datoma/dockle

Dockle - 容器镜像安全检查工具

Dockle 帮助您：

1. 构建符合最佳实践的 Docker 镜像
2. 构建安全的 Docker 镜像
   • 检查点包括CIS 基准

bash
$ brew untap goodwithtech/dockle # 若使用 0.1.16 或更早版本
$ brew install goodwithtech/r/dockle
$ dockle [您的镜像名称]

功能特性

• 检测容器漏洞
• 帮助构建最佳实践 Dockerfile
• 使用简单
  • 只需指定镜像名称
  • 参见快速开始和常见示例
• 支持 CIS 基准
  • 高准确性
• DevSecOps 支持
  • 适用于 Travis CI、CircleCI、Jenkins 等 CI 环境
  • 参见CI 示例

工具对比

安装方法

Homebrew（Mac OS X / Linux 和 WSL）

可在 Mac OS X 或 Linux 和 WSL（Windows 子系统） 上使用 Homebrew 安装：

bash
$ brew install goodwithtech/r/dockle

RHEL/CentOS

bash
$ VERSION=$(
 curl --silent "https://api.github.com/repos/goodwithtech/dockle/releases/latest" | \
 grep '"tag_name":' | \
 sed -E 's/.*"v([^"]+)".*/\1/' \
) && rpm -ivh https://github.com/goodwithtech/dockle/releases/download/v${VERSION}/dockle_${VERSION}_Linux-64bit.rpm

Debian/Ubuntu

bash
$ VERSION=$(
 curl --silent "https://api.github.com/repos/goodwithtech/dockle/releases/latest" | \
 grep '"tag_name":' | \
 sed -E 's/.*"v([^"]+)".*/\1/' \
) && curl -L -o dockle.deb https://github.com/goodwithtech/dockle/releases/download/v${VERSION}/dockle_${VERSION}_Linux-64bit.deb
$ sudo dpkg -i dockle.deb && rm dockle.deb

Arch Linux

可从 Arch 用户仓库安装 dockle-bin：

bash
pikaur -Sy dockle-bin

或

bash
yay -Sy dockle-bin

Windows

bash
$ VERSION=$(
 curl --silent "https://api.github.com/repos/goodwithtech/dockle/releases/latest" | \
 grep '"tag_name":' | \
 sed -E 's/.*"v([^"]+)".*/\1/' \
) && curl -L -o dockle.zip https://github.com/goodwithtech/dockle/releases/download/v${VERSION}/dockle_${VERSION}_Windows-64bit.zip
$ unzip dockle.zip && rm dockle.zip
$ ./dockle.exe [镜像名称]

二进制文件

可从 https://github.com/goodwithtech/dockle/releases/latest 获取最新版本二进制文件。下载对应操作系统/架构的归档文件，解压后将二进制文件放入 $PATH 目录（类 Unix 系统通常为 /usr/local/bin）。

注意：确保设置执行权限（chmod +x dockle）。

从源码安装

bash
$ GO111MODULE=off go get github.com/goodwithtech/dockle/cmd/dockle
$ cd $GOPATH/src/github.com/goodwithtech/dockle && GO111MODULE=on go build -o $GOPATH/bin/dockle cmd/dockle/main.go

使用 Docker

Docker Hub 上提供 https://hub.docker.com/r/goodwithtech/dockle%EF%BC%8C%E5%8F%AF%E5%9C%A8%E5%AE%89%E8%A3%85%E5%91%BD%E4%BB%A4%E5%89%8D%E8%AF%95%E7%94%A8%EF%BC%9A

bash
$ VERSION=$(
 curl --silent "https://api.github.com/repos/goodwithtech/dockle/releases/latest" | \
 grep '"tag_name":' | \
 sed -E 's/.*"v([^"]+)".*/\1/' \
) && docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
  goodwithtech/dockle:v${VERSION} [您的镜像名称]

仅当需要扫描主机上的镜像时，才需挂载 docker.sock（-v /var/run/docker.sock:/var/run/docker.sock）。

快速开始

基本使用

只需指定镜像名称（和标签）：

bash
$ dockle [您的镜像名称]

FATAL   - CIS-DI-0009: 使用 COPY 而非 ADD 指令
        * 使用 COPY : /bin/sh -c #(nop) ADD file:81c0a803075715d1a6b4f75a29f8a01b21cc170cfc1bff6702317d1be2fe71a3 in /app/credentials.json
FATAL   - CIS-DI-0010: 不要在环境变量/文件中存储凭证
        * 发现可疑文件 : app/credentials.json
FATAL   - DKL-DI-0005: 清理 apt-get 缓存
        * 在 'apt-get install' 后使用 'rm -rf /var/lib/apt/lists' : /bin/sh -c apt-get update && apt-get install -y git
FATAL   - DKL-LI-0001: 避免空密码
        * 发现无密码用户! 用户名 : nopasswd
WARN    - CIS-DI-0001: 为容器创建用户
        * 最后用户不应为 root
INFO    - CIS-DI-0005: 启用 Docker 内容信任
        * 在 docker pull/build 前执行 export DOCKER_CONTENT_TRUST=1
INFO    - CIS-DI-0008: 确认 setuid/setgid 文件安全性
        * setuid 文件: app/suid.txt urw-r--r--
        * setgid 文件: app/gid.txt grw-r--r--
        * setuid 文件: usr/bin/gpasswd urwxr-xr-x
        * setgid 文件: usr/bin/wall grwxr-xr-x
        * setuid 文件: bin/su urwxr-xr-x
        * setuid 文件: bin/umount urwxr-xr-x
        * setuid 文件: bin/mount urwxr-xr-x
        * setgid 文件: usr/bin/ssh-agent grwxr-xr-x
        * setuid 文件: etc/shadow urw-r-----
        * setuid 文件: usr/bin/chsh urwxr-xr-x
        * setuid 文件: usr/bin/chfn urwxr-xr-x
        * setuid 文件: usr/lib/openssh/ssh-keysign urwxr-xr-x
        * setgid 文件: etc/passwd grw-r--r--
        * setgid 文件: sbin/unix_chkpwd grwxr-xr-x
        * setgid 文件: usr/bin/chage grwxr-xr-x
        * setuid 文件: usr/bin/passwd urwxr-xr-x
        * setgid 文件: usr/bin/expiry grwxr-xr-x
        * setuid 文件: usr/bin/newgrp urwxr-xr-x
IGNORE  - CIS-DI-0006: 为容器镜像添加 HEALTHCHECK 指令

Docker 方式

也可通过 Docker 运行 dockle 命令：

bash
$ export DOCKLE_LATEST=$(
 curl --silent "https://api.github.com/repos/goodwithtech/dockle/releases/latest" | \
 grep '"tag_name":' | \
 sed -E 's/.*"v([^"]+)".*/\1/' \
)
$ docker run --rm goodwithtech/dockle:v${DOCKLE_LATEST} [您的镜像名称]

• 若需扫描主机上的镜像，需挂载 docker.sock：

  bash
  $ docker run --rm -v /var/run/docker.sock:/var/run/docker.sock ...
  

检查点摘要

• 各检查点详情参见 CHECKPOINT.md

级别说明

Dockle 包含 5 种检查级别：

常见示例

扫描镜像

只需指定镜像名称（和标签）：

bash
$ dockle goodwithtech/test-image:v1

FATAL   - CIS-DI-0001: 为容器创建用户
        * 最后用户不应为 root
WARN    - CIS-DI-0005: 启用 Docker 内容信任
        * 在 docker pull/build 前执行 export DOCKER_CONTENT_TRUST=1
FATAL   - CIS-DI-0006: 为容器镜像添加 HEALTHCHECK 指令
        * 未找到 HEALTHCHECK 语句
FATAL   - CIS-DI-0007: 不要单独使用 update 指令
        * 应将 'apt-get update' 与 'apt-get install' 组合使用 : /bin/sh -c apt-get update && apt-get install -y git
FATAL   - CIS-DI-0008: 移除镜像中的 setuid 和 setgid 权限
        * 发现 setuid 文件: etc/passwd grw-r--r--
        * 发现 setuid 文件: usr/lib/openssh/ssh-keysign urwxr-xr-x
        * 发现 setuid 文件: app/hoge.txt ugrw-r--r--
        * 发现 setuid 文件: app/hoge.txt ugrw-r--r--
        * 发现 setuid 文件: etc/shadow urw-r-----
FATAL   - CIS-DI-0009: 使用 COPY 而非 ADD 指令
        * 使用 COPY : /bin/sh -c #(nop) ADD file:81c0a803075715d1a6b4f75a29f8a01b21cc170cfc1bff6702317d1be2fe71a3 in /app/credentials.json
FATAL   - CIS-DI-0010: 不要在环境变量中存储密钥
        * 发现可疑 ENV 键 : MYSQL_PASSWD
FATAL   - CIS-DI-0010: 不要存储密钥文件
        * 发现可疑文件 : app/credentials.json
PASS    - DKL-DI-0001: 避免 sudo 命令
FATAL   - DKL-DI-0002: 避免敏感目录挂载
        * 避免挂载敏感目录 : /usr
PASS    - DKL-DI-0003: 避免 apt-get/apk/dist-upgrade
PASS    - DKL-DI-0004: 使用 apk add --no-cache
FATAL   - DKL-DI-0005: 清理 apt-get 缓存
        * 使用 'apt-get clean && rm -rf /var/lib/apt/lists/*' : /bin/sh -c apt-get update && apt-get install -y git
PASS    - DKL-DI-0006: 避免 latest 标签
FATAL   - DKL-LI-0001: 避免空密码
        * 发现无密码用户! 用户名 : nopasswd
PASS    - DKL-LI-0002: UID 唯一性
PASS    - DKL-LI-0002: GID 唯一性

扫描镜像文件

bash
$ docker save alpine:latest -o alpine.tar
$ dockle --input alpine.tar

获取或保存 JSON 格式结果

bash
$ dockle -f json goodwithtech/test-image:v1
$ dockle -f json -o results.json goodwithtech/test-image:v1

json
{
  "summary": {