Whalescan

NCC Group Plc によってオープンソースとして公開 - https://www.nccgroup.com/

Saira Hassan（@saiber_saira）によって開発

https://github.com/nccgroup/whalescan

Apache ライセンス 2.0 の下で公開されています。詳細は LICENSE を参照してください

はじめに

Whalescan は Windows コンテナ向けの脆弱性スキャナで、複数のベンチマークチェックを実行するとともに、コンテナ上の CVE/脆弱性のあるパッケージをチェックします。また、設定ファイルと Docker ファイルの設定ミスもチェックします。このツールは、Windows コンテナレビューの一環として、コンテナのローカルコピーに対して、またホスト自体のセキュリティを強化するために使用できます。

セットアップ

git clone https://github.com/saira-h/whalescan

pip install -r requirements.txt

./main.py

概要

Whalescan はコンテナに対して以下のチェックを実行します:

• コンテナチェック

  • コンテナが C: ドライブの下に保存されているかチェックします。DoS 攻撃があった場合、 C: ドライブが埋まりホストが応答しなくなるため、問題が発生する可能性があります
  • コンテナがプロセスとして実行されているか、Hyper-V として実行されているかをチェックします。Hyper-V 分離により、コンテナのセキュリティが強化されます
  • コンテナに保留中の更新があるかどうか、またある場合はその更新方法をチェックします

  

• イメージチェック

  • dockerfile で安全でないコマンドが使用されていないかをチェックします。例えば、docker COPY の代わりに docker ADD が使用されている場合などです。
  • ダウンロードされたファイルに対してハッシュ検証が実行されているかをチェックします。
  • コンテナ上に脆弱性のあるパッケージがあるかチェックし、関連する CVE 情報を取得します
  • 使用されている .NET バージョンが End Of Life かどうかをチェックします
  • Docker Engine が更新されているかチェックし、更新されていない場合は、使用中のバージョンの CVE リストを収集します

  

• Docker 設定ファイルの権限をチェックします

• 追加のデバイスがコンテナにマッピングされているかチェックします