lacework/container-auto-scan

container-auto-scan Docker镜像文档

镜像概述和主要用途

container-auto-scan镜像旨在简化Lacework账户/组织中活跃容器的漏洞评估流程。通过该镜像，用户可自动触发对环境中近期活跃容器的漏洞扫描，支持Lacework平台扫描和Inline Scanner两种模式，适用于已集成容器注册表和未集成注册表的场景，帮助用户及时发现容器安全风险。

核心功能和特性

• 智能扫描缓存：默认跳过24小时内已扫描的容器，可通过--rescan强制重新扫描
• 多注册表支持：自动枚举所有集成的容器注册表，也可通过--registry指定特定注册表
• 灵活时间范围：默认扫描过去1天内活跃的容器，可通过--days或--hours调整回溯周期
• 双扫描模式：支持Lacework平台扫描（适用于已集成注册表）和Inline Scanner（适用于未集成注册表或公开镜像）
• 组织级扫描：通过--org-level参数可遍历组织内所有账户执行扫描
• 守护进程模式：使用-d参数可作为守护进程每20分钟执行一次扫描
• 自动集成管理：--auto-integrate-inline-scanner可自动创建/复用Inline Scanner集成

使用场景和适用范围

• 定期扫描生产环境中活跃容器的漏洞
• 评估未集成到Lacework的容器注册表中的镜像安全状况
• 扫描公开可访问的容器镜像漏洞
• 在Kubernetes集群中持续运行容器安全扫描任务
• 组织级容器安全合规检查

详细使用方法和配置说明

本地执行

使用Docker容器运行

最简单的方式是通过Docker容器运行，利用Lacework CLI配置文件提供API凭证：

bash
docker run -v ~/.lacework.toml:/home/user/.lacework.toml lacework/container-auto-scan

上述命令会将本地Lacework CLI配置文件挂载到容器中，使用默认配置文件中的默认配置文件执行扫描。可通过-p <profile>参数指定不同的配置文件：

bash
docker run -v ~/.lacework.toml:/home/user/.lacework.toml lacework/container-auto-scan -p my-profile

也可直接通过参数提供凭证：

bash
docker run lacework/container-auto-scan --account my-account --api-key MY_KEY --api-secret MY_SECRET

从源码运行

若克隆了项目仓库，可直接运行Python脚本：

bash
usage: ./auto-scan.py [-h] [--account ACCOUNT] [--subaccount SUBACCOUNT] [--api-key API_KEY] [--api-secret API_SECRET] [-p PROFILE] [--proxy-scanner PROXY_SCANNER] [--cache-timeout] [--days DAYS] [--hours HOURS] [--registry REGISTRY] [--rescan] [--list-only] [--inline-scanner] [--inline-scanner-path INLINE_SCANNER_PATH] [--inline-scanner-access-token INLINE_SCANNER_ACCESS_TOKEN] [--inline-scanner-only] [--inline-scanner-prune] [-d] [--debug]

Inline Scanner扫描

版本0.3及以上支持使用Lacework Inline Scanner评估容器，适用于未集成到Lacework的容器注册表或公开镜像。需使用container-auto-scan-inline镜像，该镜像支持Docker-in-Docker，以root用户运行。

基本用法

bash
docker run -v ~/.lacework.toml:/root/.lacework.toml -v /var/run/docker.sock:/var/run/docker.sock lacework/container-auto-scan-inline --inline-scanner-access-token <SCANNER_ACCESS_TOKEN_HERE>

仅使用Inline Scanner

bash
docker run -v ~/.lacework.toml:/root/.lacework.toml -v /var/run/docker.sock:/var/run/docker.sock lacework/container-auto-scan-inline --inline-scanner-only --inline-scanner-access-token <SCANNER_ACCESS_TOKEN_HERE>

Inline Scanner自动集成

版本0.5及以上支持自动管理Inline Scanner集成及访问令牌，使用--auto-integrate-inline-scanner参数：

bash
docker run -v ~/.lacework.toml:/root/.lacework.toml -v /var/run/docker.sock:/var/run/docker.sock lacework/container-auto-scan-inline --org-level --auto-integrate-inline-scanner

注意事项

• Inline Scanner专用镜像名为container-auto-scan-inline
• 该镜像以root用户运行，Lacework配置文件需挂载到/root/目录
• 访问令牌可通过--inline-scanner-access-token参数、LW_ACCESS_TOKEN环境变量或--auto-integrate-inline-scanner自动生成
• Inline Scanner当前限制为每小时60次扫描
• 若扫描远程 registry 中的镜像，可挂载Docker凭证：-v /root/.docker/config.json:/root/.docker/config.json

Kubernetes部署

如需持续运行，可使用Kubernetes Deployment。示例manifest位于项目的manifests/目录，将Lacework API凭证存储为Kubernetes Secret，并以守护进程模式运行：

yaml
# 示例Kubernetes部署配置（详细内容请参考项目manifests目录）
apiVersion: apps/v1
kind: Deployment
metadata:
  name: container-auto-scan
spec:
  replicas: 1
  selector:
    matchLabels:
      app: container-auto-scan
  template:
    metadata:
      labels:
        app: container-auto-scan
    spec:
      containers:
      - name: container-auto-scan
        image: lacework/container-auto-scan-inline
        args: ["-d", "--auto-integrate-inline-scanner"]
        volumeMounts:
        - name: docker-sock
          mountPath: /var/run/docker.sock
        - name: lacework-config
          mountPath: /root/.lacework.toml
          subPath: lacework.toml
      volumes:
      - name: docker-sock
        hostPath:
          path: /var/run/docker.sock
      - name: lacework-config
        secret:
          secretName: lacework-credentials

参数说明

环境变量

Lacework API

Lacework Inline Scanner

已知问题

• 受Lacework API限制，每小时最多可扫描400个容器
• 受Lacework API限制，最多返回5000个已扫描容器镜像（用于去重）
• 受Lacework API限制，每个注册表最多返回5000个容器仓库/标签组合