03 Análisis estáticos de contenedores
Análisis estáticos de contenedores
Table of Contents
El material de este ejercicio se realiza en la carpeta 3
Es el proceso de examinar el contenido de una imagen de contenedor sin ejecutar el contenedor.
Riesgos de seguridad: identifique los posibles riesgos de seguridad en una imagen de contenedor como vulnerabilidades o configuraciones inseguras.
Importante: Nunca implemente en el entorno de producción una imagen con riesgos de seguridad críticos
Trivy
Aqua Trivy es un popular escáner de vulnerabilidades que ayuda a los equipos de DevOps a encontrar vulnerabilidades en contenedores de imágenes antes de implementarlos en producción.
Disponible en la carpeta 3/trivy, procederemos a probar a analizar las vulnerabilidades de un contenedor sin ejecutarlo, para ello tenemos dos ejemplos:
| docker image save -o tmp/demo localhost/demo:01 ./trivy image –security-checks vuln –offline-scan -f json -s CRITICAL –timeout 5m0s –input tmp/demo |
Y un segundo caso con un contenedor bajado de internet:
| docker pull docker.io/nginx:latest docker image save -o tmp/nginx docker.io/nginx:latest ./trivy image -s CRITICAL –timeout 5m0s –input tmp/nginx |
¿Que nos indican los resultados de trivy?¿Porque los hemos ejecutado de está manera?
Syft
https://github.com/anchore/syft
Una herramienta CLI y una biblioteca Go para generar una lista de materiales de software (SBOM) a partir de imágenes de contenedores y sistemas de archivos. Excepcional para la detección de vulnerabilidades cuando se usa con un escáner como Grype. Los scripts se presentan en la carpeta 3/syft
| syft demo:01 –scope all-layers |
Y un caso con un contenedor descargado
| syft ../trivy/tmp/nginx.tar |
¿Se puede ver el SBOM?¿Que otras opciones nos ofrece Syft?
Grype
https://github.com/anchore/grype
Un escáner de vulnerabilidades para imágenes de contenedores y sistemas de archivos
| grype demo:01 –scope all-layers |
Y un caso con un contenedor descargado
| grype ../trivy/tmp/nginx.tar |
¿Podemos compararlo con trivy?
Vuls
https://github.com/future-architect/vuls
Escáner de vulnerabilidades sin agente para Linux, FreeBSD, Container, WordPress, bibliotecas de lenguajes de programación, dispositivos de red
Hay que lanzar el script en 3/vuls
¿Puede ser interesante un modelo de este tipo de software o es excesivamente complejo?