Docker安全扫描工具之docker-bench-security

Docker Bench for Security检查关于在生产环境中部署Docker容器的几十个常见最佳实践。这些测试都是自动化的，其灵感来自CIS Docker基准1.2.0版。

　　这种安全扫描类似于安全基线检查，对相应的项进行逐条核查，可以有效地规避一些安全风险。

用法一

　　docker-bench-security有多种安装方式，同时也提供容器的使用方式，这样使用将更为方便，具体请参考。

　　需预装Docker 1.13.0+版本和Docker-Compose。

# git clone https://github.com/docker/docker-bench-security.git
# cd docker-bench-security
# docker-compose run --rm docker-bench-security

　　【注】貌似在国内网络环境，在连接一些站点时会有问题，上述安装是在VPS上进行的。

用法二[推荐]

　　上面的方法最大的问题就是存在下载失败的情况，项目根目录下存在检测脚本，直接执行即可。

# cd docker-bench-security
# sudo sh docker-bench-security.sh 　　　　 <<= 直接执行脚本即可

使用

　　上述三步安装过程的最后一步，docker-compose run --rm docker-bench-security即会对系统中存在的Docker images进行检测，具体如下图所示。

　　其中标红【WARN】是需要改进的，标绿【PASS】表示通过检测，【INFO】项的话，看需要是否进行调整。

　　从检测结果上来看，docker-bench-security对容器的检测项较少，对Docker的一些基础配置项检测较为详细，可以配合其他工具进行使用，如Clair。