- 综合排序
- 最热优先
- 最新优先
- 来自专栏运维研习社
开源镜像仓库Harbor的镜像安全
之前介绍过Harbor，从安装部署到简单使用，今天这里就不再重复介绍了，有需要的可以跳转到'Harbor 功能强大的企业级私有仓库'查看，今天主要介绍Harbor的安全功能——镜像漏洞扫描 Harbor 自动进行扫描，通过定义部署安全级别，阻止某些安全级别的镜像，上传到Harbor，这部分配置在项目配置中 ? 新建项目，在项目中的配置管理里面进行漏洞扫描的配置，分别配置是否阻止潜在漏洞镜像，按照危害级别进行阻止，勾选自动扫描镜像，即在镜像上传的时候进行扫描，我们勾选，上传镜像测试 ? ，有时候有一些CVE我们想要忽略，就是这个CVE代号的漏洞，不在我们考虑的安全范围内，我们可以通过设置CVE白名单来进行忽略 CVE白名单分两种，一种是项目白名单，一种是系统白名单，在项目中的配置管理中进行配置 项目白名单，就直接在项目中进行配置，添加cve对应的cveid，并设置过期时间即可 系统白名单，需要在系统管理——配置管理——系统设置——部署安全性中进行添加 ?
3K20发布于 2020-06-12 - 来自专栏Bypass
镜像安全扫描工具
镜像安全扫描是确保云原生环境安全非常重要和基础的一个环节，通过镜像安全扫描可以检测容器镜像中的漏洞，避免攻击者植入恶意代码，快速响应漏洞，从而降低安全风险。 本文分享两个比较常用的镜像安全扫描工具，它们可以帮助我们识别容器镜像中的漏洞和弱点。 1、Trivy Trivy是一个全面的多功能安全扫描器，支持在容器镜像、Kubernetes、代码存储库、AWS中查找漏洞、错误配置、敏感信息和密钥、SBOM等。 github项目地址： https://github.com/chaitin/veinmind-tools.git （1）安装 veinmind-runner，使用平行容器启动脚本扫描本地镜像。 /run.sh scan image nginx:latest （2）下载单一工具veinmind-backdoor，扫描本地镜像中的后门。
1K30编辑于 2023-11-07 容器安全-镜像扫描
前言容器镜像安全是云原生应用交付安全的重要一环，对上传的容器镜像进行及时安全扫描，并基于扫描结果选择阻断应用部署，可有效降低生产环境漏洞风险。 容器安全面临的风险有：镜像风险、镜像仓库风险、编排工具风险，小德今天就跟大家聊一聊镜像风险中的镜像扫描。 镜像扫描是什么？ 镜像扫描就是遍历所有镜像中的文件系统，逐个检查软件包（Package）是否包含安全漏洞。例如，假设定义了“高”的阀值，如果发现某镜像内含有危险程度为“高”的安全漏洞，将拒绝所有对该镜像的拉取请求。 伴随着容器的流行，它也成为黑客攻击的对象，容器安全受到重视。在容器安全方面，镜像安全是保护容器安全的基础，镜像扫描是解决镜像安全问题的基础手段。针对镜像风险问题，有效提升镜像扫描能力是关键。 保持容器镜像安全的两个方案方案1：在镜像注册表中定期扫描通过这种方式，我们需要为镜像注册表添加一个安全扫描程序，扫描程序可以是一个定时任务（Cron Job） 作业，也可以是由特定的人触发的可执行操作。
96110编辑于 2024-04-27- 来自专栏JFrog杰蛙DevOps
你的镜像安全吗？
但是，我们还是需要采取专门针对Docker部署的安全措施。因此，以下列出了确保容器平台上托管的应用程序安全的三个基本步骤。 让我们从最重要的开始。 1. 但是，此方法无法解决映像本身的潜在安全缺陷。因此，最好在Dockerfile中指定一个非root用户，以便您的容器始终安全运行。 私有注册中心可以让您获得更完善的镜像的管理方式，并且通常提供更高级的功能，可以帮助确保库存安全。 例如： l 复杂的镜像扫描工具，用于识别威胁和未修补的漏洞。 相比之下，诸如Docker Hub之类的公共注册表一般仅提供基本服务-您必须信任镜像发布者，而镜像发布者可能未遵循相同的高安全标准。 /app"] 验证镜像完整性 改善容器安全状况的另一种方法是在将镜像从Docker Hub中拉出之前进行验证。 Docker守护程序默认在不检查其完整性的情况下拉取Docker映像。
2.4K20发布于 2021-01-08 - 来自专栏CNCF
Flux项目谈安全：镜像来源
关于 Flux 项目谈安全的博客系列的下一篇文章将介绍我们如何以及为什么要为 Flux CLI 及其所有控制器镜像使用签名，以及你可以在工作流中做些什么来验证镜像来源。 自 Flux 0.26 以来，我们的安全文档添加了以下内容： The Flux CLI and the controllers' images are signed using Sigstore[1] 我们很高兴向你介绍这一点，并鼓励你在工作流程中使用它，以使你的集群更加安全。但是，让我们把上面这一节所说的全部内容都分解一下。 为什么要在一开始就签署发布工件？ 从本质上说，我们希望你能够核实 Flux 的镜像来源，这可以归结为确保： 你刚刚下载的版本实际上来自我们——Flux 团队 它没有被篡改过 密码签名是这方面的首选，已经使用了几十年，但并不是没有挑战。 这只是我们为确保你们的安全而采取的又一项措施。
1.3K30编辑于 2022-03-28 - 来自专栏开源部署
Docker 的镜像并不安全！
后来，研究加密摘要系统的时候——Docker用这套系统来对镜像进行安全加固——我才有机会更深入的发现，逻辑上整个与镜像安全相关的部分具有一系列系统性问题。 而C语言不是一门内存安全的语言。这意味着C程序的恶意输入，在这里也就是Docker镜像的XZ Utils解包程序，潜在地存在可能会执行任意代码的风险。 要改进Docker镜像下载系统的安全问题，我认为应当有以下措施： 摒弃tarsum并且真正对镜像本身进行验证 出于安全原因tarsum应当被摒弃，同时，镜像在完整下载后、其他步骤开始前，就对镜像的加密签名进行验证 这个问题不仅仅是生态问题，还是一个终端用户的安全问题。针对第三方仓库的全方位、去中心化的安全模型既必须又迫切。我希望Docker公司在重新设计他们的安全模型和镜像认证系统时能采纳这一点。 结论 Docker用户应当意识到负责下载镜像的代码是非常不安全的。用户们应当只下载那些出处没有问题的镜像。
1.3K20编辑于 2022-07-04 - 来自专栏WalkingCloud
CentOS7.9安全加固镜像制作流程梳理
CentOS7.9安全加固镜像制作流程梳理 1、先准备一台CentOS7.9虚拟机 准备虚拟机用于后面脚本的优化 ? (图片可放大查看) 确定好分区方案 ? ，需要初始环境作为沙盘来进行反复测试与验证加固脚本 5、编写安全加固脚本 脚本需要从诸如账号管理，口令策略，授权管理，服务管理，配置管理，网络管理，权限管理等多个角度提高CentOS Linux的安全性 例如SSH的一些安全加固项 ? (图片可放大查看) 6、借助云厂商的基线检查自动化工具进行验证 上传安全加固脚本并执行 ? (图片可放大查看) ? 2）删除相关基线检查自动化工具 3）删除加固脚本 等等清理操作，总之保证制作镜像前环境是干净的 8、关闭虚拟机制作镜像 关闭虚拟机制作镜像 ? (图片可放大查看) 最后使用自定义镜像创建实例进行验证 如果要在生产环境中使用的话，还需要进行稳定性测试
1.6K40发布于 2021-07-15 - 来自专栏CNCF
Artifact Hub 的容器镜像扫描和安全报告
---- 作者：Matt Farina 当试图决定使用哪些制品时，了解一些关于制品安全性的信息是很有用的。 使用Artifact Hub[1]，可以看到基于容器的制品的安全扫描，比如基于 Operator Framework OLM 的操作器、一些 Helm Charts、OPA 策略和 Tinkerbell 注意：SCRATCH 镜像，例如那些没有底层，只包含一个二进制文件的镜像，以及使用最新标记的镜像不会被扫描。 它是如何工作的 安全报告是使用Trivy[5]和定期扫描生成的。扫描仪检查未扫描的镜像。7 天前最后一次扫描的镜像会被重新扫描，即使没有更改包。这将使报告显示新发现的 CVE 的检测。 有些镜像无法被扫描，比如在一个 scratch 容器中使用二进制文件的镜像，或者使用 latest 标记的镜像。在这些情况下，将不显示报告。 你可以在文档中了解有关安全报告[6]的更多信息。
1.6K30发布于 2021-01-27 - 来自专栏云鼎实验室的专栏
腾讯云百万容器镜像安全治理运营实践
本文将结合我们在容器基础镜像方面的安全建设和运营实践，分享我们对于基础镜像的安全治理和安全运营的思考。 容器镜像作为承载云原生应用的重要载体，作为云原生应用生命周期的源头，其安全性对云原生系统的安全有着重要的意义。确保容器镜像的安全性，是实现安全左移最重要的手段之一。 在镜像的安全治理和运营上，我们遵循着从镜像的构建、传输、存储、运行等全生命周期各个环节进行安全管控的思路，在镜像安全的维度，实现DevSecOps的闭环。 从上述数据可以看出，这些基础镜像覆盖范围非常广，一旦出现安全问题，其影响的镜像数量也将非常巨大。 4.基础镜像的安全治理 保证基础镜像的安全性，是容器镜像安全治理中最基础、也是最重要的一个环节。 基础镜像的安全治理是容器镜像安全治理最重要的环节之一，基础镜像的安全风险收敛对于镜像的安全风险收敛有着重大的意义。
2.4K40编辑于 2022-04-26 - 来自专栏容器云实践
关于容器中镜像构建的安全问题
写在前面 确保容器中服务与应用安全是容器化演进的关键点。容器安全涉及到应用开发与维护的整个生命周期，本文主要从镜像构建的视角来看docker容器的一些安全问题及应对措施。 它更为安全，并且还减小了镜像大小。可以有效减少了攻击面，减少了漏洞。 •有时候在安全性和极简主义方面考虑，官方镜像可能并不非合适的，最优解是我们自己从头构建属于自己的镜像。 2.从头开始构建镜像 假如如果你是从centos镜像开始构建，那么你创建的容器可能将会包含几十个或者上百个漏洞。所以构建一个安全的镜像我们最好需要知道我们的基镜像存在哪些威胁。 随着新的安全漏洞不断被发现，坚持使用最新的安全补丁是一种通用的安全最佳实践。 版本控制策略： •坚持使用稳定或长期支持版本，这些版本会迅速提供安全修复程序。•提前计划。
1.4K10发布于 2021-09-16 - 来自专栏云云众生s
清洁的容器镜像：供应链安全革命
供应链安全 初创公司 Chainguard 在过去四年多的时间里，一直试图改变开发者和企业看待和使用 容器镜像 以及其中包含的 开源组件 的方式。 借助这项新功能，组织可以更好地量化使用 Chainguard 的无 CVE 镜像所带来的工程、安全和财务效益。 开发者已经习惯了他们的镜像中存在漏洞这一事实。Dunn 说这没有道理，他将其与在没有农业部确保食品安全的情况下在超市购物的想法进行了比较。 他说，如果这个世界的食品购买者有开发者的心态，他们会将购买不安全食品的风险视为做生意的成本。 不良行为者可能会认为优先级较低的漏洞是进入系统的更安全的方式。 “Chainguard 只是改变了游戏规则，”他说。“为什么任何镜像——为什么任何你运行和构建软件的环境——有任何漏洞是可以接受的？”
26900编辑于 2025-02-09 - 来自专栏全栈工程师修炼之路
6.Docker镜像与容器安全最佳实践
所以在本章之中，我将讲述如何更安全配置使用Docker容器环境，优化Docker镜像的安全构建过程，以使我们能够在最短构建时间内构建最小、最安全的满足生产需求的Docker镜像。 Docekr 镜像安全 描述: Docker 镜像安全也是在容器安全中占有一席之地，如果一旦镜像系统或者服务中存在可以被攻击者利用的漏洞,在使用该镜像创建并运行容器后便可能反弹shell进行内网穿透，从而对容器中运行的业务 2.4 不使用不安全的镜像仓库 描述: Docker在默认情况下私有仓库被认为是相对安全的，所以我们需要保证私有镜像仓库的安全。 不安全的镜像仓库是没有有效的镜像仓库证书或不使用TLS的镜像仓库。不应该在生产环境中使用任何不安全的镜像仓库。不安全的镜像仓库中的镜像可能会被篡改，从而导致生产系统可能受到损害。
#### 4.4 扫描镜像漏洞并且构建包含安全补丁的镜像 描述: 应该经常扫描镜像以查找漏洞。重建镜像安装最新的补丁。 加固说明: 安全补丁可以解决软件的安全问题。4.2K20编辑于 2022-09-28 - 来自专栏MoeLove
云原生时代下的容器镜像安全（上）
然而，在享受其带来的便利性的同时，我们也需要关注其中的一些安全隐患。 本篇，我将为你重点介绍容器镜像安全相关的内容。 通常情况下，我们提到容器镜像安全，主要是指以下两个方面： 镜像自身内容的安全； 镜像分发过程的安全； 镜像自身内容的安全 要聊镜像自身内容的安全，那我们就需要知道镜像到底是什么，以及它其中的内容是什么。 此外，一些镜像仓库，比如 Harbor 等都已经内置了镜像安全的扫描工具，或者可以使用 docker scan命令进行镜像的安全扫描。 镜像分发中的安全问题 img 图 2 ，镜像分发部署安全示例 如图，在镜像分发部署的环节中其上游是镜像仓库，下游是 Kubernetes 集群。 总结 以上就是关于镜像自身内容安全，以及镜像分发安全中的镜像签名校验部分的内容。
95020发布于 2021-12-01 - 来自专栏亨利笔记
Harbor容器镜像安全漏洞扫描详述和视频
题图摄于黄花水长城 阅读导航 一、Harbor v1.2 镜像仓库发布镜像扫描功能 二、镜像扫描功能原理 三、镜像扫描演示视频 四、Harbor征文活动送T-Shirt等纪念品，含平板电脑、Kindle ） 开源企业级镜像仓库 Harbor v1.2 新增了镜像漏洞扫描的功能，可以帮助用户发现容器镜像中的安全漏洞，及时采取防范措施。 镜像扫描就是遍历所有镜像中的文件系统，逐个检查软件包（Package）是否包含安全漏洞。 CVE 是 Common Vulnerabilities and Exposures 的缩写，由一些机构自愿参与维护的软件安全漏洞标识，记录已知的漏洞标准描述及相关信息，公众可以免费获取和使用这些信息。 例如，假设定义了“高”的阀值，如果发现某镜像内含有危险程度为“高”的安全漏洞，将拒绝所有对该镜像的拉取请求。
2.3K30发布于 2019-04-12 - 来自专栏我的小碗汤
将 Docker 镜像安全扫描，添加到 CICD 管道
GitHub 语言类趋势真是日新月异 介绍 如今，镜像安全扫描变得越来越流行。这个想法是分析一个Docker镜像并基于CVE数据库寻找漏洞。 这样，我们可以在使用镜像之前知道其包含哪些漏洞，因此我们只能在生产中使用“安全”镜像。 有多种分析Docker镜像的方法（取决于您使用的工具）。 这是一个简单的例子： 因此，今天我将向您展示如何设置集成到CI/CD管道中的镜像安全扫描。 工具类 有多种工具可以执行镜像安全扫描： Trivy：由AquaSecurity开发。 有关更多信息：Trivy的Github 添加一个简单的Docker镜像 为了说明将安全扫描包含在CI/CD管道中，我们需要一个Docker镜像作为示例。 今天的“安全”镜像明天可能（而且很可能）不安全。因此，我们需要在第一次推送图像后继续对其进行扫描。 好吧，让我们添加一个计划的管道，比如说每晚2AM扫描镜像。
4.4K20编辑于 2023-03-19 - 来自专栏深度学习与python
12 个优化 Docker 镜像安全性的技巧
你的镜像是基于一个过时的和 / 或不安全的基础镜像，其中包含（现在）众所周知的安全漏洞。 最安全的最小基础镜像是 SCRATCH，它完全不包含任何东西。 一个受信任的镜像指的是经过某人（要么是你自己的组织，要么是其他人）按照比如说某种安全级别审核的镜像。 因此，使用 Docker Hub 中不安全的基础镜像也会让你的镜像变得不安全。 另外，你不应该把审计和上面提到的 Docker 的内容信任混为一谈！ 内容信任只确认来源（镜像上传者）的身份，并不会确认与镜像安全性有关的任何事实。
95720编辑于 2022-03-24 Docker 推出强化镜像以增强容器安全性
Docker 推出了Docker Hardened Images，这是一个企业级、安全强化的容器镜像目录，旨在防御软件供应链威胁。 Docker 表示，通过减轻 DevOps 团队自行保护容器安全的繁琐工作，强化镜像提供了一种更简便的方式来满足企业级安全和合规性标准。 强化镜像旨在增强团队对镜像组件未被篡改且不包含恶意代码的信心。 Docker Hardened Images 在构建时就考虑到了安全性，而不仅仅是“现有容器的精简版本”： 这些镜像远不止是精简或极简。 想象一下，如果一个系统只包含生产环境中运行所需的组件，你的安全异常报告将会为零。 此外，Docker 承诺，每当发布更新或依赖项出现新的 CVE 时，都会重建强化镜像。 Docker 并非唯一一家提供强化镜像的供应商。安全解决方案提供商 Chainguard 也提供了超过 1300 个强化镜像的目录。 使用强化的基础镜像只是保护容器安全的一部分。
31910编辑于 2025-05-31- 来自专栏EdisonTalk
你可能不知道的容器镜像安全实践
业界已经达成共识：云原生时代已经到来，如果说容器是云原生时代的核心，那么镜像应该就是云原生时代的灵魂。镜像的安全对于应用程序安全、系统安全乃至供应链安全都有着深刻的影响。 但是，容器的安全问题却是大多数IT开发团队所忽视的： 根据 snyk 发布的 2020年开源安全报告 中指出，在 dockerhub 上常用的热门镜像几乎都存在安全漏洞，多的有上百个，少的也有数十个。 具体数据如下图所示： 不幸的是，很多应用程序的镜像是以上述热门镜像作为基础镜像，进而将这些漏洞带到了各自的应用程序中，增加了安全风险。 所谓防，就是要在编写 Dockerfle 的时候，遵循最佳实践来编写安全的Dockerfile；还要采用安全的方式来构建容器镜像；所谓治，即要使用容器镜像扫描，又要将扫描流程嵌入到 CI/CD 中，如果镜像扫描出漏洞 参考资料 极狐：《GitLab DevSecOps七剑下天山之容器镜像安全扫描》 极狐：《云原生时代，如何保证容器镜像安全？》
1K30编辑于 2023-01-09 - 来自专栏代码人生
Elasticsearch 解决 log4j 安全漏洞 - 升级镜像
一、概论 Apache Log4j 2 被披露出存在严重代码执行漏洞，目前官方已发布正式安全公告及版本，漏洞编号：CVE-2021-44228，漏洞被利用可导致服务器被入侵等危害。 公司 ES 使用 Log4j 2 组件，存在安全问题，升级 ES 镜像中的 Log4j 2 版本解决该问题。 1.1 原理 java 项目只用替换编译出来的 jar 包就可以。 elasticsearch ├── Dockerfile ├── static │ ├── log4j-api-2.16.0.jar │ └── log4j-core-2.16.0.jar 2.4 编写新镜像 dockerfile 编写 Dockerfile，替换原 es 镜像中的 jar。 打包镜像，镜像 tag 自定义 docker build .
1.8K10编辑于 2023-02-26 - 来自专栏DevOps持续集成
将Docker镜像安全扫描步骤添加到CICD管道
使用GitlabCI和Trivy 介绍 如今，镜像安全扫描变得越来越流行。这个想法是分析一个Docker镜像并基于CVE数据库寻找漏洞。 这样，我们可以在使用镜像之前知道其包含哪些漏洞，因此我们只能在生产中使用“安全”镜像。 有多种分析Docker镜像的方法（取决于您使用的工具）。 这是一个简单的例子： 因此，今天我将向您展示如何设置集成到CI/CD管道中的镜像安全扫描。 工具类 有多种工具可以执行镜像安全扫描： Trivy：由AquaSecurity开发。 有关更多信息：Trivy的Github 添加一个简单的Docker镜像 为了说明将安全扫描包含在CI/CD管道中，我们需要一个Docker镜像作为示例。 今天的“安全”镜像明天可能（而且很可能）不安全。因此，我们需要在第一次推送图像后继续对其进行扫描。 好吧，让我们添加一个计划的管道，比如说每晚2AM扫描镜像。
2.7K20编辑于 2022-10-04
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号