2. 程式人生 > >安全防護工具之：Anchore

安全防護工具之：Anchore

阿新 • • 發佈：2018-12-14

安全性對任何產品來說都非常重要，比如著名的HeartBleed就曾經給很多忽視安全問題的企業帶來了很大的影響。而隨著容器化的推進，早在2015年的一次調查中，研究者就曾發現取樣的Dockerhub上有30%-40%的映象存在安全性的問題。Anchore正是這樣一款針對容器的安全掃描的工具，類似於Docker在其收費版中提供的功能那樣，能對應用容器的脆弱性進行靜態掃描，同時支援whitelist/blacklist以及評估策略的設定。

專案地址

為什麼使用Anchore

隨著容器化的逐漸推進，使用的安全性也受到越來越多地重視。在很多場景下，都需要對容器的脆弱性進行掃描，比如

專案 詳細
映象來源不明 在網際網路上下載的映象，可以直接使用，非常的方便，但是是否真正安全還非常難說
生產環境的實踐 容器上到生產環境之後，生產環境對容器的安全性要求一般較高，此時需要容器的安全性得到保證

依賴條件

以下列出本文安裝Anchore所需的依賴

依賴 詳細
CentOS版本 CentOS 7
Docker版本 >1.10
epel-release yum install epel-release
rpm-python yum install rpm-python
dpkg yum install dpkg
python-pip yum install python-pip

工作原理

通過對容器的layer進行掃描，發現漏洞並進行預警，其使用資料是基於Common Vulnerabilities and Exposures資料庫(簡稱CVE), 各Linux發行版一般都有自己的CVE源，而Anchore則是與其進行匹配以判斷漏洞的存在與否，比如HeartBleed的CVE為：CVE-2014-0160, Anchore通過query 命令的 cve-scan選項可以對映象的CVE進行掃描。

執行方式

Anchore支援兩種方式

項番 方式
映象方式 使用Anchore的映象
普通安裝 使用yum或者apt等直接安裝

事前準備

docker版本

[[email protected] ~]# docker version
Client:
 Version:         1.12.6
 API version:     1.24
 Package version: docker-1.12.6-32.git88a4867.el7.centos.x86_64
 Go version:      go1.7.4
 Git commit:      88a4867/1.12.6
 Built:           Mon Jul  3 16:02:02 2017
 OS/Arch:         linux/amd64

Server:
 Version:         1.12.6
 API version:     1.24
 Package version: docker-1.12.6-32.git88a4867.el7.centos.x86_64
 Go version:      go1.7.4
 Git commit:      88a4867/1.12.6
 Built:           Mon Jul  3 16:02:02 2017
 OS/Arch:         linux/amd64
[[email protected] ~]#
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19

執行Clair

Step 1: 使用pip安裝Anchore

[[email protected] ~]# pip install anchore
Collecting anchore
  Downloading anchore-1.1.3-py2-none-any.whl (184kB)
    100% |████████████████████████████████| 194kB 45kB/s 
Collecting click (from anchore)
  Downloading click-6.7-py2.py3-none-any.whl (71kB)
    100% |████████████████████████████████| 71kB 51kB/s 
Requirement already satisfied (use --upgrade to upgrade): pyyaml in /usr/lib64/python2.7/site-packages (from anchore)
Collecting docker-py (from anchore)
  Downloading docker_py-1.10.6-py2.py3-none-any.whl (50kB)
    100% |████████████████████████████████| 51kB 63kB/s 
Collecting requests<2.11 (from anchore)
  Downloading requests-2.10.0-py2.py3-none-any.whl (506kB)
    100% |████████████████████████████████| 512kB 44kB/s 
Collecting clint (from anchore)
  Downloading clint-0.5.1.tar.gz
Collecting prettytable (from anchore)
  Downloading prettytable-0.7.2.zip
Requirement already satisfied (use --upgrade to upgrade): websocket-client>=0.32.0 in /usr/lib/python2.7/site-packages (from docker-py->anchore)
Requirement already satisfied (use --upgrade to upgrade): backports.ssl-match-hostname>=3.5; python_version < "3.5" in /usr/lib/python2.7/site-packages (from docker-py->anchore)
Requirement already satisfied (use --upgrade to upgrade): ipaddress>=1.0.16; python_version < "3.3" in /usr/lib/python2.7/site-packages (from docker-py->anchore)
Requirement already satisfied (use --upgrade to upgrade): six>=1.4.0 in /usr/lib/python2.7/site-packages (from docker-py->anchore)
Requirement already satisfied (use --upgrade to upgrade): docker-pycreds>=0.2.1 in /usr/lib/python2.7/site-packages (from docker-py->anchore)
Collecting args (from clint->anchore)
  Downloading args-0.1.0.tar.gz
Installing collected packages: click, requests, docker-py, args, clint, prettytable, anchore
  Found existing installation: requests 2.11.1
    Uninstalling requests-2.11.1:
      Successfully uninstalled requests-2.11.1
  Running setup.py install for args ... done
  Running setup.py install for clint ... done
  Running setup.py install for prettytable ... done
Successfully installed anchore-1.1.3 args-0.1.0 click-6.7 clint-0.5.1 docker-py-1.10.6 prettytable-0.7.2 requests-2.10.0
You are using pip version 8.1.2, however version 9.0.1 is available.
You should consider upgrading via the 'pip install --upgrade pip' command.
[[email protected] ~]#
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25
  • 26
  • 27
  • 28
  • 29
  • 30
  • 31
  • 32
  • 33
  • 34
  • 35
  • 36

Step 2：安裝後版本確認

[root@liumiaocn ~]# anchore --version
anchore, version 1.1.3
[root@liumiaocn ~]#
  • 1
  • 2
  • 3

Step 3：初期化Anchore的Database

使用feeds sync命令，可以看出Anchore從不同的Linux發行版中取出相應的CVE等的資訊存到其Database的過程如下：

[[email protected] ~]# anchore feeds sync
syncing data for subscribed feed (vulnerabilities) ...
    syncing group data: debian:unstable: ...
    skipping group data: ubuntu:16.04: ...
    skipping group data: centos:6: ...
    skipping group data: centos:7: ...
    skipping group data: centos:5: ...
    skipping group data: ubuntu:14.10: ...
    skipping group data: ubuntu:15.04: ...
    skipping group data: debian:9: ...
    syncing group data: debian:8: ...
    syncing group data: ubuntu:12.04: ...
    syncing group data: debian:7: ...
    syncing group data: ubuntu:16.10: ...
    syncing group data: alpine:3.3: ...
    syncing group data: alpine:3.4: ...
    syncing group data: alpine:3.5: ...
    syncing group data: alpine:3.6: ...
    syncing group data: ol:6: ...
    syncing group data: ubuntu:14.04: ...
    syncing group data: ubuntu:15.10: ...
    syncing group data: ubuntu:12.10: ...
    syncing group data: ubuntu:17.04: ...
    syncing group data: ol:7: ...
    syncing group data: ubuntu:13.04: ...
    syncing group data: ol:5: ...
skipping data sync for unsubscribed feed (packages) ...
[[email protected] ~]#
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25
  • 26
  • 27
  • 28
  • 29

映象準備

隨便找一個映象，作為用來進行掃描的物件，本次掃描使用Clair中使用的Database的映象源。

[root@liumiaocn ~]# docker images
REPOSITORY           TAG                 IMAGE ID            CREATED             SIZE
docker.io/postgres   latest              33b13ed6b80a        5 days ago          268.8 MB
[root@liumiaocn ~]#
  • 1
  • 2
  • 3
  • 4

對映象進行分析

[root@liumiaocn ~]# anchore analyze --image docker.io/postgres:latest --imagetype base
Analyzing image: docker.io/postgres:latest
33b13ed6b80a: analyzed.
[root@liumiaocn ~]#
  • 1
  • 2
  • 3
  • 4

生成結果報告

[[email protected] ~]# anchore gate --image docker.io/postgres:latest
33b13ed6b80a: evaluating policies ...
+--------------+---------------------------+-----------------+-------------+-------------------------------------+-------------+
| Image Id     | Repo Tag                  | Gate            | Trigger     | Check Output                        | Gate Action |
+--------------+---------------------------+-----------------+-------------+-------------------------------------+-------------+
| 33b13ed6b80a | docker.io/postgres:latest | DOCKERFILECHECK | FROMSCRATCH | 'FROM' container is 'scratch' -     | GO          |
|              |                           |                 |             | (scratch)                           |             |
| 33b13ed6b80a | docker.io/postgres:latest | ANCHORESEC      | VULNLOW     | Low Vulnerability found in package  | GO          |
|              |                           |                 |             | - coreutils (CVE-2016-2781 - https  |             |
|              |                           |                 |             | ://security-tracker.debian.org/trac |             |
|              |                           |                 |             | ker/CVE-2016-2781)                  |             |
| 33b13ed6b80a | docker.io/postgres:latest | ANCHORESEC      | VULNUNKNOWN | Negligible Vulnerability found in   | GO          |
|              |                           |                 |             | package - login (CVE-2007-5686 -    |             |
|              |                           |                 |             | https://security-tracker.debian.org |             |
|              |                           |                 |             | /tracker/CVE-2007-5686)             |             |
| 33b13ed6b80a | docker.io/postgres:latest | ANCHORESEC      | VULNUNKNOWN | Negligible Vulnerability found in   | GO          |
|              |                           |                 |             | package - passwd (CVE-2007-5686 -   |             |
|              |                           |                 |             | https://security-tracker.debian.org |             |
|              |                           |                 |             | /tracker/CVE-2007-5686)             |             |
| 33b13ed6b80a | docker.io/postgres:latest | ANCHORESEC      | VULNMEDIUM  | Medium Vulnerability found in       | WARN        |
|              |                           |                 |             | package - libxml2 (CVE-2017-9048 -  |             |
|              |                           |                 |             | https://security-tracker.debian.org |             |
|              |                           |                 |             | /tracker/CVE-2017-9048)             |             |
| 33b13ed6b80a | docker.io/postgres:latest | ANCHORESEC      | VULNMEDIUM  | Medium Vulnerability found in       | WARN        |
|              |                           |                 |             | package - libxml2 (CVE-2017-9049 -  |             |
|              |                           |                 |             | https://security-tracker.debian.org |             |
|              |                           |                 |             | /tracker/CVE-2017-9049)             |             |
| 33b13ed6b80a | docker.io/postgres:latest | ANCHORESEC      | VULNUNKNOWN | Negligible Vulnerability found in   | GO          |
|              |                           |                 |             | package - python2.7 (CVE-2013-7040  |             |
|              |                           |                 |             | - https://security-tracker.debian.o |             |
|              |                           |                 |             | rg/tracker/CVE-2013-7040)           |             |
| 33b13ed6b80a | docker.io/postgres:latest | ANCHORESEC      | VULNHIGH    | High Vulnerability found in package | STOP        |
|              |                           |                 |             | - libsqlite3-0 (CVE-2017-10989 -    |             |
|              |                           |                 |             | https://security-tracker.debian.org |             |
|              |                           |                 |             | /tracker/CVE-2017-10989)            |             |
...
| 33b13ed6b80a | docker.io/postgres:latest | ANCHORESEC      | VULNUNKNOWN | Unknown Vulnerability found in      | GO          |
|              |                           |                 |             | package - locales (CVE-2017-12132 - |             |
|              |                           |                 |             | https://security-tracker.debian.org |             |
|              |                           |                 |             | /tracker/CVE-2017-12132)            |             |
| 33b13ed6b80a | docker.io/postgres:latest | FINAL           | FINAL       |                                     | STOP        |
+--------------+---------------------------+-----------------+-------------+-------------------------------------+-------------+
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19
  • 20
  • 21
  • 22
  • 23
  • 24
  • 25
  • 26
  • 27
  • 28
  • 29
  • 30
  • 31
  • 32
  • 33
  • 34
  • 35
  • 36
  • 37
  • 38
  • 39
  • 40
  • 41
  • 42

確認CVE

[[email protected] ~]# anchore query --image docker.io/postgres:latest cve-scan all
+------------------+------------+-----------------+----------------------------+---------------+----------------------------+----------------+----------------------------+
| CVE ID           | Severity   | *Total Affected | Vulnerable Package         | Fix Available | Fix Images                 | Rebuild Images | URL                        |
+------------------+------------+-----------------+----------------------------+---------------+----------------------------+----------------+----------------------------+
| CVE-2017-9525    | Medium     | 1               | cron-3.0pl1-127+deb8u1     | None          | 33b13ed6b80a(docker.io/pos | None           | https://security-tracker.d |
|                  |            |                 |                            |               | tgres:latest)              |                | ebian.org/tracker/CVE-2017 |
|                  |            |                 |                            |               |                            |                | -9525                      |
| CVE-2017-9050    | Medium     | 1               | libxml2-2.9.1+dfsg1-5+deb8 | None          | 33b13ed6b80a(docker.io/pos | None           | https://security-tracker.d |
|                  |            |                 | u4                         |               | tgres:latest)              |                | ebian.org/tracker/CVE-2017 |
|                  |            |                 |                            |               |                            |                | -9050                      |
| CVE-2017-9049    | Medium     | 1               | libxml2-2.9.1+dfsg1-5+deb8 | None          | 33b13ed6b80a(docker.io/pos | None           | https://security-tracker.d |
|                  |            |                 | u4                         |               | tgres:latest)              |                | ebian.org/tracker/CVE-2017 |
|                  |            |                 |                            |               |                            |                | -9049                      |
...
| CVE-2004-0971    | Negligible | 1               | krb5-locales-1.12.1+dfsg-1 | None          | 33b13ed6b80a(docker.io/pos | None           | https://security-tracker.d |
|                  |            |                 | 9+deb8u2                   |               | tgres:latest)              |                | ebian.org/tracker/CVE-2004 |
|                  |            |                 |                            |               |                            |                | -0971                      |
+------------------+------------+-----------------+----------------------------+---------------+----------------------------+----------------+----------------------------+
  • 1
  • 2
  • 3
  • 4
  • 5
  • 6
  • 7
  • 8
  • 9
  • 10
  • 11
  • 12
  • 13
  • 14
  • 15
  • 16
  • 17
  • 18
  • 19

總結

本文簡單介紹了Anchore這款針對於映象的安全工具的安裝到使用方法，而Anchore的功能不僅限於此，在DevOps落地的時候引入Anchore作為其中的一環對映象的安全保駕護航不算是一個壞的注意。

相關推薦

安全防護工具之：Anchore

安全性對任何產品來說都非常重要，比如著名的HeartBleed就曾經給很多忽視安全問題的企業帶來了很大的影響。而隨著容器化的推進，早在2015年的一次調查

安全防護工具之：ClamAV

ClamAV是一個C語言開發的開源病毒掃描工具用於檢測木馬/病毒/惡意軟體等。可以線上更新病毒庫，Linux系統的病毒較少，但是並不意味著病毒免疫，尤其是對於諸如郵件或者歸檔檔案中夾雜的病毒往往更加難以防範，而ClamAV則能起到不少作用。  ClamAV相關資訊如下： 專案&nbs

安全測試工具之-Burpsuite

埠即服務，每一個服務對應一個或多個埠。埠掃描即通過一些方法檢測到一臺主機的一段特定埠是否提供相應的服務。利用這些掃描結果，正常使用者可以訪問系統所提供的服務，而黑客卻可以利用這些服務中的漏洞對系統進行攻擊。通過對埠的掃描，就可以得到任何一個系統都開了哪些埠，也就是提供了哪些服務。

Android開發小工具之：Chrome Custom Tabs

參考文章 官方文件 官方原始碼 http://qq157755587.github.io/2016/08/12/custom-tabs-best-practices/ https://juejin.im/entry/586f089c61ff4b006d29f9c0 一

AppScan安全掃描工具之安裝及配置GlassBox

1、安裝Appscan高版本，不要問為什麼(高版本攻擊特徵庫會比較多)；安裝破解版；複製破解檔案到安裝目錄，啟動Appscan 2、選單欄，點選配置選中GlassBox，配置GlassBox(配置的目的呢，就是比不配置GlassBox能找到更多web程式的漏洞) 3、啟

【Java 安全技術探索之路系列：J2SE安全架構】之六：安全管理工具

【Java 安全技術探索之路系列：J2SE安全架構】章節列表 作為J2SE複合包的一部分，Java2平臺提供了一組工具來管理安全策略、建立金鑰、管理金鑰和證書、簽署JAR檔案、驗證簽名以及支援金鑰管理相關的其他功能。 一 keystore 金鑰

Java 安全之：csrf防護實戰分析

　　上文總結了csrf攻擊以及一些常用的防護方式，csrf全稱Cross-site request forgery(跨站請求偽造)，是一類利用信任使用者已經獲取的註冊憑證，繞過後臺使用者驗證，向被攻擊網站傳送未被使用者授權的跨站請求以對被攻擊網站執行某項操作的一種惡意攻擊方式。 　　上面的定義比較抽象，我們先

安全類工具制作第005篇：進程管理器（下）

btn creat lan 控件 lookup 包括 lln create tdi 一、前言 這次的程序是為了完好上一次所編寫的進程管理器。使得當我們選中某一個進程的時候。能夠查看其DLL文件，而且能夠對可疑的模塊進行卸載操作。這樣就能夠有效對抗DLL的

Java之工具類：判斷對象是否為空或null

sar 判斷 ins == span urn lean color style 1 import java.lang.reflect.Array; 2 import java.util.Collection; 3 import java.util.Map; 4

security 02： 加密與解密 、 掃描與抓包 、 總結和答疑 、 SELinux安全防護

一段 數字簽名 def 接口 數據流 5.1 調用 message systemctl day01一、selinux安全防護二、數據 加密 解密三、抓包與掃描++++++++++++++++++++++++++++++一、selinux安全防護1.1 selinux 介紹1

一：unittest框架配合selenium工具之CSS_selector定位。

fix path unittest xpath itl ace send css max 做了自動化測試這麽久了，一直沒有梳理到元素定位這一塊的內容，其重要性不言而喻。趁著周末有時間，梳理一下。 1，通過id定位 driver.find_element_by_css_sel

四：RF框架appium工具之xpath定位

路徑 xpath 屬性 cnblogs path 方法總結 書寫格式 logs 元素 XPATH定位方法具體的學會，還是在今年1月份，以前運用的都不熟練。 這個定位神器是一定要掌握的，不然有你抓狂的時候。 第一要掌握它的書寫格式，這個好上手。 第二要掌握它的具體用法。這個就

Istio技術與實踐6：Istio如何為服務提供安全防護能力

軟件 基於 名稱 理解 認證 efault fault 訪問控制 text 凡是產生連接關系，就必定帶來安全問題，人類社會如此，服務網格世界，亦是如此。今天，我們就來談談Istio第二主打功能---保護服務。那麽，便引出3個問題：? Istio憑什麽保護服務？? I

9月第3周業務風控關註|央行：將進一步探索構建行業共享的金融網絡安全防護平臺

防護 缺陷 cto process 單位 個人 情況 依然 hat 易盾業務風控周報每周呈報值得關註的安全技術和事件，包括但不限於內容安全、移動安全、業務安全和網絡安全，幫助企業提高警惕，規避這些似小實大、影響業務健康發展的安全風險。 1.央行：將進一步探索構建行業共享的金

Juniper SSG 防火墻安全防護之拒絕服務×××[新任幫主]

死機 led scree 相對 不存在 解讀 cli for 消息 Juniper SSG 防火墻安全防護之拒絕服務×××一.拒絕服務×××的介紹： 所謂的拒絕服務就是指所有一切以耗盡網絡資源，使其無法再網絡中發揮正常的功能為目的的行為都叫拒絕服務×××，DoS×××是一種

Web安全學習筆記(十)：PHP基礎(下) 之 連線資料庫

前言：         把這個總結完，對於學習的基礎也算完事了，剩下的我就要將實戰中遇到的多多分享了，也希望多結識一些志同道合，聊得來的朋友。        

ifeve.com 南方《JVM 性能調優實戰之：使用阿裏開源工具 TProfiler 在海量業務代碼中精確定位性能代碼》

oca ive java tla inline .net lin 原因 調優 https://blog.csdn.net/defonds/article/details/52598018 多次拉取 JStack，發現很多線程處於這個狀態： at jrockit/vm/

ifeve.com 南方《JVM 效能調優實戰之：使用阿里開源工具 TProfiler 在海量業務程式碼中精確定位效能程式碼》

https://blog.csdn.net/defonds/article/details/52598018 多次拉取 JStack，發現很多執行緒處於這個狀態：    at jrockit/vm/Allocator.getNewTla(JJ)V(Native Method) 

雲安全Clouder課程：網路層安全防護

本認證課程旨在幫助學員瞭解雲端計算網路層常用到的網路防護實踐方法，以及掌握防火牆、入侵檢測、Web應用防火牆、抗DDoS等防護手段的功能和基本原理。能夠使用作業系統自帶的防火牆（Windows主機防護牆、Linux IPtables）來進行安全策略的配置。最終能為自己企業建立基本的網路層防護。

安全防護與資訊加密：一個新的挑戰

本文轉自：http://www.eetop.cn/blog/html/28/1561828-6339369.html 首先來說：在晶片中增加安全防護（safety）和資訊加密（security）特性需要付出額外的代價，如何去評估和控制這種代價其影響是非常深遠的。並不是說所有的技術應用都能帶來相應