cr0hn/dockerscan最も包括的なDockerセキュリティスキャナー
DockerScan v2.0 は、Dockerコンテナとイメージ向けの次世代セキュリティスキャナーで、Goで完全に書き直されました。これは、最新の2024〜2025年の研究、業界標準（CIS Benchmark、NIST SP 800-190）、および本番環境で発見された実際の攻撃パターンに基づいた、複数のセキュリティスキャン技術を組み合わせています。
80以上の自動チェックによる完全なコンプライアンスチェック：
実際の2024年の攻撃キャンペーンに基づく：
最新のAPIを含む40以上のシークレットパターン（2024年更新）：
重要な2024〜2025年のCVE検出：
コンテナランタイムの堅牢化チェック：
DockerScan v2.0は、完全な書き直しです。v1.xからの変更点は以下の通りです：
--from-fileフラグ - ローカルファイルからのCVEデータベースインストール（オフライン/エアギャップ環境向け）-q） - CI/CDパイプラインでバナーを非表示プリコンパイル済みバイナリは、バージョンタグごとにGitHub Actionsで自動的にビルドおよびリリースされます。
サポート対象プラットフォーム：
curl -L https://github.com/cr0hn/dockerscan/releases/latest/download/dockerscan-linux-amd64 -o dockerscan chmod +x dockerscan sudo mv dockerscan /usr/local/bin/
#### Linux (arm64)```bash
curl -L https://github.com/cr0hn/dockerscan/releases/latest/download/dockerscan-linux-arm64 -o dockerscan
chmod +x dockerscan
sudo mv dockerscan /usr/local/bin/
curl -L https://github.com/cr0hn/dockerscan/releases/latest/download/dockerscan-darwin-amd64 -o dockerscan chmod +x dockerscan sudo mv dockerscan /usr/local/bin/
#### macOS (Apple Silicon)```bash
curl -L https://github.com/cr0hn/dockerscan/releases/latest/download/dockerscan-darwin-arm64 -o dockerscan
chmod +x dockerscan
sudo mv dockerscan /usr/local/bin/
Invoke-WebRequest -Uri "https://github.com/cr0hn/dockerscan/releases/latest/download/dockerscan-windows-amd64.exe" -OutFile "dockerscan.exe"
#### ダウンロードの検証（任意だが推奨）```bash
# Download checksums
curl -L https://github.com/cr0hn/dockerscan/releases/latest/download/checksums.txt -o checksums.txt
# Verify (Linux/macOS)
sha256sum -c checksums.txt --ignore-missing
git clone https://github.com/cr0hn/dockerscan cd dockerscan/dockerscan-v2
make build
sudo make install
go build -o bin/dockerscan ./cmd/dockerscan
### オプション 3: Go インストール```bash
go install github.com/cr0hn/dockerscan/v2/cmd/dockerscan@latest
スキャン前に、CVEデータベース（毎日更新、圧縮時約30MB）をダウンロードしてください：```bash
dockerscan update-db
> **ヒント**: データベースはGitHub Actionsにより毎日更新されています。最新のCVEデータを取得するには、定期的に`update-db`を実行してください。
### 基本スキャン```bash
# Scan a Docker image
dockerscan nginx:latest
# Scan with specific scanners
dockerscan --scanners cis,secrets ubuntu:22.04
# Scan and save reports
dockerscan alpine:latest --output /tmp/reports
# Quiet mode (suppress banner)
dockerscan -q nginx:latest
╔══════════════════════════════════════════════════════════════════════════╗ ║ ██████╗ ██████╗ ██████╗██╗ ██╗███████╗██████╗ ███████╗ ██████╗ █████╗ ███╗ ██╗ ║ ██╔══██╗██╔═══██╗██╔════╝██║ ██╔╝██╔════╝██╔══██╗██╔════╝██╔════╝██╔══██╗████╗ ██║ ║ ██║ ██║██║ ██║██║ █████╔╝ █████╗ ██████╔╝███████╗██║ ███████║██╔██╗ ██║ ║ ██║ ██║██║ ██║██║ ██╔═██╗ ██╔══╝ ██╔══██╗╚════██║██║ ██╔══██║██║╚██╗██║ ║ ██████╔╝╚██████╔╝╚██████╗██║ ██╗███████╗██║ ██║███████║╚██████╗██║ ██║██║ ╚████║ ║ ║ ║ Advanced Docker Security Scanner v2.0.0 ║ ║ ║ ║ Author: Daniel Garcia (cr0hn) ║ ║ Website: https://cr0hn.com ║ ╚══════════════════════════════════════════════════════════════════════════════════════╝
🔍 Scanning image: nginx:latest
═══════════════════════════════════════════════════════════════════ SCAN RESULTS ═══════════════════════════════════════════════════════════════════
📊 Summary: Total Findings: 47 Duration: 2.3s
🔴 By Severity: Critical: 8 High: 15 Medium: 18 Low: 6
📁 By Category: CIS-Benchmark: 12 Secrets: 8 Supply-Chain: 5 Vulnerability: 10 Runtime-Security: 12
📄 JSON report saved to: dockerscan-report.json 📄 SARIF report saved to: dockerscan-report.sarif
---
## 📖 使い方
### コマンドラインオプション```bash
dockerscan [COMMAND] [OPTIONS] <IMAGE>
Commands:
scan Scan a Docker image (default)
update-db Download or update the CVE database
Options: --from-file <path> Install from local SQLite file
version Show version information
help Show help message
Options:
-h, --help Show help message
-v, --version Show version
-q, --quiet Suppress banner output (quiet mode)
--scanners SCANNERS Comma-separated list of scanners to run
(default: all)
Options: cis,secrets,supplychain,vulnerabilities,runtime
--output DIR Output directory for reports (default: .)
--only-critical Show only critical/high severity findings
--verbose, -v Show scan progress (scanner names, findings count, image pull status). Output to stderr.
--debug Show verbose output plus internal errors and technical details. Output to stderr.
Authentication (for private registries):
--registry-user <username> Registry username
--registry-password <password> Registry password (not recommended, use env vars)
--registry <url> Registry URL (optional, auto-detected from image)
--docker-config <path> Path to Docker config file (default: ~/.docker/config.json)
Environment variables (recommended for CI/CD):
DOCKER_USERNAME or REGISTRY_USERNAME Registry username
DOCKER_PASSWORD or REGISTRY_PASSWORD Registry password or token
DOCKER_REGISTRY or REGISTRY Registry URL (optional)
Exit Codes:
0 No issues found
1 HIGH severity issues found
2 CRITICAL severity found
dockerscan myapp:latest
dockerscan --scanners secrets,supplychain redis:7
dockerscan --output /var/reports postgres:14
dockerscan --only-critical production-app:v1.0
dockerscan --verbose ubuntu:22.04
dockerscan --debug ubuntu:22.04
dockerscan ghcr.io/myorg/private-app:v1.0
### 🔐 プライベートレジストリ認証
DockerScanはプライベートレジストリへの認証に3つの方法をサポートしています:
#### 方法1: Docker構成ファイル（ローカル利用推奨）
最も便利な方法 - 既存のDocker認証情報を使用します:```bash
# First, authenticate with your registry using Docker
docker login ghcr.io
# Username: your-username
# Password: ghp_your-token-here
# Now DockerScan can use these credentials automatically
dockerscan ghcr.io/myorg/private-app:latest
DockerScan は自動的に ~/.docker/config.json から認証情報を読み取ります。これは docker login でログインしたすべてのレジストリで動作します。
資格情報ヘルパーは完全にサポートされています。 DockerScan は以下の方法で認証情報をネイティブに解決します：
credsStore — グローバルな資格情報ヘルパー（例：macOS の Docker Desktop では osxkeychain、Windows では wincred、Linux では pass）credHelpers — レジストリごとの資格情報ヘルパー（credsStore よりも優先される）config.json 内のプレーンテキスト auths ブロックにフォールバックしますmacOS の Docker Desktop では、追加設定なしでそのまま動作します：```json { "credsStore": "osxkeychain" }
DockerScanは透過的に`docker-credential-osxkeychain`を呼び出してトークンを取得するため、資格情報を明示的に渡す必要はありません。
#### 方法2: 環境変数（CI/CDに推奨）
自動化環境やCI/CDパイプラインに最適です：```bash
# Set environment variables
export DOCKER_USERNAME=myusername
export DOCKER_PASSWORD=mytoken
# Scan private image
dockerscan ghcr.io/myorg/private-app:latest
# Or use alternative variable names
export REGISTRY_USERNAME=myusername
export REGISTRY_PASSWORD=mytoken
dockerscan myregistry.example.com/app:v1.0
CI/CD の例 (GitHub Actions):```yaml
#### 方法3: コマンドラインフラグ (非推奨)
簡単なテスト専用です（プロセスリストに認証情報が表示されます）:```bash
dockerscan --registry-user myuser --registry-password mytoken ghcr.io/myorg/app:v1
セキュリティ警告: この方法では、シェルの履歴やプロセス一覧に認証情報が露出します。代わりに環境変数またはDocker configを使用してください。
docker login docker.io dockerscan myusername/private-repo:latest
export DOCKER_USERNAME=myusername export DOCKER_PASSWORD=dckr_pat_XXXXXXXXXXXXX dockerscan myusername/private-repo:latest
#### GitHub コンテナレジストリ (GHCR)```bash
# Using Docker config
echo $GITHUB_TOKEN | docker login ghcr.io -u USERNAME --password-stdin
dockerscan ghcr.io/myorg/myapp:v1.0
# Using environment variables
export DOCKER_USERNAME=myusername
export DOCKER_PASSWORD=ghp_XXXXXXXXXXXXXXXXXXXX
dockerscan ghcr.io/myorg/myapp:v1.0
aws ecr get-login-password --region us-east-1 |
docker login --username AWS --password-stdin
123456789012.dkr.ecr.us-east-1.amazonaws.com
dockerscan 123456789012.dkr.ecr.us-east-1.amazonaws.com/myapp:latest
export DOCKER_USERNAME=AWS export DOCKER_PASSWORD=$(aws ecr get-login-password --region us-east-1) dockerscan 123456789012.dkr.ecr.us-east-1.amazonaws.com/myapp:latest
#### Google Container Registry (GCR) / Artifact Registry```bash
# Authenticate with gcloud
gcloud auth configure-docker gcr.io
# Scan GCR image
dockerscan gcr.io/my-project/myapp:latest
# For Artifact Registry
gcloud auth configure-docker us-docker.pkg.dev
dockerscan us-docker.pkg.dev/my-project/my-repo/myapp:latest
# Or use service account JSON key
export DOCKER_USERNAME=_json_key
export DOCKER_PASSWORD="$(cat service-account-key.json)"
dockerscan gcr.io/my-project/myapp:latest
az acr login --name myregistry
dockerscan myregistry.azurecr.io/myapp:v1.0
export DOCKER_USERNAME= export DOCKER_PASSWORD= dockerscan myregistry.azurecr.io/myapp:v1.0
#### GitLab コンテナレジストリ```bash
# Using Docker config
docker login registry.gitlab.com
dockerscan registry.gitlab.com/mygroup/myproject/myapp:latest
# Using environment variables with deploy token
export DOCKER_USERNAME=gitlab+deploy-token-1
export DOCKER_PASSWORD=DEPLOY_TOKEN_HERE
dockerscan registry.gitlab.com/mygroup/myproject/myapp:latest
docker login myregistry.example.com:5000 dockerscan myregistry.example.com:5000/myapp:latest
export DOCKER_USERNAME=admin export DOCKER_PASSWORD=secret dockerscan myregistry.example.com:5000/myapp:latest
### 認証のトラブルシューティング
#### よくある問題
**1. 「authentication required」エラー**```bash
# Make sure you're logged in
docker login <registry>
# Or set environment variables
export DOCKER_USERNAME=your-username
export DOCKER_PASSWORD=your-token
2. 「unauthorized: authentication failed」エラー
3. AWS ECR 「authorization token has expired」```bash
aws ecr get-login-password --region us-east-1 |
docker login --username AWS --password-stdin
123456789012.dkr.ecr.us-east-1.amazonaws.com
**4. Docker Hubのレート制限**
- レート制限を上げるために認証を行う (無料アカウントは6時間あたり200プル)
- より高い制限のためにはDocker Hub Proアカウントの利用を検討
**5. 自己署名証明書による証明書エラー**
- CA証明書をシステムのトラストストアに追加
- またはレジストリを信頼するようにDockerを設定 (Dockerドキュメントを参照)
---
## 🔍 セキュリティスキャナ
### CIS Dockerベンチマーク
CIS Dockerベンチマーク v1.7.0に対する自動コンプライアンスチェック:```bash
dockerscan --scanners cis nginx:latest
チェック内容:
:latestではない）実際のサプライチェーン攻撃を検出：```bash dockerscan --scanners supplychain suspicious-image:1.0
検出:
- イメージなしコンテナ（ドキュメントのみの攻撃）
- 暗号通貨マイナー（xmrig、claymoreなど）
- バックドア化されたライブラリ（xz-utilsのケース）
- 署名なし/未検証のイメージ
- ドキュメント内のフィッシング試行
- マイニングプール、C2サーバーへの接続
### シークレット検出
ハードコードされたシークレットを見つける:```bash
dockerscan --scanners secrets webapp:prod
検出:
既知のCVEを検出:```bash dockerscan --scanners vulnerabilities node:16
チェック対象：
- 重大なDocker CVE（2024-2025年）
- コンテナエスケープ脆弱性
- BuildKit RCE脆弱性
- サポート終了ベースイメージ
- 脆弱なパッケージ
### 実行時セキュリティ
実行時設定を監査する：```bash
dockerscan --scanners runtime running-container
分析:
{ "target": { "image_name": "nginx:latest" }, "start_time": "2024-11-22T10:30:00Z", "findings": [ { "id": "CIS-4.1", "title": "Container should not run as root", "severity": "HIGH", "category": "CIS-Benchmark", "description": "Running containers as root increases attack surface...", "remediation": "Use USER instruction in Dockerfile..." } ], "summary": { "total_findings": 47, "by_severity": { "CRITICAL": 8, "HIGH": 15 } } }
### SARIF 出力
GitHub Security、Azure DevOps、VS Code と互換性があります:```json
{
"$schema": "https://raw.githubusercontent.com/oasis-tcs/sarif-spec/master/Schemata/sarif-schema-2.1.0.json",
"version": "2.1.0",
"runs": [
{
"tool": {
"driver": {
"name": "DockerScan",
"version": "2.0.0"
}
},
"results": [...]
}
]
}
GitHub Actions:```yaml name: Docker Security Scan
on: [push]
jobs: security-scan: runs-on: ubuntu-latest steps: - uses: actions/checkout@v3
- name: Build Docker image
run: docker build -t myapp:${{ github.sha }} .
- name: Install DockerScan
run: |
curl -L https://github.com/cr0hn/dockerscan/releases/latest/download/dockerscan-linux-amd64 -o dockerscan
chmod +x dockerscan
- name: Update CVE Database
run: ./dockerscan update-db
- name: Run Security Scan
run: ./dockerscan -q myapp:${{ github.sha }}
- name: Upload SARIF results
uses: github/codeql-action/upload-sarif@v2
with:
sarif_file: dockerscan-report.sarif
**GitLab CI:**```yaml
docker-security-scan:
stage: test
script:
- docker build -t $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA .
- wget https://github.com/cr0hn/dockerscan/releases/latest/download/dockerscan-linux-amd64 -O dockerscan
- chmod +x dockerscan
- ./dockerscan update-db
- ./dockerscan -q $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
artifacts:
reports:
sast: dockerscan-report.sarif
for image in $(docker images --format "{{.Repository}}:{{.Tag}}"); do echo "Scanning $image..." dockerscan $image --output /audit-reports/ done
cat /audit-reports/*.json | jq -s ' { total_images: length, total_findings: map(.summary.total_findings) | add, critical_findings: map(.summary.by_severity.CRITICAL // 0) | add } '
### 3. **デプロイ前の検証**```bash
# Fail deployment if critical issues found
dockerscan production-app:v2.0
exit_code=$?
if [ $exit_code -eq 2 ]; then
echo "❌ Critical vulnerabilities found. Deployment blocked."
exit 1
elif [ $exit_code -eq 1 ]; then
echo "⚠️ High severity issues found. Manual review required."
# Send notification...
else
echo "✅ No critical issues. Proceeding with deployment."
fi
dockerscan --scanners cis --only-critical all-production-images:* > cis-compliance-report.txt
0 0 * * 0 /usr/local/bin/dockerscan --scanners cis,vulnerabilities production-images:latest --output /compliance/weekly/
### 5. **開発者ワークフロー**```bash
# Pre-commit hook
#!/bin/bash
# .git/hooks/pre-commit
docker build -t local-test:latest .
dockerscan --only-critical local-test:latest
if [ $? -ne 0 ]; then
echo "❌ Docker security scan failed. Fix issues before committing."
exit 1
fi
dockerscan/ ├── logo.png # Project logo ├── cmd/ │ ├── dockerscan/ # Main CLI application │ │ └── main.go │ └── nvd2sqlite/ # CVE database builder tool │ └── main.go ├── data/ # CVE database (auto-updated daily) │ ├── latest.db.gz # Compressed SQLite database │ └── metadata.json # Database version info ├── internal/ │ ├── scanner/ # Extensible scanner framework │ │ ├── scanner.go # Scanner interface & registry │ │ ├── cis/ # CIS Benchmark implementation │ │ ├── secrets/ # Secrets detection │ │ ├── supplychain/ # Supply chain attacks │ │ ├── vulnerabilities/ # CVE scanning │ │ └── runtime/ # Runtime security │ ├── report/ # Report generators │ │ ├── json.go # JSON reporter │ │ └── sarif.go # SARIF reporter │ ├── models/ # Data models │ │ └── models.go # Findings, scan results, etc. │ └── config/ # Configuration │ └── config.go # App config & banner └── pkg/docker/ # Docker client wrapper └── client.go
### CVEデータベース & nvd2sqliteツール
DockerScanはCVE検索にローカルのSQLiteデータベースを使用します。データベースはGitHub Actionsを介して**毎日自動更新**され、リポジトリ内にホストされているため、常に最新のCVEデータにアクセスできます。
#### データベースの特徴
- 🗄️ **構築済みデータベース** - すぐに使用可能、手動セットアップ不要
- 🔄 **毎日更新** - GitHub Actionが毎日00:00 UTCにデータベースを更新
- 📅 **2.5年間のCVEデータ** - 2022年半ばから現在までのCVEをカバー
- ⚡ **高速検索** - 最適化されたインデックスを持つSQLite
- 🌐 **GitHubでホスト** - `update-db`コマンドで自動ダウンロード
#### データベースの更新```bash
# Download latest database from GitHub (recommended)
dockerscan update-db
# Install from local file (for air-gapped/offline environments)
dockerscan update-db --from-file /path/to/cve-db.sqlite
注記:
dockerscanを初めて実行すると、データベースのダウンロードを促されます。その後はupdate-dbで定期的に更新できます。
上級者向け: NVD から直接 CVE データベースを構築できます。```bash
make build # Builds both dockerscan and nvd2sqlite
./bin/nvd2sqlite --output data/cve-db.sqlite --verbose
NVD_API_KEY=your-key ./bin/nvd2sqlite --output data/cve-db.sqlite --verbose
./bin/nvd2sqlite --output data/cve-db.sqlite
--start-date 2023-01-01
--end-date 2024-12-31
**nvd2sqlite の機能:**
- ⚡ **4つの並列ダウンロードワーカー**による高速ダウンロード
- 🔄 **レート制限（HTTP 429）に対する指数バックオフ付き自動リトライ**
- 📦 **一時ディレクトリにダウンロード**し、その後順次処理
- 🗄️ **SQLite出力**（高速検索のためのインデックス付きテーブル）
---
### 拡張性
新しいスキャナを追加するのは簡単です:```go
package myscan
import (
"context"
"github.com/cr0hn/dockerscan/v2/internal/models"
"github.com/cr0hn/dockerscan/v2/internal/scanner"
)
type MyScanner struct {
scanner.BaseScanner
}
func NewMyScanner() *MyScanner {
return &MyScanner{
BaseScanner: scanner.NewBaseScanner(
"my-scanner",
"Description of my scanner",
true, // enabled
),
}
}
func (s *MyScanner) Scan(ctx context.Context, target models.ScanTarget) ([]models.Finding, error) {
var findings []models.Finding
// Your scanning logic here...
return findings, nil
}
// Register in main.go:
// registry.Register(myscan.NewMyScanner())
貢献は大歓迎です！DockerScan は拡張可能な設計になっています。
git checkout -b feature/amazing-scanner)internal/scanner/ にスキャナーを追加しますgit commit -am 'Add amazing scanner')git push origin feature/amazing-scanner)git clone https://github.com/cr0hn/dockerscan cd dockerscan/dockerscan-v2
make deps
make test
make coverage
make build
make fmt
make lint
### 新しいスキャナーの追加
特に以下の統合を歓迎します：
- 脆弱性データベース（NVD、GitHub Security Advisories）との統合
- Kubernetes セキュリティスキャン
- コンテナレジストリのセキュリティ
- Docker Compose セキュリティ分析
- IaC スキャン（Dockerfile）
---
## 📚 参考文献
### 規格とベンチマーク
- [CIS Docker Benchmark v1.7.0](https://www.cisecurity.org/benchmark/docker) - Center for Internet Security
- [NIST SP 800-190](https://csrc.nist.gov/publications/detail/sp/800-190/final) - Application Container Security Guide
- [OWASP Docker Security Cheat Sheet](https://cheatsheetseries.owasp.org/cheatsheets/Docker_Security_Cheat_Sheet.html)
### 研究とCVE
- [4M Malicious Imageless Containers](https://thehackernews.com/2024/04/millions-of-malicious-imageless.html) - The Hacker News, April 2024
- [Supply Chain Attacks Using Container Images](https://www.aquasec.com/blog/supply-chain-threats-using-container-images/) - Aqua Security
- [CVE-2024-21626: runc Container Escape](https://nvd.nist.gov/vuln/detail/CVE-2024-21626) - NIST NVD
- [CVE-2024-23651: BuildKit RCE](https://nvd.nist.gov/vuln/detail/CVE-2024-23651) - NIST NVD
- [xz-utils Backdoor (March 2024)](https://www.openwall.com/lists/oss-security/2024/03/29/4) - OpenWall
### ツールとプロジェクト
- [Trivy](https://github.com/aquasecurity/trivy) - 脆弱性スキャナー
- [Docker Bench Security](https://github.com/docker/docker-bench-security) - CISベンチマークスクリプト
- [Cosign](https://github.com/sigstore/cosign) - コンテナの署名と検証
- [SARIF仕様](https://docs.oasis-open.org/sarif/sarif/v2.1.0/sarif-v2.1.0.html) - 静的解析結果フォーマット
---
## 📄 ライセンス
このプロジェクトは **DockerScan Proprietary Source-Available License** の下でライセンスされています。
### これが意味すること
✅ **あなたは（無料で）可能です：**
- DockerScan を**無料で**内部セキュリティスキャンに使用する
- **CI/CDパイプライン**やセキュリティワークフローで使用する
- **修正、フォーク、コミュニティへの貢献**
- **教育および研究**目的で使用する
- **プロフェッショナルサービス（コンサルティング、セキュリティ監査、ペネトレーションテスト）のツール**として使用する
- **補助的コンポーネント**として他の製品に統合する
❌ **（明示的な書面による許可または商用ライセンスなしでは）できません：**
- **Dockerスキャンを商用SaaSとして提供する**
- DockerScanの**ホスト型インスタンスを販売する**
- DockerScanを主な基盤とする**商用プラットフォームを構築する**
- DockerScanを主要提供物とする**有料マネージドサービスを創設する**
### なぜこのライセンスなのか？
このライセンスは、プロジェクトの持続可能性を以下の方法で保護します：
- ✅ 正当な目的でソフトウェアを使用する**自由**を与える
- ❌ 企業が貢献することなくサービスとして提供して利益を得る**有害なフリーライディング**を防止する
- 💰 競合する用途に対する商用ライセンスを通じてプロジェクトが**持続可能**であることを確保する
- 🔓 透明性とコミュニティ貢献のために**ソースコードを利用可能**に保つ
**これはオープンソースではありません** - 商用競争的使用に制限のある**ソースアベイラブル**です。
### 商用ライセンス
**必要な場合：**
- SaaSまたはホスト型提供
- DockerScanを主要機能として使用する商用プラットフォーム
- 商用製品としての再販または再配布
- DockerScanを中核提供物とするマネージドサービス
**商用ライセンスに関する連絡先：**
📧 Email: cr0hn [at] cr0hn.com
🌐 Website: https://cr0hn.com
💼 企業およびスタートアップ向けの柔軟なライセンス条件
完全な法的条件については [LICENSE](https://github.com/cr0hn/dockerscan/blob/HEAD/LICENSE) ファイルを参照してください。
---
## 👤 作者
<div align="center">
### **Daniel Garcia (cr0hn)**
[](https://cr0hn.com)
[](https://github.com/cr0hn)
[](https://twitter.com/ggdaniel)
**セキュリティ研究者 | オープンソース開発者 | Dockerセキュリティエキスパート**
</div>
---
## 🙏 謝辞
特に感謝します：
- Dockerセキュリティコミュニティ
- Dockerベンチマークを提供するCIS
- SP 800-190を提供するNIST
- 2024年のサプライチェーン攻撃を発見したセキュリティ研究者
- DockerScanのすべての貢献者とユーザー
---
## 📞 サポート
- **Issues**: [GitHub Issues](https://github.com/cr0hn/dockerscan/issues)
- **Discussions**: [GitHub Discussions](https://github.com/cr0hn/dockerscan/discussions)
- **セキュリティ**: 脆弱性は [email protected] に報告してください
---
<div align="center">
**⭐ DockerScanが便利だと思ったら、リポジトリにスターを付けてください！ ⭐**
*Dockerセキュリティを誰にでもアクセス可能に*
[⬆ トップに戻る](#-dockerscan-v20)
</div>
| 機能 | v1.x (Python) | v2.0 (Go) |
|---|
| 言語 | Python 3.5+ | Go 1.21+ |
| パフォーマンス | 〜500イメージ/時間 | 〜5000イメージ/時間 |
| メモリ使用量 | 200-500 MB | 50-100 MB |
| 配布方法 | pip install + 依存関係 | 単一バイナリ |
| セキュリティスキャナー | 2モジュール | 5モジュール |
| CIS Benchmark | 部分対応 | 完全版v1.7.0（80+チェック） |
| サプライチェーン | ❌ 未対応 | ✅ 2024年の研究に基づく |
| シークレットパターン | 10パターン | 40+パターン |
| CVE検出 | 基本 | 2024-2025年のCVE |
| ランタイムセキュリティ | ❌ 未対応 | ✅ 完全なケイパビリティ監査 |
| SARIF出力 | ❌ 未対応 | ✅ 完全サポート |
| CI/CD統合 | 手動 | ネイティブ（終了コード、SARIF） |
| 機能 | DockerScan v2.0 | Trivy | Clair | Snyk | Grype |
|---|
| CIS Benchmark v1.7 | ✅ フル（80以上のチェック） | ❌ | ❌ | 部分対応 | ❌ |
| サプライチェーン検出（2024） | ✅ 対応 | ❌ | ❌ | ❌ | ❌ |
| シークレットスキャン | ✅ 40以上のパターン | 基本 | ❌ | ✅ | ❌ |
| CVEデータベース | ✅ 2024-2025のCVE | ✅ | ✅ | ✅ | ✅ |
| ランタイムセキュリティ | ✅ フル | ❌ | ❌ | ❌ | ❌ |
| SARIF出力 | ✅ | ✅ | ❌ | ✅ | ✅ |
| 速度（Go） | ⚡ 非常に高速 | ⚡ 非常に高速 | 🐌 低速 | ⚡ 高速 | ⚡ 非常に高速 |
| 拡張性 | ✅ プラグインシステム | 限定的 | 限定的 | ❌ | 限定的 |
| 終了コード | ✅ CI/CD対応 | ✅ | 部分対応 | ✅ | ✅ |
| コスト | 🆓 無料 | 🆓 無料 | 🆓 無料 | 💰 有料プラン | 🆓 無料 |
| オフラインモード | ✅ | ✅ | ❌ | ❌ | ✅ |
| ライセンス | プロプライエタリ（ソース公開） | Apache-2.0 | Apache-2.0 | プロプライエタリ | Apache-2.0 |