---

📑 Indice

• Panoramica
• Funzionalità
• Novità in v2.0
• Installazione
• Avvio rapido
• Utilizzo
  • Autenticazione registro privato
• Scanner di sicurezza
• Formati di output
• Casi d'uso
• Confronto con altri strumenti
• Architettura
• Contribuire
• Riferimenti
• Licenza
• Autore

---

🎯 Panoramica

DockerScan v2.0 è uno scanner di sicurezza di nuova generazione per container e immagini Docker, completamente riscritto in Go. Combina molteplici tecniche di scansione di sicurezza basate sulle ultime ricerche 2024-2025, standard di settore (CIS Benchmark, NIST SP 800-190) e pattern di attacco reali scoperti in ambienti di produzione.

Perché DockerScan v2.0?

• ✅ Più completo: Combina 5+ tecniche di scansione di sicurezza in un unico strumento
• ✅ Ricerca più recente: Basato su attacchi alla supply chain e CVE del 2024-2025
• ✅ Pronto per la produzione: Output SARIF per CI/CD, codici di uscita per automazione
• ✅ Veloce: Scritto in Go con scansione concorrente
• ✅ Estensibile: Architettura a plugin per scanner personalizzati
• ✅ Gratuito e open source: Licenza BSD-3

---

🌟 Funzionalità

🛡️ Moduli di scansione di sicurezza

1. CIS Docker Benchmark v1.7.0

Controllo completo della conformità con oltre 80 verifiche automatizzate:

• ✅ Sicurezza della configurazione host (13 controlli)
• ✅ Hardening del demone Docker (18 controlli)
• ✅ Permessi di file e directory (9 controlli)
• ✅ Best practice per immagini container (13 controlli)
• ✅ Validazione della sicurezza runtime (31+ controlli)
• ✅ Conformità delle operazioni di sicurezza

2. Rilevamento attacchi alla supply chain 🆕

Basato su campagne di attacco reali del 2024:

• ✅ Rilevamento container senza immagine - Identifica container malintenzionati senza layer reali (4M+ trovati su Docker Hub)
• ✅ Rilevamento miner di criptovalute - Individua malware miner (120K+ pull di immagini dannose rilevati)
• ✅ Rilevamento librerie backdoorate - Cattura dipendenze compromesse (incidenti xz-utils, liblzma)
• ✅ Verifica firma immagine - Convalida firme tramite Notary/Cosign
• ✅ Rilevamento contenuti phishing - Scansiona documentazione per ingegneria sociale
• ✅ Destinazioni di rete dannose - Identifica server C2, pool di mining, nodi Tor

3. Rilevamento avanzato di segreti 🔑

Oltre 40 pattern di segreti inclusi API moderni (aggiornamento 2024):

• ✅ Provider cloud: Credenziali AWS, GCP, Azure
• ✅ Controllo versione: Token GitHub, GitLab, Bitbucket
• ✅ API AI/ML: Chiavi OpenAI, Anthropic, Hugging Face
• ✅ Pagamenti: Chiavi Stripe, PayPal, Square
• ✅ Comunicazione: Chiavi Slack, SendGrid, Twilio, Mailchimp
• ✅ Autenticazione: Token JWT, token OAuth
• ✅ Crypto: Chiavi private (RSA, SSH, PGP, EC, DSA), certificati
• ✅ Database: Stringhe di connessione PostgreSQL, MySQL, MongoDB
• ✅ Docker: Token di autenticazione registry
• ✅ Analisi entropia: Calcolo entropia Shannon per segreti sconosciuti (soglia >4.5)

4. Scansione CVE e vulnerabilità 🚨

Rilevamento di CVE critici 2024-2025:

• ✅ CVE-2024-21626 - Escape container runc (CVSS 8.6)
• ✅ CVE-2024-23651 - Avvelenamento cache BuildKit RCE (CVSS 9.1)
• ✅ CVE-2024-23652 - Condizione di competizione BuildKit (CVSS 7.5)
• ✅ CVE-2024-23653 - Escalation privilegi BuildKit
• ✅ CVE-2024-8695/8696 - RCE Docker Desktop (CVSS 8.8)
• ✅ CVE-2025-9074 - Vulnerabilità accesso locale Docker Desktop
• ✅ Rilevamento immagini base fine vita
• ✅ Scansione pacchetti vulnerabili noti

5. Analisi della sicurezza in esecuzione ⚙️

Controlli di hardening runtime container:

• ✅ Audit capacità Linux - Rileva capacità pericolose (CAP_SYS_ADMIN, CAP_NET_ADMIN, ecc.)
• ✅ Validazione profilo Seccomp - Assicura che il filtraggio delle syscall sia abilitato
• ✅ Controlli AppArmor/SELinux - Verifica controllo accessi obbligatorio
• ✅ Rilevamento container privilegiati - Identifica container con accesso completo all'host
• ✅ Isolamento namespace - Controlli namespace PID, IPC, rete, utente
• ✅ Indicatori di escape container - Rileva tecniche di escape comuni

📊 Reporting e integrazione

• JSON - Output leggibile da macchina per automazione
• SARIF - Integrazione nativa con:
  • Scheda Sicurezza GitHub
  • Azure DevOps
  • Estensioni VS Code
  • Dashboard di sicurezza GitLab
• CLI accattivante - Livelli di gravità colorati con emoji
• Codici di uscita - Adatto per CI/CD (0=pulito, 1=avvisi, 2=critico)

🚀 Prestazioni

• ⚡ 10x più veloce rispetto ad alternative Python
• 🔄 Scansione concorrente con goroutine Go
• 💾 Bassa memoria (~50-100 MB)
• 📦 Singolo binario - Nessuna dipendenza

---

🆕 Novità in v2.0?

DockerScan v2.0 è una riscrittura completa da zero. Ecco cosa è cambiato rispetto a v1.x:

Modifiche principali

Caratteristica	v1.x (Python)	v2.0 (Go)
Linguaggio	Python 3.5+	Go 1.21+
Prestazioni	~500 immagini/ora	~5000 immagini/ora
Utilizzo memoria	200-500 MB	50-100 MB
Distribuzione	pip install + dipendenze	Singolo binario
Scanner di sicurezza	2 moduli	5 moduli
CIS Benchmark	Parziale	Completo v1.7.0 (80+ controlli)
Supply chain	❌ Non disponibile	✅ Basato su ricerca 2024
Pattern segreti	10 pattern	40+ pattern
Rilevamento CVE	Base	CVE 2024-2025
Sicurezza runtime	❌ Non disponibile	✅ Audit completo capacità
Output SARIF	❌ Non disponibile	✅ Supporto completo
Integrazione CI/CD	Manuale	Nativo (codici di uscita, SARIF)

Cosa è stato conservato dalla v1.x

• ✅ Strumenti offensivi - Capacità di trojanizzazione delle immagini (disponibili in v2.1)
• ✅ Operazioni registry - Operazioni push, pull, delete (disponibili in v2.1)
• ✅ Scansione rete - Scoperta registry Docker (disponibile in v2.1)

Novità in v2.0.5 🔐