欢迎来到starnight_cyber的博客

Docker安全扫描工具之docker-bench-security

简介

  Docker Bench for Security检查关于在生产环境中部署Docker容器的几十个常见最佳实践。这些测试都是自动化的,其灵感来自CIS Docker基准1.2.0版

  这种安全扫描类似于安全基线检查,对相应的项进行逐条核查,可以有效地规避一些安全风险。

用法一

  docker-bench-security有多种安装方式,同时也提供容器的使用方式,这样使用将更为方便,具体请参考。

  需预装Docker 1.13.0+版本和Docker-Compose。

# git clone https://github.com/docker/docker-bench-security.git
# cd docker-bench-security
# docker-compose run --rm docker-bench-security

  【注】貌似在国内网络环境,在连接一些站点时会有问题,上述安装是在VPS上进行的。

用法二[推荐]

  上面的方法最大的问题就是存在下载失败的情况,项目根目录下存在检测脚本,直接执行即可。

# cd docker-bench-security
# sudo sh docker-bench-security.sh      <<= 直接执行脚本即可

使用

  上述三步安装过程的最后一步,docker-compose run --rm docker-bench-security即会对系统中存在的Docker images进行检测,具体如下图所示。

  其中标红【WARN】是需要改进的,标绿【PASS】表示通过检测,【INFO】项的话,看需要是否进行调整。

  从检测结果上来看,docker-bench-security对容器的检测项较少,对Docker的一些基础配置项检测较为详细,可以配合其他工具进行使用,如Clair。

参考

  docker/docker-bench-security

posted @ 2019-11-12 17:15  starnight_cyber  阅读(...)  评论(...编辑  收藏