圖片來源: 

Aqua

日前容器資安新創Aqua釋出了一款免費的映像檔掃描工具MicroScanner,相比付費版本,MicroScanner的應用情境較為陽春,僅能在Dockerfile執行建置階段時進行掃描工作。而在近日,Aqua也補強此款漏洞掃描工具的功能,推出免費映像檔掃描套件支援Jenkins。Aqua目前已經把該Jenkins套件,公開在GitHub頁面。Aqua表示,使用此功能前,必須滿足兩個條件。首先,必須將Docker與Jenkins,安裝在同一臺主機上。第二個條件,Jenkins使用者必須被加入Docker群組,擁有執行Docker的權限。

完成安裝MicroScanner與Jenkins套件後,就能將容器映像檔掃描服務整合至持續整合流程,當容器映像檔經過建置流程時,會透過MicroScanner掃描,如果發現該映像檔存在漏洞,映像檔建置工作就會失敗。藉此,確保部署至正式環境中的映像檔,都有一定安全性。此外,使用者也可以整合Jenkins與HTML,漏洞掃描工作完成後,相關報告輸出成HTML頁面。

想要使用該套件的開發者,必須先取得一組Token,完成安裝、組態設定後,輸入該組Token啟動MicroScanner。圖片來源:Aqua

安裝完畢後,MicroScanner就可以整合至開發建置流程。當該工具發現映像檔存在嚴重漏洞時,使用者可以選擇產生報告,並且繼續允許通過建置。或是產生系統報告,並且讓系統無法完成建置工作。圖片來源:Aqua

開發者還可以把MicroScanner插入Build Step腳本。圖片來源:Aqua

當MicroScanner被整合至Build Step後,以後開發者使用Jenkins進行自動化建置工作時,系統也會自動執行容器映像檔掃描。圖片來源:Aqua

當映像檔完成掃描後,MicroScanner會判讀該映像檔的風險程度,並且列出該映像檔中存在的漏洞數目。圖片來源:Aqua

在掃描報告中點選「漏洞」選項,系統會列出更多漏洞細節,包含漏洞的CVE編號、風險程度。除了已有CVE編號的漏洞,其他被軟體廠商揭露,但是尚未列入編號的漏洞,一旦MicroScanner掃出該漏洞存在,也會在該清單中列出。圖片來源:Aqua


Advertisement

更多 iThome相關內容