل خاص حقيقي
📚 توثيق كامل - أمثلة لجميع السجلات السحابية الرئيسية وطرق المصادقة

dockerscan

الأكثر شعبية