- 综合排序
- 最热优先
- 最新优先
- 来自专栏运维研习社
开源镜像仓库Harbor的镜像安全
之前介绍过Harbor，从安装部署到简单使用，今天这里就不再重复介绍了，有需要的可以跳转到'Harbor 功能强大的企业级私有仓库'查看，今天主要介绍Harbor的安全功能——镜像漏洞扫描 Harbor 自动进行扫描，通过定义部署安全级别，阻止某些安全级别的镜像，上传到Harbor，这部分配置在项目配置中 ? 新建项目，在项目中的配置管理里面进行漏洞扫描的配置，分别配置是否阻止潜在漏洞镜像，按照危害级别进行阻止，勾选自动扫描镜像，即在镜像上传的时候进行扫描，我们勾选，上传镜像测试 ? ，有时候有一些CVE我们想要忽略，就是这个CVE代号的漏洞，不在我们考虑的安全范围内，我们可以通过设置CVE白名单来进行忽略 CVE白名单分两种，一种是项目白名单，一种是系统白名单，在项目中的配置管理中进行配置 项目白名单，就直接在项目中进行配置，添加cve对应的cveid，并设置过期时间即可 系统白名单，需要在系统管理——配置管理——系统设置——部署安全性中进行添加 ?
3K20发布于 2020-06-12 - 来自专栏Bypass
镜像安全扫描工具
镜像安全扫描是确保云原生环境安全非常重要和基础的一个环节，通过镜像安全扫描可以检测容器镜像中的漏洞，避免攻击者植入恶意代码，快速响应漏洞，从而降低安全风险。 本文分享两个比较常用的镜像安全扫描工具，它们可以帮助我们识别容器镜像中的漏洞和弱点。 1、Trivy Trivy是一个全面的多功能安全扫描器，支持在容器镜像、Kubernetes、代码存储库、AWS中查找漏洞、错误配置、敏感信息和密钥、SBOM等。 github项目地址： https://github.com/chaitin/veinmind-tools.git （1）安装 veinmind-runner，使用平行容器启动脚本扫描本地镜像。 /run.sh scan image nginx:latest （2）下载单一工具veinmind-backdoor，扫描本地镜像中的后门。
1.1K30编辑于 2023-11-07 容器安全-镜像扫描
前言容器镜像安全是云原生应用交付安全的重要一环，对上传的容器镜像进行及时安全扫描，并基于扫描结果选择阻断应用部署，可有效降低生产环境漏洞风险。 容器安全面临的风险有：镜像风险、镜像仓库风险、编排工具风险，小德今天就跟大家聊一聊镜像风险中的镜像扫描。 镜像扫描是什么？ 镜像扫描就是遍历所有镜像中的文件系统，逐个检查软件包（Package）是否包含安全漏洞。例如，假设定义了“高”的阀值，如果发现某镜像内含有危险程度为“高”的安全漏洞，将拒绝所有对该镜像的拉取请求。 伴随着容器的流行，它也成为黑客攻击的对象，容器安全受到重视。在容器安全方面，镜像安全是保护容器安全的基础，镜像扫描是解决镜像安全问题的基础手段。针对镜像风险问题，有效提升镜像扫描能力是关键。 方案3：蜂巢自带镜像检测蜂巢的镜像检查能力已经覆盖到开发、测试等多个环节中，可快速发现镜像中存在的漏洞、病毒木马、Webshell等镜像风险。
1K10编辑于 2024-04-27- 来自专栏JFrog杰蛙DevOps
你的镜像安全吗？
私有注册中心可以让您获得更完善的镜像的管理方式，并且通常提供更高级的功能，可以帮助确保库存安全。 例如： l 复杂的镜像扫描工具，用于识别威胁和未修补的漏洞。 相比之下，诸如Docker Hub之类的公共注册表一般仅提供基本服务-您必须信任镜像发布者，而镜像发布者可能未遵循相同的高安全标准。 这样，您最终可能会得到包含恶意或过时代码的镜像，并最终获得对数据泄露敞开大门的容器环境。 3. 保持镜像最小化 镜像越大，受到攻击的可能性越大。 3.png 优化Dockerfile和.dockerignore中的镜像 接下来，您需要创建一个Dockerfile来为容器构建简化镜像。这将由基础镜像层和自己的镜像层组成。 /app"] 验证镜像完整性 改善容器安全状况的另一种方法是在将镜像从Docker Hub中拉出之前进行验证。 Docker守护程序默认在不检查其完整性的情况下拉取Docker映像。
2.4K20发布于 2021-01-08 - 来自专栏CNCF
Flux项目谈安全：镜像来源
关于 Flux 项目谈安全的博客系列的下一篇文章将介绍我们如何以及为什么要为 Flux CLI 及其所有控制器镜像使用签名，以及你可以在工作流中做些什么来验证镜像来源。 自 Flux 0.26 以来，我们的安全文档添加了以下内容： The Flux CLI and the controllers' images are signed using Sigstore[1] 我们很高兴向你介绍这一点，并鼓励你在工作流程中使用它，以使你的集群更加安全。但是，让我们把上面这一节所说的全部内容都分解一下。 为什么要在一开始就签署发布工件？ XeFT4rb3PQGwS4IajtLk3/OlnpgangaBclYpsYBr5i+4ynB07ceb3LP0OIOZdxex X69c5iVuyJRQ+Hz05yi 这只是我们为确保你们的安全而采取的又一项措施。
1.3K30编辑于 2022-03-28 - 来自专栏开源部署
Docker 的镜像并不安全！
后来，研究加密摘要系统的时候——Docker用这套系统来对镜像进行安全加固——我才有机会更深入的发现，逻辑上整个与镜像安全相关的部分具有一系列系统性问题。 而C语言不是一门内存安全的语言。这意味着C程序的恶意输入，在这里也就是Docker镜像的XZ Utils解包程序，潜在地存在可能会执行任意代码的风险。 要改进Docker镜像下载系统的安全问题，我认为应当有以下措施： 摒弃tarsum并且真正对镜像本身进行验证 出于安全原因tarsum应当被摒弃，同时，镜像在完整下载后、其他步骤开始前，就对镜像的加密签名进行验证 这个问题不仅仅是生态问题，还是一个终端用户的安全问题。针对第三方仓库的全方位、去中心化的安全模型既必须又迫切。我希望Docker公司在重新设计他们的安全模型和镜像认证系统时能采纳这一点。 结论 Docker用户应当意识到负责下载镜像的代码是非常不安全的。用户们应当只下载那些出处没有问题的镜像。
1.3K20编辑于 2022-07-04 - 来自专栏亨利笔记
Docker镜像详谈(3): 镜像内容存放在哪里？
题图摄于王府井：圣诞灯饰 编者注：继上周《Docker镜像详谈(2): 深入理解镜像大小》文章之后，本周介绍容器镜像在宿主机存放的方式。 大家可以回忆一下《Docker镜像详谈(1): 容器的文件系统》中，关于空镜像的生成部分，其中提到「更新镜像的 json 文件」。 镜像内容的完整性与动态内容的缺失 Docker 镜像的 json 文件可以认为是镜像的元数据信息，其重要性不言而喻，本系列将在下一篇文章重点分析 Docker 镜像 json 文件。 倘若可以一窥 Docker 中的真实环境，相信对于镜像技术的理解定会有不少的帮助。 我们直奔主题，从 Docker 镜像的存储入手，看看这些镜像层文件内容与镜像 json 文件分别存储于何处。 的 4 个镜像层内容，以及每个镜像层内的一级目录情况。
9.3K10发布于 2019-04-12 - 来自专栏python3
GNS3 建立ASA镜像
在option选项中找到Qemu，在asa中如图设置，Qemu选项填写内容附在附件中，内核执行命令也在附件中。
88710发布于 2020-01-08 - 来自专栏frytea
nexus3 上传 docker 镜像
nexus3 上传 docker 镜像# docker login 192.168.25.8:8082 docker tag xxxx 192.168.25.8:8082/repository/cloud-docker systemctl daemon-reload systemctl restart docker 推送第一个镜像# # 首先在客户端登陆 $ docker login 192.168.25.8:8082
84320编辑于 2023-10-21 - 来自专栏信达雅
OpenShift 的容器镜像（第 3 部分）：使您的镜像易用
会议的主要内容包括了在创建运行于 OpenShift 上的镜像时，需要考虑事项和最佳实践。第三部分重点介绍如何让应用程序开发人员或发布经理创造出更容易使用的镜像。 7.4：每次推送次版本 7.4 的新版本时，用户都会得到最新的镜像。子镜像将会自动获取修补程序。 7.4-81：用户将不会得到更新。 也有少数人，在开发阶段，希望任何时候都可以使用最新的镜像。 文档 使镜像易于使用的另一个方面显然是文档。用户指南肯定是功德无量的，但在镜像本身或 OpenShift 级别上也大有可为。 在 Dockerfile 中暴露重要的端口也提供了关于如何运行镜像和应用程序该如何连接的重要信息。 与公开卷相同。镜像使用者会意识到数据在镜像内被写入也可能需要被持久化。 您可能已经在汇编脚本中定义了应用程序的编译和镜像的配置。在镜像采集（参见本系列的第2部分）中可以提供镜像库和驱动程序的灵活性， 但仍然允许镜像用户通取代它的一些逻辑。
1.4K60发布于 2018-01-10 - 来自专栏idba
利用 docker 构建 Python3 镜像
客户侧的机器上默认是 Python 2.7.5 ，没有标准的 Python3 环境，而且不能联网，也就不能方便的使用 yum 工具安装 Python3 和其他相关依赖的包 和相关模块。 解决 其实最开始是 惯性思维 逐步通过找包的方式 初始化 Python3 的环境，经过一番尝试，依赖太多解决 ，yum 源又不完整，故想到使用 docker打包 Python 项目成镜像文件的方式。 /src/test.py"] 2 生成Docker镜像 在dockerfile所在的目录下运行 docker build -t my_python:3.6 . 3 启动容器 docker run /digglerz/python3.8 3 把安装好依赖运行的容器docker commit 重新提交镜像 docker run -itd f1f9f4c5559e bash 把 requirements.txt 最后对比两个方法的 docker 镜像的文件大小，方法一 的镜像文件大小为 970MB,方法二的镜像文件大小为230MB
5.1K20编辑于 2022-05-17 - 来自专栏frytea
debmirror 镜像 nexus3 apt 仓库
nexus3 没有很好的目录重命名方法。 使用 apt-mirror 镜像会出错，实测 debmirror 没问题。 镜像仓库# 为了使用 debmirror 镜像你的 Nexus3 APT 仓库，请按照以下步骤操作： 首先确保你已经安装了 debmirror。 /pve-arm/ 这个命令将从 http://192.168.25.8:8081/repository/test-apt-host 镜像别名为 bullseye 的发行版中 arm64 架构的相关 apt 等待 debmirror 完成镜像过程。这可能需要一段时间，具体取决于仓库的大小。 完成这些步骤后，你应该在本地 ./pve-arm/ 目录中找到镜像的仓库。
93220编辑于 2023-10-21 - 来自专栏∑小熊猫的博客
Docker 系列(3) —— 切换 Docker 镜像源
Docker 添加国内镜像源 windows 版 Step1 打开 Docker for windows { "registry-mirrors": [ "https://7bezldxe.mirror.aliyuncs.com
17.3K20发布于 2021-02-22 - 来自专栏仁扬笔记
Composer 镜像原理 (3) —— 完结篇
相关文章 Composer 镜像原理 (1) —— 初识 Composer Composer 镜像原理 (2) —— composer.json Composer 镜像原理 (3) —— 完结篇 上一篇文章 提到的哈希值, 将会在这篇文章揭晓, 看完这篇文章, 也将会清楚地了解 Composer 镜像的工作原理. " }, "p/provider-2015$%hash%.json":{ "sha256":"3bd588c60bfd7845a93af3f834dd2f45b975cd70a8cb8d4ea3b1dd40c9859454
总结, 一个 Composer 镜像服务器, 由 入口配置, 组件哈希, composer.json 这三部分组成. 拆开看完发现蛮简单的. 相关文章 Composer 镜像原理 (1) —— 初识 Composer Composer 镜像原理 (2) —— composer.json Composer 镜像原理 (3) —— 完结篇 文章来源于本人博客29800编辑于 2023-06-21 - 来自专栏快乐八哥
Docker基于已有的镜像制新的镜像-Docker for Web Developers(3)
2.上传镜像到Docker Hub 如果未登录Docker Hub，需要登录Docker Hub docker login #输入用户名和密码 推送镜像到Docker Hub docker push IMAGE-NAME 在Docker Hub上可以查看到我们刚刚上传的镜像文件，因为这个镜像是公开的，所以现在所有人都能够docker pull获取该镜像。 ? 3.获取上传的镜像并运行 因为我使用的是同一台Ubuntu机器，我本地已经有了bage88/firstimage这个镜像，我先要删除该镜像，然后再获取。 3.1 删除镜像 #### 删除镜像 docker rmi IMAGE_NAME 提示如下错误，有基于该镜像的容器在运行，所以我先要删除这个容器，再删除镜像。 firstimage@sha256:dc8a6511903cdcd25cf2d9de76a1c9ba21c050bb7702525fb3e1ba0168071481 Deleted: sha256:31758d7d9e60b3c77bad4f477faae5e9dc87d3d5d16a085263f2f6de58a381ad
1.3K50发布于 2018-01-18 - 来自专栏WalkingCloud
CentOS7.9安全加固镜像制作流程梳理
CentOS7.9安全加固镜像制作流程梳理 1、先准备一台CentOS7.9虚拟机 准备虚拟机用于后面脚本的优化 ? (图片可放大查看) 确定好分区方案 ? (图片可放大查看) 3、YUM软件源配置 YUM源及EPEL源设置 4、常用软件包的安装 例如vim lrzsz bash-completion net-tools wget git ? ，需要初始环境作为沙盘来进行反复测试与验证加固脚本 5、编写安全加固脚本 脚本需要从诸如账号管理，口令策略，授权管理，服务管理，配置管理，网络管理，权限管理等多个角度提高CentOS Linux的安全性 例如SSH的一些安全加固项 ? (图片可放大查看) 6、借助云厂商的基线检查自动化工具进行验证 上传安全加固脚本并执行 ? (图片可放大查看) ? 2）删除相关基线检查自动化工具 3）删除加固脚本 等等清理操作，总之保证制作镜像前环境是干净的 8、关闭虚拟机制作镜像 关闭虚拟机制作镜像 ?
1.6K40发布于 2021-07-15 - 来自专栏CNCF
Artifact Hub 的容器镜像扫描和安全报告
---- 作者：Matt Farina 当试图决定使用哪些制品时，了解一些关于制品安全性的信息是很有用的。 Helm Charts Helm charts 的情况，就像基于 OLM 的操作器一样，可以选择进行镜像扫描和提供报告。下面的tavern[3] chart 提供了一个示例，说明了一份没有漏洞的报告。 它是如何工作的 安全报告是使用Trivy[5]和定期扫描生成的。扫描仪检查未扫描的镜像。7 天前最后一次扫描的镜像会被重新扫描，即使没有更改包。这将使报告显示新发现的 CVE 的检测。 有些镜像无法被扫描，比如在一个 scratch 容器中使用二进制文件的镜像，或者使用 latest 标记的镜像。在这些情况下，将不显示报告。 你可以在文档中了解有关安全报告[6]的更多信息。 2] Starboard Operator: https://artifacthub.io/packages/olm/community-operators/starboard-operator [3]
1.6K30发布于 2021-01-27 - 来自专栏云鼎实验室的专栏
腾讯云百万容器镜像安全治理运营实践
3.为什么基础镜像的安全性很重要 3.1 基础镜像来源渠道广 我们知道，在镜像的构建和使用流程中，最原始的基础镜像通常包含以下一些类别： 首先就是操作系统类的基础镜像，包括常见的busybox镜像、alpine 根据《腾讯云容器安全白皮书》[1]、《容器安全在野攻击调查》[2]的数据显示，近 一年内发现的供应链恶意镜像中（图3 横坐标为镜像上线时间，纵坐标为下载数量），python、logstash、java类的基础软件镜像下载数量最大 图3 镜像供应链影响分布 假冒的恶意基础镜像种类大致分三种：1、编程语言开发环境；2、基础应用环境（wordpress、mondb 等）；3、机器学习相关套件。 基础镜像的安全治理是容器镜像安全治理最重要的环节之一，基础镜像的安全风险收敛对于镜像的安全风险收敛有着重大的意义。 6.参考文献 https://mp.weixin.qq.com/s/k8YYgxO4nXYhgY_lr7zgBg https://mp.weixin.qq.com/s/oynjO8Q3IgZJt21HwxxMgA
2.4K40编辑于 2022-04-26 - 来自专栏云云众生s
清洁的容器镜像：供应链安全革命
供应链安全 初创公司 Chainguard 在过去四年多的时间里，一直试图改变开发者和企业看待和使用 容器镜像 以及其中包含的 开源组件 的方式。 借助这项新功能，组织可以更好地量化使用 Chainguard 的无 CVE 镜像所带来的工程、安全和财务效益。 开发者已经习惯了他们的镜像中存在漏洞这一事实。Dunn 说这没有道理，他将其与在没有农业部确保食品安全的情况下在超市购物的想法进行了比较。 他说，如果这个世界的食品购买者有开发者的心态，他们会将购买不安全食品的风险视为做生意的成本。 不良行为者可能会认为优先级较低的漏洞是进入系统的更安全的方式。 “Chainguard 只是改变了游戏规则，”他说。“为什么任何镜像——为什么任何你运行和构建软件的环境——有任何漏洞是可以接受的？”
27500编辑于 2025-02-09 - 来自专栏容器云实践
关于容器中镜像构建的安全问题
写在前面 确保容器中服务与应用安全是容器化演进的关键点。容器安全涉及到应用开发与维护的整个生命周期，本文主要从镜像构建的视角来看docker容器的一些安全问题及应对措施。 它更为安全，并且还减小了镜像大小。可以有效减少了攻击面，减少了漏洞。 •有时候在安全性和极简主义方面考虑，官方镜像可能并不非合适的，最优解是我们自己从头构建属于自己的镜像。 关于distroless基镜像的更多信息可以参考https://github.com/GoogleContainerTools/distroless 3.及时更新镜像 使用经常更新的基础镜像，在需要时重构你的镜像 大多数包或依赖项管理器，如npm[3]或go mod[4]，将提供指定版本最新的安全更新。 4.端口暴露 容器中每个打开的端口都是通往系统的大门。
1.4K10发布于 2021-09-16
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号