Whalescan

NCC Group Plc によってオープンソースとして公開 - https://www.nccgroup.com/

Saira Hassan（@saiber_saira）によって開発

https://github.com/nccgroup/whalescan

Apache ライセンス 2.0 の下で公開されています。詳細は LICENSE を参照してください

はじめに

Whalescan は Windows コンテナ向けの脆弱性スキャナで、複数のベンチマークチェックを実行するとともに、コンテナ上の CVE/脆弱性のあるパッケージをチェックします。また、設定ファイルと Docker ファイルの設定ミスもチェックします。このツールは、Windows コンテナレビューの一環として、コンテナのローカルコピーに対して、またホスト自体のセキュリティを強化するために使用できます。

セットアップ

git clone https://github.com/saira-h/whalescan

pip install -r requirements.txt

./main.py

概要

Whalescan はコンテナに対して以下のチェックを実行します:

• コンテナチェック

  • コンテナが C: ドライブの下に保存されているかチェックします。DoS 攻撃があった場合、 C: ドライブが埋まりホストが応答しなくなるため、問題が発生する可能性があります
  • コンテナがプロセスとして実行されているか、Hyper-V として実行されているかをチェックします。Hyper-V 分離により、コンテナのセキュリティが強化されます
  • コンテナに保留中の更新があるかどうか、またある場合はその更新方法をチェックします

  

• イメージチェック

  • dockerfile で安全でないコマンドが使用されていないかをチェックします。例えば、docker COPY の代わりに docker ADD が使用されている場合などです。