lacework/container-auto-scan-inline

container-auto-scan 镜像文档

镜像概述和主要用途

container-auto-scan 镜像旨在简化为Lacework账户/组织中活跃的容器触发漏洞评估流程。通过自动化扫描缓存管理、容器仓库枚举和活跃容器识别，帮助用户高效检测运行中容器的安全漏洞，支持Lacework平台扫描和Inline Scanner两种模式，适用于集成或未集成容器仓库的场景。

核心功能和特性

• 扫描缓存管理：默认跳过24小时内已扫描的容器，可通过--rescan强制重新扫描
• 容器仓库枚举：自动识别Lacework集成的容器仓库，支持通过--registry指定特定仓库
• 活跃容器筛选：根据回溯期（默认1天）查询环境中运行过的容器仓库/标签组合
• 多扫描模式：支持Lacework平台扫描和Inline Scanner，未集成仓库可自动回退到Inline Scanner
• 灵活配置：通过命令行参数和环境变量自定义扫描行为，支持守护进程模式持续运行

使用场景和适用范围

• 定期检测Lacework账户中活跃容器的漏洞
• 扫描未集成到Lacework的容器仓库或公共镜像
• 在Kubernetes环境中持续运行容器安全扫描
• 跨组织多账户的容器漏洞评估（配合--org-level参数）

详细使用方法和配置说明

工作原理

1. 加载扫描缓存：默认跳过24小时内已扫描的容器，可通过--rescan覆盖
2. 枚举容器仓库：收集Lacework平台可扫描的集成仓库域名，支持--registry指定仓库
3. 查询活跃容器：根据回溯期（默认1天）查询活跃的容器仓库/标签组合
4. 发起扫描请求：通过Lacework API或Inline Scanner对未扫描容器发起评估，未集成仓库自动回退到Inline Scanner

回溯期可通过--days <天数>或--hours <小时数>调整。

本地执行

使用Docker容器运行

通过挂载Lacework CLI配置文件执行扫描：

bash
docker run -v ~/.lacework.toml:/home/user/.lacework.toml docker.xuanyuan.run/lacework/container-auto-scan

指定CLI配置文件中的特定配置文件：

bash
docker run -v ~/.lacework.toml:/home/user/.lacework.toml docker.xuanyuan.run/lacework/container-auto-scan -p <profile>

直接提供API凭证：

bash
docker run docker.xuanyuan.run/lacework/container-auto-scan --account <account> --subaccount <subaccount> --api-key <api-key> --api-secret <api-secret>

克隆仓库后运行脚本

bash
usage: ./auto-scan.py [-h] [--account ACCOUNT] [--subaccount SUBACCOUNT] [--api-key API_KEY] [--api-secret API_SECRET] [-p PROFILE] [--proxy-scanner PROXY_SCANNER] [--cache-timeout] [--days DAYS] [--hours HOURS] [--registry REGISTRY] [--rescan] [--list-only] [--inline-scanner] [--inline-scanner-path INLINE_SCANNER_PATH] [--inline-scanner-access-token INLINE_SCANNER_ACCESS_TOKEN] [--inline-scanner-only] [--inline-scanner-prune] [-d] [--debug]

基于Inline Scanner的扫描

v0.3版本起支持使用Lacework Inline Scanner扫描未集成仓库的容器，需使用container-auto-scan-inline镜像（Docker-in-Docker模式）：

bash
docker run -v ~/.lacework.toml:/root/.lacework.toml -v /var/run/docker.sock:/var/run/docker.sock docker.xuanyuan.run/lacework/container-auto-scan-inline --inline-scanner-access-token <SCANNER_ACCESS_TOKEN_HERE>

关键注意事项

• 镜像名称为container-auto-scan-inline，非基础镜像
• 以root用户运行，配置文件挂载路径为/root/.lacework.toml
• 需通过以下方式之一提供访问令牌：
  • --inline-scanner-access-token参数
  • LW_ACCESS_TOKEN环境变量（配合--inline-scanner参数）
  • --auto-integrate-inline-scanner参数（自动创建/复用集成）
• Inline Scanner限制为每小时60次扫描
• 扫描远程仓库镜像时可挂载Docker凭证：-v /root/.docker/config.json:/root/.docker/config.json

Inline Scanner自动集成

v0.5版本起支持自动管理Inline Scanner集成，通过--auto-integrate-inline-scanner参数自动为每个Lacework账户创建/复用集成（默认名称lacework-auto-scan）：

bash
docker run -v ~/.lacework.toml:/root/.lacework.toml -v /var/run/docker.sock:/var/run/docker.sock docker.xuanyuan.run/lacework/container-auto-scan-inline --org-level --auto-integrate-inline-scanner

Kubernetes部署

通过manifests目录中的示例清单持续运行扫描，将Lacework凭证存储为Kubernetes Secret，以守护进程模式（-d）部署：

yaml
# 示例Kubernetes部署清单（具体内容参见项目manifests目录）
apiVersion: apps/v1
kind: Deployment
metadata:
  name: container-auto-scan
spec:
  replicas: 1
  template:
    spec:
      containers:
      - name: container-auto-scan
        image: docker.xuanyuan.run/lacework/container-auto-scan-inline
        args: ["-d", "--auto-integrate-inline-scanner"]
        volumeMounts:
        - name: lacework-config
          mountPath: /root/.lacework.toml
          subPath: lacework.toml
        - name: docker-sock
          mountPath: /var/run/docker.sock
      volumes:
      - name: lacework-config
        secret:
          secretName: lacework-credentials
      - name: docker-sock
        hostPath:
          path: /var/run/docker.sock

配置参数

环境变量

Lacework API

Lacework Inline Scanner

已知问题

• 受Lacework API限制，每小时最多可扫描400个容器
• 受Lacework API限制，最多返回5000个已扫描容器镜像（用于去重）
• 受Lacework API限制，每个仓库最多返回5000个容器仓库/标签组合