Clair助力Docker镜像安全
閱讀本文約花費: 5 (分鐘)Clair 是 CoreOS 最近发布的一款开源容器漏洞扫描工具。该工具可以交叉检查Docker 镜像的操作系统以及上面安装的任何包是否与任何已知不安全的包版本相匹配。漏洞是从特定操作系统的通用漏洞披露（ CVE ）数据库获取。该工具当前支持的操作系统包括 Red Hat 、 Ubuntu 和 Debian 。 通过从镜像文件系统中抽取静态信息以及维护一个组成镜像的不同层之间的差异列表，可以大大减少分析时间，而且不需要实际运行可能存在漏洞的容器。如果镜像所依赖的一个靠下的层存在漏洞，那么该镜像就会被识别为有漏洞，而且，通过使用图存储，可以避免重新分析镜像。 CoreOS使用Clair 分析用户上传到 Quay.io （一个类似 DockerHub 的容器注册中心）的 Docker 镜像。现已发现， Quay 上的大多数镜像都存在漏洞，甚至是像 Heartbleed（80%）或 Ghost（67%）这样的著名漏洞。2015 年初，一份有关 DockerHub 的报告推断，至少有30% 的官方镜像和多达40% 的用户上传镜像包含高级漏洞。期间，在 DockerCon 2015 欧洲大会上，…