📘 第12课：镜像安全扫描

镜像构建

🔒 为什么需要镜像安全扫描？

容器镜像可能包含已知漏洞（CVE）。安全扫描是CI/CD中不可或缺的环节，在部署前发现并修复漏洞。

🔍 Trivy：最受欢迎的扫描工具

# 安装Trivy ✅
curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sh

# 扫描镜像漏洞 ✅
trivy image nginx:1.25-alpine

nginx:1.25-alpine (alpine 3.19.0)
============================
Total: 2 (UNKNOWN: 0, LOW: 1, MEDIUM: 1, HIGH: 0, CRITICAL: 0)

┌──────────────┬───────────┬──────────┬───────────────────┐
│   Library    │ Vulnerability │ Severity │ Installed Version │
├──────────────┼───────────┼──────────┼───────────────────┤
│ libcrypto3   │ CVE-2024-xxxx│ Medium   │ 3.1.4-r1          │
│ libssl3      │ CVE-2024-xxxx│ Low      │ 3.1.4-r1          │
└──────────────┴───────────┴──────────┴───────────────────┘

# 只显示严重和高级漏洞
trivy image --severity HIGH,CRITICAL nginx:1.25-alpine

# JSON格式输出
trivy image --format json -o report.json nginx:1.25-alpine

# SARIF格式（GitHub集成）
trivy image --format sarif -o trivy.sarif nginx:1.25-alpine

📊 Docker Scout（Docker内置）

# Docker Scout扫描 ✅
docker scout cves nginx:1.25-alpine

# 快速概览
docker scout quickview nginx:1.25-alpine

# 比较两个版本
docker scout compare --to nginx:1.26-alpine nginx:1.25-alpine

# 推荐基础镜像
docker scout recommendations nginx:1.25

🔧 CI/CD集成

# GitHub Actions集成 ✅
# .github/workflows/security-scan.yml
name: Security Scan
on: [push, pull_request]
jobs:
  trivy:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - name: Build image
        run: docker build -t my-app:${{ github.sha }} .
      - name: Run Trivy
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: 'my-app:${{ github.sha }}'
          severity: 'CRITICAL,HIGH'
          exit-code: '1'    # 发现高危漏洞则CI失败

# GitLab CI集成
trivy_scan:
  stage: security
  image: aquasec/trivy:latest
  script:
    - trivy image --exit-code 1 --severity HIGH,CRITICAL $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
  allow_failure: false

🛡️ 安全最佳实践

# Dockerfile安全实践 ✅

# 1. 使用非root用户
RUN adduser -D appuser
USER appuser

# 2. 不安装不必要的包
RUN apk add --no-cache curl  # 不缓存索引

# 3. 使用COPY而非ADD
COPY app /app/  # ADD有自动解压和URL风险

# 4. 固定基础镜像版本
FROM node:20.11.0-alpine3.19  # 不用latest或20-alpine

# 5. 验证下载文件完整性
RUN curl -sL https://example.com/app.tar.gz | sha256sum -c -

# 6. 使用多阶段构建去除构建工具 ✅
# 7. 扫描后再推送到生产仓库

📋 SBOM（软件物料清单）

# 生成SBOM ✅
trivy image --format spdx-json -o sbom.json my-app:latest

# Docker SBOM命令
docker sbom my-app:latest

# 从SBOM扫描漏洞
trivy sbom sbom.json

❓ 常见问题

📚 深度补充：镜像安全扫描进阶要点

【镜像进阶阶段】生产环境注意事项

常见误区与避坑指南

1. 过度配置：不是所有服务都需要高可用，根据实际需求选择架构复杂度，避免过度工程
2. 忽略日志：日志是排障的关键，确保日志格式统一、级别合理、采集完整
3. 资源超卖：容器资源限制不是摆设，超卖会导致性能下降甚至OOM Kill
4. 安全忽视：默认配置不等于安全配置，生产环境必须加固（非root、只读FS、最小能力）
5. 监控缺失：没有监控等于盲飞，至少要有基础的健康检查和资源监控
6. 手动运维：能自动化的绝不手动，手动操作容易出错且不可追溯
7. 忽略网络策略：默认所有容器互通不安全，应按最小权限原则配置网络

进阶阅读与参考

• Docker官方文档：https://docs.docker.com/
• Docker最佳实践指南：Dev Best Practices
• CIS Docker Benchmark：容器安全基线检查标准
• 12-Factor App方法论：https://12factor.net/
• Google SRE Book：运维可靠性工程实践
• Kubernetes官方文档：https://kubernetes.io/docs/

Docker命令速查卡

# 容器生命周期
docker create/start/stop/restart/rm/pause/unpause
docker logs/top/stats/inspect/exec diff

# 镜像构建
docker build/pull/push/tag/rmi/images/history
docker save/load/import/manifest

# 网络与存储
docker network create/ls/inspect/connect/disconnect/rm/prune
docker volume create/ls/inspect/rm/prune

# Docker Compose
docker compose up/down/ps/logs/build/exec
docker compose config/stop/start/scale/top/cp

# 系统维护
docker system df/prune/info
docker builder prune
docker container/prune/image prune

# K8s常用命令
kubectl get/describe/logs/exec/apply/delete
kubectl rollout status/undo/history
kubectl scale/autoscale/set

本阶段知识脉络

镜像层与存储驱动

OCI标准与镜像规范

实战案例：故障排查流程

# Step 1: 检查容器状态
docker ps -a                          # 查看所有容器
docker inspect <container>            # 查看详细配置

# Step 2: 查看日志
docker logs --tail 100 <container>    # 最近100行日志
docker logs --since 1h <container>    # 最近1小时

# Step 3: 进入容器排查
docker exec -it <container> sh        # 进入容器shell

# Step 4: 检查资源
docker stats --no-stream              # 资源使用概览
docker system df                      # 磁盘使用

# Step 5: 网络排查
docker network ls                     # 网络列表
docker exec <c> ping <target>        # 网络连通性
docker exec <c> nslookup <svc>       # DNS解析

# Step 6: 检查健康状态
docker inspect --format '{{.State.Health}}' <c>
docker inspect --format '{{.State.ExitCode}}' <c>
docker inspect --format '{{.State.OOMKilled}}' <c>

Dockerfile模板：多语言通用

# 通用最佳实践模板
FROM alpine:3.19 AS builder
# ... 构建步骤 ...

FROM alpine:3.19
RUN addgroup -S appgroup && adduser -S appuser -G appgroup
WORKDIR /app
COPY --from=builder /app/output .
USER appuser
HEALTHCHECK --interval=30s --timeout=3s --retries=3 \
  CMD wget -qO- http://localhost:8080/health || exit 1
EXPOSE 8080
CMD ["./app"]

Docker Compose健康检查模板

services:
  app:
    build: .
    healthcheck:
      test: ["CMD", "wget", "-qO-", "http://localhost:8080/health"]
      interval: 30s
      timeout: 5s
      retries: 3
      start_period: 30s
    restart: unless-stopped
    deploy:
      resources:
        limits:
          cpus: '1'
          memory: 512M