सार्वजनिक OCI-इमेज सुरक्षा जाँचकर्ता

यह क्या है?

PISC (सार्वजनिक OCI-इमेज या डॉकर-इमेज सुरक्षा जाँचकर्ता) एक कमांड-लाइन उपकरण है जो OCI कंटेनर इमेज की सुरक्षा का आकलन करने के लिए है।
यदि निम्नलिखित में से कोई भी शर्त पूरी होती है तो कोड 1 के साथ बाहर निकलता है:

मैलवेयर 🍄 (एक्सप्लॉइट्स 🐙, हैक-टूल्स 👾, बैकडोर 🐴, क्रिप्टो-माइनर्स 💰, आदि 💩) virustotal द्वारा
शोषणीय गंभीर कमजोरियाँ 🐞 trivy, grype, epss और inthewild.io द्वारा
इमेज गलत कॉन्फ़िगरेशन 🐳 जैसे CVE-2024-21626
पुरानी निर्माण तिथि 📆
गैर-संस्करण टैग ⚓ (latest, आदि)

इसका उपयोग निजी वातावरण में चलाने या CI/CD पाइपलाइन में बेस इमेज के रूप में उपयोग करने से पहले सार्वजनिक OCI इमेज की सुरक्षा की स्वचालित रूप से जाँच करने के लिए किया जा सकता है।

sample

रिलीज़ यहाँ:

Usage: scan.sh [flags] [-i IMAGE | -f FILE | --tar TARFILE] Flags: -d, --date Check image age against threshold (default: 365 days). --d-days <int> Custom threshold for build date check (in days). Example: '--d-days 180'. -e, --exploits Check for vulnerabilities with known exploits (using Trivy + Grype + inthewild.io + empiricalsecurity.com). --epss-and Use AND logic to combine EPSS score and exploit presence. If disabled, OR logic is applied (default: OR). --epss-min <float> Minimum EPSS score threshold used for filtering vulnerabilities (default: 0.5). -f, --file <string> Batch scan images from file. Example: '-f images.txt'. -h, --help Display this help message. --ignore-errors Ignore errors from external tools and continue execution. -i, --image <string> Single image to scan. Example: '-i r0binak/mtkpi:v1.4'. -l, --latest Detect non-versioned tags (e.g., ':latest'). -m, --misconfig Scan for dangerous build misconfigurations. --offline-feeds Use a self-contained offline image with pre-downloaded vulnerability feeds (e.g., :latest-feeds). --scanner [trivy|grype|all] Choose which scanner to use: Trivy, Grype, or both (default: all) --severity-min <string> Minimal severity of vulnerabilities [UNKNOWN|LOW|MEDIUM|HIGH|CRITICAL] default [HIGH] --show-exploits Show exploit details --tar <string> Scan local TAR archive of image layers. Example: '--tar /path/to/private-image.tar'. --trivy-server <string> Trivy server endpoint URL. Example: '--trivy-server http://trivy.something.io:8080'. --trivy-token <string> Authentication token for Trivy server. Example: '--trivy-token 0123456789abZ'. -v, --version Display version. --virustotal-key <string> VirusTotal API key for malware scanning. Example: '--virustotal-key 0123456789abcdef'. --vulners-key <string> Vulners.com API key (alternative to inthewild.io). Example: '--vulners-key 0123456789ABCDXYZ'. Additional Notes: - To authenticate with a registry, refer to 'scan-download-unpack.sh#L14'. - To configure exclusions for specific CVEs or other criteria, see 'check-exclusion.sh#L5'.

# test malware image - https://github.com/ruzickap/malware-cryptominer-container ./scan.sh --virustotal-key <virustotal-api-key> -i peru/malware-cryptominer-container ════════════════════════════════════════ 🍄 peru/malware-cryptominer-container >>> virustotal detected malicious file layer:42467519 https://www.virustotal.com/gui/file/42467519cb14e8ef1b80db6b3e91e652fdd56a2cfc44f1a9278f4237434ff9a8 https://www.virustotal.com/gui/file/f935a501fb24a47ee77c966898a05f197bcfe0f5f2338ce5a3425c2b9b6a3a46 usr/share/nginx/html/eicar/eicar.com.txt 66/69 🧬 virus.eicar/test usr/share/nginx/html/eicar/eicarcom2.zip 55/65 🧬 virus.eicar/test usr/share/nginx/html/malware/ILOVEYOU.vbs 47/58 🐛 worm.loveletter/scriptworm usr/share/nginx/html/malware/Invoke-ConPtyShell.ps1 24/62 👾 hacktool.boxter/powershell usr/share/nginx/html/malware/L0Lz.bat 41/61 🐴 trojan.disabler/joke usr/share/nginx/html/malware/Linux.Trojan.Multiverze.elf.x86 44/67 🐴 trojan.gafgyt/mirai usr/share/nginx/html/malware/MadMan.exe 37/63 🧬 virus.madman usr/share/nginx/html/malware/Melissa.doc 58/62 🧬 virus.melissa/w97m usr/share/nginx/html/malware/Py.Trojan.NecroBot.py 33/64 🐴 trojan.python/necrobot usr/share/nginx/html/malware/Trojan.Java.Fractureiser.MTB.jar 32/65 🐴 trojan.java/fractureiser usr/share/nginx/html/malware/TrojanSpy.MacOS.XCSSET.A.bin 44/63 🐴 trojan.xcsset/xtesc usr/share/nginx/html/malware/Txt.Malware.Sustes.sh 37/62 💰 miner.zojfor/shell usr/share/nginx/html/malware/Unix.Downloader.Rocke.sh 38/62 🐴 trojan.zojfor/shell usr/share/nginx/html/malware/Unix.Malware.Kaiji.elf.arm 40/67 🐴 trojan.kaiji/ddos usr/share/nginx/html/malware/Unix.Trojan.Mirai.elf.m68k 44/67 🐴 trojan.mirai/bootnet usr/share/nginx/html/malware/Unix.Trojan.Mirai.elf.mips 46/63 🐴 trojan.mirai/gafgyt usr/share/nginx/html/malware/Unix.Trojan.Mirai.elf.ppc 47/66 🐴 trojan.gafgyt/mirai usr/share/nginx/html/malware/Unix.Trojan.Mirai.elf.sparc 44/66 🐴 trojan.mirai/gafgyt usr/share/nginx/html/malware/Unix.Trojan.Mirai.elf.x86_64 40/63 🐴 trojan.mirai/gafgyt usr/share/nginx/html/malware/Unix.Trojan.Spike.elf.arm 43/63 🐴 trojan.dofloo/rootkit usr/share/nginx/html/malware/Walker.com 42/62 🧬 virus.walker/abraxas usr/share/nginx/html/malware/WannaCry.exe 66/72 🔑 trojan.wannacryptor/wannacry usr/share/nginx/html/malware/Win.Trojan.Perl.perl 36/60 💩 Malware.Generic-Script.Save.169b6505 usr/share/nginx/html/malware/Zloader.xlsm 44/67 🐴 trojan.esls/zloader usr/share/nginx/html/xmrig/xmrig 43/64 💰 miner.xmrig/lkoez

pisc

सबसे लोकप्रिय

उपयोग

तैयारी

डॉकर के माध्यम से त्वरित आरंभ

ऑफ़लाइन फीड के साथ डॉकर-इमेज के माध्यम से त्वरित आरंभ

सामान्य आरंभ

CI पाइपलाइनों में उपयोग

उपयोग के मामले