DockSec

AI-संचालित Docker सुरक्षा स्कैनर जो कमजोरियों को सरल अंग्रेजी में समझाता है

DockSec क्या है?

DockSec एक OWASP लैब प्रोजेक्ट है जो जटिल सुरक्षा स्कैन परिणामों और डेवलपर के लिए कार्रवाई योग्य सुधारों के बीच की खाई को पाटता है। यह उद्योग-मानक स्कैनरों (Trivy, Hadolint, Docker Scout) को AI के साथ एकीकृत करके संदर्भ-जागरूक सुरक्षा विश्लेषण प्रदान करता है।

आपको 200+ CVEs की सूची से अभिभूत करने के बजाय, DockSec:

• प्राथमिकता देता है कि वास्तव में आपके विशिष्ट कंटेनर सेटअप को क्या प्रभावित करता है।
• सरल अंग्रेजी में कमजोरियों की व्याख्या करता है, केवल सुरक्षा शब्दजाल में नहीं।
• आपके Dockerfile के लिए विशिष्ट सुधार सुझाता है।
• आपकी टीम के लिए पेशेवर, इंटरैक्टिव सुरक्षा रिपोर्ट तैयार करता है।

सब कुछ स्थानीय रूप से स्कैन होता है; आपकी मशीन से केवल वह (गोपनीय-हटाई गई) फ़ाइल सामग्री बाहर जाती है जो आपके चुने हुए AI प्रदाता को भेजी जाती है - और स्थानीय मॉडल या केवल-स्कैन मोड के साथ, कुछ भी बाहर नहीं जाता है। देखें डेटा प्रवाह और गोपनीयता।

यह कैसे काम करता है

DockSec चार-चरणीय पाइपलाइन का पालन करता है:

1. स्कैन: आपके वातावरण में Trivy, Hadolint, और Docker Scout को स्थानीय रूप से चलाता है।
2. विश्लेषण: AI सभी स्कैनरों के निष्कर्षों को सहसंबंधित करता है ताकि शोर हटे और वास्तविक दुनिया का प्रभाव आंका जाए।
3. अनुशंसा: मानव-पठनीय स्पष्टीकरण और विशिष्ट सुधारात्मक कदम उत्पन्न करता है।
4. रिपोर्ट: कार्रवाई योग्य परिणामों को HTML, PDF, JSON, CSV, SARIF, और CycloneDX SBOM के रूप में निर्यात करता है।

आरंभ करना

1. पूर्वापेक्षाएँ

DockSec स्थानीय स्कैनरों को व्यवस्थित करता है, इसलिए इसे चाहिए:

या DockSec को अपने लिए Trivy और Hadolint इंस्टॉल करने दें:```bash python -m docksec.setup_external_tools

3. अपना पहला स्कैन चलाएँ

स्थानीय स्कैनिंग के लिए किसी API key की आवश्यकता नहीं है:```bash docksec Dockerfile --scan-only

प्रत्येक प्रदाता के पास एक उचित डिफ़ॉल्ट मॉडल है (OpenAI: gpt-4o, Anthropic: claude-haiku-4-5, Google: gemini-1.5-pro, Ollama: llama3.1), इसलिए --model वैकल्पिक है। फ़्लैग्स को दोहराने से बचने के लिए, पर्यावरण चर सेट करें (या उन्हें एक .env फ़ाइल में उस निर्देशिका में रखें जहाँ से आप चलाते हैं - DockSec इसे स्वचालित रूप से लोड करता है):```bash export LLM_PROVIDER=anthropic export LLM_MODEL=claude-sonnet-5 docksec Dockerfile

सामान्य कमांड्स```bash

Scan Dockerfile + Docker image (AI + scanners)

docksec Dockerfile -i myapp:latest

Scan a Docker Compose file and all its services

docksec --compose docker-compose.yml

Scan only a Docker image

docksec --image-only -i myapp:latest

Fast local scan, no AI, no API key

docksec Dockerfile --scan-only

Choose which severity levels the image scan reports (default: CRITICAL,HIGH)

docksec -i myapp:latest --image-only --severity CRITICAL,HIGH,MEDIUM

Fail the build (exit 1) if any finding is HIGH or above

docksec -i myapp:latest --image-only --fail-on high

Write only the report formats you want, to a directory of your choice

docksec Dockerfile --scan-only --format json,html --output-dir ./reports

Print results as JSON to stdout for scripts and CI pipelines

docksec -i myapp:latest --image-only --json

Write a SARIF report for GitHub Code Scanning

docksec Dockerfile --scan-only --sarif

Write a CycloneDX SBOM of an image for supply-chain tooling

docksec --image-only -i myapp:latest --sbom

Fully offline scan: local Trivy DB, no network, no AI

docksec --image-only -i myapp:latest --offline

Save today's findings as a baseline, then only gate on new findings later

docksec -i myapp:latest --image-only --baseline .docksec-baseline.json --update-baseline docksec -i myapp:latest --image-only --baseline .docksec-baseline.json --fail-on high

Suppress triaged findings with an auditable ignore file

docksec -i myapp:latest --image-only --ignore-file .docksec-ignore.yml

Force a fresh scan, bypassing the results cache

docksec -i myapp:latest --image-only --no-cache

Install AI-assistant skill files (Claude Code, Cursor, Copilot, and more)

docksec install-skill

Output control

docksec Dockerfile --scan-only --quiet # warnings, errors, summary only docksec Dockerfile --scan-only --verbose # INFO-level diagnostics on stderr docksec Dockerfile --scan-only --verbose --log-file logs/docksec.log docksec Dockerfile --no-color # also honors NO_COLOR

हर सेटिंग वैकल्पिक है; जो भी आप छोड़ देते हैं वह पर्यावरण चर पर वापस आ जाता है और फिर अंतर्निहित डिफ़ॉल्ट पर। एक पूर्ण एनोटेटेड उदाहरण examples/.docksec.yml में है।

प्राथमिकता

सबसे अधिक प्राथमिकता पहले:``` CLI flag > environment variable > .docksec.yml > built-in default

अकेले --json के साथ, कोई रिपोर्ट फ़ाइल नहीं लिखी जाती; इसे --format के साथ संयोजित करें ताकि फ़ाइलें लिखें और उसी रन में JSON प्रिंट करें। --json मोड में सभी मानव-पठनीय संदेश stderr पर चले जाते हैं, इसलिए stdout में केवल JSON पेलोड ही होता है।

GitHub Code Scanning के लिए SARIF आउटपुट

--sarif अन्य रिपोर्ट प्रारूपों के साथ एक SARIF 2.1.0 रिपोर्ट लिखता है। इसे मानक github/codeql-action/upload-sarif एक्शन के साथ अपलोड करें ताकि निष्कर्ष सीधे पुल रिक्वेस्ट पर और Security टैब में एनोटेटेड दिखें:```yaml

• name: Run DockSec uses: OWASP/[email protected] with: dockerfile: 'Dockerfile' sarif: 'true'

• name: Upload SARIF to GitHub Code Scanning uses: github/codeql-action/upload-sarif@v3 if: always() with: sarif_file: ~/.docksec/results

निष्कर्षों का मिलान भेद्यता ID, लक्ष्य और पैकेज नाम से किया जाता है, इसलिए बेसलाइन तब भी मान्य बनी रहती है जब असंबंधित निष्कर्ष आते-जाते रहते हैं। जब भी आप वर्तमान स्थिति को नई बेसलाइन के रूप में स्वीकार करना चाहें, --update-baseline के साथ इसे दोबारा चलाएँ।

निष्कर्षों को अनदेखा करना (छूट)

--ignore-file FILE उन व्यक्तिगत निष्कर्षों को दबाता है जिन्हें किसी टीम ने जाँच-परख कर स्वीकार किया है। बेसलाइन (एक समय-बिंदु स्नैपशॉट) के विपरीत, इग्नोर फ़ाइल एक स्पष्ट, समीक्षा-योग्य सूची है जिसमें हर प्रविष्टि में एक कारण और एक वैकल्पिक समाप्ति तिथि होती है। यदि वर्तमान निर्देशिका में .docksec-ignore.yml फ़ाइल मौजूद है, तो यह स्वचालित रूप से लोड हो जाती है।```yaml

.docksec-ignore.yml

ignores:

• id: CVE-2023-45853 # Trivy vulnerability ID or DockSec rule ID reason: "zlib CVE; code path not reachable, vendor fix pending" expires: 2026-12-31 # optional; entry stops applying after this date
• id: compose-missing-healthcheck reason: "healthchecks are handled by the orchestrator"

--sbom को एकल इमेज (-i) की आवश्यकता होती है, इसलिए इसे compose runs के लिए छोड़ दिया जाता है। --sarif की तरह, यह --format से स्वतंत्र है।

डेटा प्रवाह और गोपनीयता

DockSec को इस तरह डिज़ाइन किया गया है कि आपको हमेशा पता रहे कि आपकी मशीन से क्या बाहर जाता है:

• स्कैनिंग पूरी तरह स्थानीय है। Trivy, Hadolint, और सुरक्षा स्कोर आपकी मशीन पर चलते हैं। इमेज सामग्री को DockSec द्वारा कहीं भी अपलोड नहीं किया जाता।
• AI विश्लेषण केवल स्कैन की गई फ़ाइल भेजता है। जब AI पास चलता है, तो Dockerfile या compose फ़ाइल की सामग्री (स्कोरिंग के लिए भेद्यता गणना का एक संक्षिप्त सारांश भी) आपके कॉन्फ़िगर किए गए LLM प्रदाता को भेजी जाती है। और कुछ नहीं भेजा जाता।
• गोपनीय जानकारी (secrets) बाहर जाने से पहले हटा दी जाती है। फ़ाइल में गोपनीय दिखने वाले मान (पासवर्ड, टोकन, API कुंजियाँ, निजी कुंजी ब्लॉक) AI प्रदाता को सामग्री भेजे जाने से पहले मास्क कर दिए जाते हैं। कुंजी के नाम दिखाई देते रहते हैं ताकि उजागर हुए क्रेडेंशियल अभी भी चिह्नित हों। ऑप्ट आउट करने के लिए --no-redact का उपयोग करें।
• पूरी तरह से स्थानीय AI समर्थित है। AI विश्लेषण को अपने हार्डवेयर पर रखने के लिए --provider ollama उपयोग करें, या AI को पूरी तरह छोड़ने के लिए --scan-only / --offline उपयोग करें।
• कोई टेलीमेट्री नहीं। DockSec कोई उपयोग डेटा एकत्र नहीं करता और कहीं कोई सूचना नहीं भेजता।

ऑफ़लाइन मोड

--offline बिना किसी नेटवर्क एक्सेस के स्कैन चलाता है। यह पहले से डिस्क पर मौजूद Trivy vulnerability डेटाबेस का उपयोग करता है (कोई DB अपडेट नहीं) और AI विश्लेषण तथा Docker Scout advanced स्कैन को छोड़ देता है, दोनों को नेटवर्क की आवश्यकता होती है। यह एयर-गैप्ड या locked-down वातावरण में स्कैन करने का सबसे सरल तरीका है:```bash docksec --image-only -i myapp:latest --offline

यह निम्नलिखित बनाता या अद्यतन करता है:

• .claude/commands/docksec.md (Claude Code स्लैश कमांड /docksec)
• .cursor/rules/docksec.mdc (Cursor)
• AGENTS.md (Codex CLI), GEMINI.md (Gemini CLI)
• .github/copilot-instructions.md (GitHub Copilot)

ये फ़ाइलें सादा टेक्स्ट हैं जिन्हें आप समीक्षा करके कमिट कर सकते हैं; कुछ भी निष्पादित नहीं होता। कमांड को दोबारा चलाने से DockSec अनुभाग को डुप्लिकेट करने के बजाय उसी स्थान पर अद्यतन किया जाता है।

विशेषताएँ

• स्मार्ट विश्लेषण: AI बताता है कि कमज़ोरियाँ आपके विशिष्ट सेटअप के लिए क्या मायने रखती हैं।
• मल्टी-LLM समर्थन: OpenAI, Anthropic Claude, Google Gemini, या Ollama के माध्यम से स्थानीय मॉडल।
• गोपनीयता सर्वप्रथम: कोई भी सामग्री AI प्रदाता तक पहुँचने से पहले गुप्त मान छिपा दिए जाते हैं, स्कैनिंग पूरी तरह स्थानीय होती है, और कोई टेलीमेट्री नहीं होती।
• Docker Compose स्कैनिंग: ऑर्केस्ट्रेशन-स्तर की गलत कॉन्फ़िगरेशन का पता लगाएँ और कंपोज़ फ़ाइल में सभी सेवाओं को स्कैन करें।
• गहन एकीकरण: Trivy (कमज़ोरियाँ), Hadolint (लिंटिंग), और Docker Scout को जोड़ता है।
• सुरक्षा स्कोरिंग: समय के साथ अपनी सुरक्षा स्थिति को ट्रैक करने के लिए रेटिंग के साथ 0-100 का स्कोर।
• समृद्ध प्रारूप: HTML (इंटरैक्टिव), PDF, JSON, CSV, SARIF, और CycloneDX SBOM।
• CI/CD के लिए तैयार: --fail-on एग्ज़िट कोड, बेसलाइन/रैचेट मोड, ऑडिट करने योग्य छूट, JSON-to-stdout, और Marketplace पर एक GitHub Action।
• ऑफ़लाइन मोड: स्थानीय Trivy डेटाबेस का उपयोग करके पूरी तरह एयर-गैप्ड (--offline) स्कैन करें।
• AI-सहायक कौशल: docksec install-skill Claude Code, Cursor, Copilot, और अन्य को सिखाता है कि आपके रिपो में DockSec कैसे चलाएँ।

DockSec की तुलना

DockSec इनमें से एकमात्र ऐसा उपकरण है जो संदर्भित Dockerfile सुधार को पूरी तरह ओपन सोर्स, OWASP-शासित, स्थानीय रूप से चलाने योग्य डिज़ाइन के साथ जोड़ता है। Snyk और Aikido सक्षम AI सुधार प्रदान करते हैं, लेकिन केवल व्यावसायिक क्लाउड प्लेटफ़ॉर्म के रूप में जो आपका डेटा उनकी सेवा में भेजते हैं। Trivy ओपन सोर्स और स्थानीय है, लेकिन यह पहचान पर ही रुक जाता है और किसी भी चीज़ को ठीक करने में आपकी मदद नहीं करता। DockSec उन डेवलपर्स और विनियमित या एयर-गैप्ड टीमों के लिए अंतर को भरता है जिन्हें सुधार मार्गदर्शन और उनके डेटा पर पूर्ण नियंत्रण दोनों की आवश्यकता होती है, बिना किसी लागत के।

रोडमैप

DockSec किस दिशा में आगे बढ़ रहा है, यह देखने के लिए ROADMAP.md देखें: स्थानीय Docker डेमन के बिना रजिस्ट्री स्कैनिंग, एक रिपो-स्तरीय नीति कॉन्फ़िग फ़ाइल, Jenkins/GitLab/Azure DevOps टेम्पलेट, एक आधिकारिक कंटेनर इमेज, Kubernetes और Helm स्कैनिंग, और बहुत कुछ। प्राथमिकताओं पर प्रतिक्रिया और वोटों का issues में और OWASP Slack पर स्वागत है।

योगदान

DockSec सामुदायिक योगदानों से फलता-फूलता है। चाहे आप डेवलपर हों, डिज़ाइनर हों, या सुरक्षा उत्साही हों, इसमें शामिल होने के कई तरीके हैं:

• कोड योगदान: बग ठीक करें या नई सुविधाएँ जोड़ें।
• दस्तावेज़ीकरण: गाइड में सुधार करें या ट्यूटोरियल बनाएँ।
• समस्या रिपोर्टिंग: बग की पहचान करें और रिपोर्ट करें।
• प्रतिक्रिया: अपने अनुभव और सुझाव साझा करें।

आरंभ करने के लिए, हमारे Contributing Guidelines, Code of Conduct, और Sponsorship Guide देखें।

नेतृत्व और समुदाय

DockSec का नेतृत्व एक समर्पित टीम करती है जो कंटेनर सुरक्षा को सुलभ बनाने के लिए प्रतिबद्ध है:

• Advait Patel - प्रोजेक्ट लीड
• Arkadii Yakovets - प्रोजेक्ट सह-लीड

हमें यहाँ खोजें:

• OWASP प्रोजेक्ट पेज: owasp.org/DockSec/
• OWASP Slack: #project-docksec
• PyPI: pypi.org/project/docksec/
• समस्याएँ: बग रिपोर्ट करें
• Changelog: CHANGELOG.md