neuvector/updater

CVE Database Updater Docker镜像文档

镜像概述

CVE Database Updater是一个轻量级Docker镜像，专为自动同步和更新CVE（常见漏洞和暴露）数据库设计。该镜像能够定期从官方CVE数据源（如NVD NIST、MITRE）获取最新漏洞信息，确保安全扫描工具、漏洞管理平台等系统始终拥有准确、及时的漏洞数据，为安全检测和响应提供可靠支持。

核心功能与特性

• 自动数据源同步：支持从NVD、MITRE等官方渠道自动拉取最新CVE数据，涵盖漏洞描述、影响版本、CVSS评分等关键信息
• 定时更新机制：内置定时任务功能，可自定义更新频率（如每小时、每日、每周），满足不同场景的实时性需求
• 轻量级设计：基于Alpine基础镜像构建，镜像体积小（通常<100MB），资源占用低，适合各类环境部署
• 灵活配置选项：支持自定义数据源URL、数据格式（JSON/XML）、更新时间窗口、代理设置等参数
• 数据兼容性：输出数据兼容主流安全工具（如Nessus、OpenVAS）和漏洞管理平台的数据库格式，便于直接集成
• 详细日志记录：记录更新过程中的关键事件（如同步状态、数据校验结果），支持日志级别调整，便于问题排查

使用场景与适用范围

• 安全扫描工具维护：为Nessus、OpenVAS、Qualys等漏洞扫描工具提供数据库更新，确保扫描规则覆盖最新漏洞
• 漏洞管理平台数据支撑：为DefectDojo、ThreadFix等漏洞管理系统同步基础CVE数据，辅助漏洞生命周期管理
• 企业安全监控系统：用于企业内部安全态势感知平台，实时更新漏洞情报，支撑安全告警和风险评估
• 自动化安全审计：集成到CI/CD流水线或定期安全审计流程，作为前置步骤更新CVE数据，确保审计结果时效性
• 安全研究与教育：为安全研究人员、高校等提供便捷的CVE数据获取工具，支持漏洞趋势分析和教学演示

使用方法与配置说明

基本使用（docker run）

通过以下命令快速启动容器，执行CVE数据库更新：

bash
docker run -d \
  --name cve-updater \
  -v /host/path/to/cve-data:/app/data \  # 挂载宿主机目录存储CVE数据（持久化）
  -e UPDATE_INTERVAL=86400 \  # 更新间隔（秒），默认24小时（86400秒）
  -e SOURCE_URL=https://nvd.nist.gov/feeds/json/cve/1.1/nvdcve-1.1-recent.json.gz \  # 默认NVD近期CVE数据源
  -e DATA_FORMAT=json \  # 输出数据格式（json/xml），默认json
  -e LOG_LEVEL=info \  # 日志级别（debug/info/warn/error），默认info
  cve-database-updater:latest

Docker Compose配置示例

创建docker-compose.yml文件，定义服务配置：

yaml
version: '3.8'
services:
  cve-updater:
    image: cve-database-updater:latest
    container_name: cve-updater
    restart: unless-stopped  # 容器退出时自动重启，确保持续运行
    volumes:
      - ./cve-storage:/app/data  # 宿主机目录挂载，存储更新后的CVE数据
    environment:
      - UPDATE_INTERVAL=43200  # 每12小时更新一次（43200秒）
      - SOURCE_URL=https://nvd.nist.gov/feeds/json/cve/1.1/nvdcve-1.1-modified.json.gz  # NVD修改版数据源（含近期更新）
      - DATA_FORMAT=json
      - OUTPUT_DIR=/app/data  # 容器内数据存储路径（默认无需修改）
      - PROXY_URL=http://proxy.example.com:8080  # 代理服务器（如需通过代理访问外部数据源）
      - LOG_LEVEL=debug  # 调试模式，输出详细日志

启动服务：

bash
docker-compose up -d

环境变量配置说明

数据输出与集成

更新后的CVE数据默认存储在宿主机挂载目录（如/host/path/to/cve-data），文件格式由DATA_FORMAT指定（如cve_latest.json或cve_latest.xml）。集成时，安全工具或系统可直接读取该目录下的文件，或通过配置将数据导入其内部数据库。

注意事项

• 首次运行：首次启动时需下载完整CVE数据集（可能达数百MB），耗时较长，建议通过日志监控进度（docker logs -f cve-updater）
• 网络要求：确保容器可访问外部数据源（如NVD需允许访问https://nvd.nist.gov），企业环境中可能需要配置PROXY_URL
• 数据备份：建议定期备份宿主机挂载目录下的CVE数据，避免容器异常导致数据丢失
• 版本兼容性：使用latest标签获取最新版本，生产环境建议固定版本号（如cve-database-updater:1.2.0）以确保稳定性