centos7, docker

Grype – сканер уязвимостей образов контейнеров и файловых систем

Grype – это ска­нер уяз­ви­мо­стей для обра­зов кон­тей­не­ров и фай­ло­вых систем с про­стым в уста­нов­ке бинар­ни­ком, кото­рый под­дер­жи­ва­ет паке­ты для боль­шин­ства основ­ных опе­ра­ци­он­ных систем на базе * nix.

Особенности сканера уязвимостей Grype для образов контейнеров и файловых систем

Ска­ни­руй­те содер­жи­мое обра­за кон­тей­не­ра или фай­ло­вой систе­мы, что­бы най­ти извест­ные уяз­ви­мо­сти и най­ти уяз­ви­мо­сти основ­ных паке­тов опе­ра­ци­он­ной систе­мы в:
  • Alpine
  • BusyBox
  • CentOS / Red Hat
  • Debian
  • Ubuntu
Под­дер­жи­ва­ет фор­ма­ты обра­зов Docker и OCI

Использование сканера уязвимостей Grype образов контейнеров и файловых систем

Что­бы най­ти уяз­ви­мо­сти в образе:

grype <image>
Grype может ска­ни­ро­вать мно­же­ство источ­ни­ков, поми­мо тех, что нахо­дят­ся в Docker.
# ска­ни­ро­вать архив обра­зов кон­тей­не­ра (по резуль­та­ту команд docker image save …, podman save … или skopeo copy.)

grype path/to/image.tar
# ска­ни­ро­вать каталог

grype dir:path/to/dir

$ grype docker.io/nginx.slim | head

Фор­мат выво­да Grype так­же настраивается:
grype <image> -o <format>

Доступ­ные форматы:

  • Json: исполь­зуй­те этот фор­мат, что­бы полу­чить как мож­но боль­ше инфор­ма­ции от Grype!
  • cyclonedx: XML-отчет, соот­вет­ству­ю­щий спе­ци­фи­ка­ции CycloneDX 1.2.
  • table: свод­ка в виде столб­цов (по умолчанию).

Установка

# уста­нов­ка послед­ней вер­сии в /usr/local/bin

curl -sSfL https://raw.githubusercontent.com/anchore/grype/main/install.sh | sh -s -- -b /usr/local/bin

# уста­нов­ка опре­де­лен­ной вер­сии в опре­де­лен­ный каталог

curl -sSfL https://raw.githubusercontent.com/anchore/grype/main/install.sh | sh -s -- -b <SOME_BIN_PATH> <RELEASE_VERSION>