ClusterImageScanner

在生產環境中發現漏洞和容器镜像配置错误。

简介

ClusterImageScanner 能检测 Kubernetes 集群中的镜像，并根据各种安全测试提供快速反馈。建议在生产环境中运行 ClusterImageScanner，以便在安全漏洞产生实际影响时获得及时反馈。

由于 ClusterImageScanner 本身是运行在 Kubernetes 集群中的服务，你可以复用现有的部署流程。

概述

下图提供了概述： 执行以下步骤。

1. 镜像收集器，顾名思义，从容器环境（如 Kubernetes 集群）中收集不同的镜像。收集器创建一个 JSON 文件，包含集群、负责团队和镜像等信息。
2. 编排器（通过 ArgoWorkflows 实现）定期启动工作流（例如每晚）
3. 镜像获取器可以拉取来自收集器的镜像
4. 这些文件保存在单独的目录中，然后传递给扫描器
5. 使用多种扫描器，例如 Dependency Track、Lifetime、Malware 等。
6. 漏洞管理系统（本例中为 OWASP DefectDojo）随后收集结果。
7. 未响应的发现结果通过沟通渠道（Slack/邮件）提供给开发人员。

文档目录

• 用户文档
• 架构与决策
• 运维文档

视频（英文）：SDA SE CluserImageScanner 即将开源，2021年3月

镜像

ArgoWorkflows 使用的镜像已发布到 quay.io (2021-06-28)：

• cluster-image-scanner-scan-runasroot
• cluster-image-scanner-scan-distroless
• cluster-image-scanner-scan-lifetime
• cluster-image-scanner-scan-malware
• cluster-image-scanner-scan-new-version
• cluster-image-scanner-imagefetcher
• cluster-image-scanner-notifier
• cluster-image-scanner-imagecollector
• cluster-image-scanner-image-source-fetcher
• cluster-image-scanner-workflow-runner
• quay.io/sdase/image-metadata-collector
• quay.io/sdase/defectdojo-client

cluster-image-scanner-base 是所有 cluster-image-scanner-* 镜像的基础镜像。

镜像使用 buildah 构建。镜像启动时使用的环境参数通过 images 目录下 build.sh 脚本中的 --config 进行文档化。

贡献

我们期待您的贡献。在提交 Pull Request 之前，请查看我们的 贡献指南。

负责任的披露与安全

SECURITY.md 包含有关负责任的披露和安全补丁等安全相关主题的信息。

部署

测试

cd test_actions
export IS_MINIKUBE=true # if minikube is used
./setup.bash

生产环境

Helm 文件位于 deployment/helm。

法律声明

ClusterImageScanner 的目的不是取代渗透测试人员或使其过时。我们强烈建议由经验丰富的渗透测试人员对所有应用程序进行全面的测试。

ClusterImageScanner 仅用于对正在运行的应用程序/容器进行测试。你需要获得被扫描环境所属组织的书面同意，才能使用 ClusterScanner 扫描组件。

作者信息

该项目由 Signal Iduna 和 SDA SE 开发。