cplee/clair-scanner

Clair Scanner

!Maintenance  ![Coverage Status]([]

镜像概述

当使用Docker容器时，镜像不仅包含应用程序，还包含部分操作系统组件。了解镜像中可能存在的脆弱库至关重要。clair-scanner是一款基于CoreOS Clair的工具，解决了Docker Hub或Quay.io等平台异步扫描难以集成到CI/CD流水线的问题，可同步扫描镜像漏洞并与白名单对比，确保只有符合安全要求的镜像才能推送。

核心功能

• 扫描Docker镜像，检测其中的安全漏洞
• 将扫描结果与漏洞白名单对比，识别未授权漏洞
• 若存在未授权漏洞则返回失败，阻止镜像推送
• 支持设置漏洞严重程度阈值（如Critical、High等）
• 输出JSON格式的扫描报告

使用场景

• CI/CD流水线：构建镜像后立即扫描，确保无未授权漏洞再推送
• 本地镜像审计：手动扫描本地Docker镜像，排查潜在安全风险

配置说明

依赖环境

需运行Clair服务，可通过以下镜像快速部署：

• arminc/clair-db：Clair数据库
• arminc/clair-local-scan：Clair本地扫描服务

关键参数

• -w/--whitelist：漏洞白名单文件路径
• -t/--threshold：漏洞严重程度阈值（可选值：Defcon1、Critical、High、Medium、Low、Negligible、Unknown）
• -c/--clair：Clair服务URL（默认：[***]
• --ip：clair-scanner运行的IP地址
• -r/--report：JSON格式报告输出路径

部署示例

启动Clair服务

bash
# 启动Clair数据库
docker run -p 5432:5432 -d --name db arminc/clair-db:2017-09-18
# 启动Clair本地扫描服务
docker run -p 6060:6060 --link db:postgres -d --name clair arminc/clair-local-scan:v2.0.1

扫描镜像（以Alpine 3.5为例）

使用白名单扫描

bash
clair-scanner -w example-alpine.yaml --ip 你的本地IP alpine:3.5

输出示例（无未授权漏洞）：

bash
2017/09/24 11:20:24 [INFO] ▶ Start clair-scanner
2017/09/24 11:20:24 [INFO] ▶ Server listening on port 9279
2017/09/24 11:20:24 [INFO] ▶ Analyzing 693bdf455e7bf0952f8a4539f9f96aa70c489ca239a7dbed0afb481c87cbe131
2017/09/24 11:20:24 [INFO] ▶ Image [alpine:3.5] not vulnerable

无白名单扫描（检测未授权漏洞）

bash
clair-scanner --ip 你的本地IP alpine:3.5

输出示例（存在未授权漏洞）：

bash
2017/09/24 11:16:41 [INFO] ▶ Start clair-scanner
2017/09/24 11:16:41 [INFO] ▶ Server listening on port 9279
2017/09/24 11:16:41 [INFO] ▶ Analyzing 693bdf455e7bf0952f8a4539f9f96aa70c489ca239a7dbed0afb481c87cbe131
2017/09/24 11:16:41 [CRIT] ▶ Image contains unapproved vulnerabilities: [CVE-2016-9840 CVE-2016-9841 CVE-2016-9842 CVE-2016-9843]

白名单文件示例（YAML格式）

yaml
generalwhitelist: # 适用于所有镜像的漏洞白名单
  CVE-2017-6055: XML相关漏洞
  CVE-2017-5586: OpenText相关漏洞  
images: # 针对特定镜像的漏洞白名单
  ubuntu: # 所有版本Ubuntu镜像适用
    CVE-2017-5230: Java相关漏洞
  alpine: # 所有版本Alpine镜像适用
    CVE-2017-3261: SE相关漏洞