securecodebox/scanner-gitleaks

OWASP secureCodeBox Gitleaks 扫描器镜像

镜像概述和主要用途

OWASP secureCodeBox是一个自动化、可扩展的开源解决方案，用于集成各种安全漏洞扫描器，提供简单轻量的接口。其使命是支持DevSecOps团队轻松实现不同场景下的安全漏洞测试自动化。该项目运行在Kubernetes上，也可基于Docker基础设施启动集成的安全扫描器。

本镜像为secureCodeBox的Gitleaks扫描器组件，用于在Git仓库中检测敏感信息（如密码、API密钥、令牌、私钥等），需配合对应的parser镜像将扫描结果解析为secureCodeBox通用格式。

核心功能和特性

Gitleaks工具特性

• 敏感信息检测：可识别密码、API密钥、令牌、私钥等敏感数据
• 完整历史扫描：支持扫描仓库的全部提交历史，直至初始提交
• 文件检查：可检测可疑文件名或扩展名（如id_rsa、.pem、htpasswd等）

扫描器特性

• 多规则集支持：提供三种预定义规则集，满足不同扫描需求
• 自定义规则：支持通过ConfigMap挂载自定义规则集
• 灵活配置：可针对公开/私有仓库进行不同配置

使用场景和适用范围

• DevSecOps流程：集成到开发流程中，早期发现代码中的敏感信息
• CI/CD集成：在持续集成/持续部署过程中自动扫描代码仓库
• 安全审计：定期扫描仓库历史记录，发现历史提交中的敏感数据泄露
• 合规检查：确保代码库符合数据安全规范，防止敏感信息泄露

详细使用方法和配置说明

支持的标签

• latest：最新稳定版本
• 版本化标签，如v7.6.1

拉取镜像

bash
docker pull securecodebox/scanner-gitleaks

扫描器配置

必选参数

• -r：目标仓库链接
• --access-token：私有仓库访问令牌（适用于基于令牌的认证）
• --username 和 --password：私有仓库用户名和密码（适用于基本认证）
• --config-path：规则集路径

规则集说明

提供三种预定义规则集，可通过--config-path参数指定：

• /home/config_all.toml：包含所有规则，全面扫描
• /home/config_filenames_only.toml：仅扫描文件名和扩展名
• /home/config_no_generics.toml：不包含通用规则（如"password"关键字搜索），减少误报但可能漏检类似"password = Ej2ifDk2jfeo2"的模式

自定义规则集

如需使用自定义规则集，可创建ConfigMap并挂载到扫描容器中。具体配置示例可参考secureCodeBox文档。

扫描示例

bash
# 扫描公开仓库（使用完整规则集）
docker run --rm securecodebox/scanner-gitleaks -r https://github.com/example/repo --config-path /home/config_all.toml

# 扫描私有仓库（使用令牌认证）
docker run --rm securecodebox/scanner-gitleaks -r https://github.com/private/repo --access-token YOUR_TOKEN --config-path /home/config_no_generics.toml

社区

欢迎加入secureCodeBox社区：

• https://github.com/secureCodeBox/
• Slack

• ---

secureCodeBox是官方OWASP孵化项目。

许可证

![License]([***]

与所有Docker镜像一样，本镜像可能包含其他软件，这些软件可能具有不同的许可证（如基础发行版中的Bash等，以及主要软件的任何直接或间接依赖项）。

对于任何预构建镜像的使用，镜像用户有责任确保对本镜像的任何使用都符合其中包含的所有软件的相关许可证。