CoreOS发布开源容器漏洞分析工具Clair

今天我们开源了一个新的项目，Clair，这是一个用来对容器安全进行监控的工具。Clair是个API驱动(API-Driven)的分析引擎，能逐层逐层地对已知的安全漏洞进行审查。你能轻松使用Clair构建出针对容器安全漏洞的持续监控服务。CoreOS深信，那些能改善世界基础设施的安全工具，值得所有的用户和公司都拥有，所以我们将其开源。为了同样的目标，我们期待大家对Clair项目的反馈和贡献。

Quay的Security Scanning(安全扫描)功能beta版本的就是基于Clair做的。这个新功能目前运行在Quay上，可以对Quay平台上存储的数百万计的容器的进行安全漏洞检查。现在，Quay用可以登录后台，在控制面板看到有关于Secure Scanning的信息，信息包含仓库中可能有漏洞威胁的容器列表。Quay Security Scanning的beta发布公告里面有对于Quay用户更详细的信息。

Clair为何而生：提升安全

软件世界里，安全漏洞会一直存在。好的安全实践意味着要对可能出现的事故未雨绸缪 - 即尽早发现不安全的软件包，并准备好快速进行升级。而Clair就是设计来帮助你找出容器中可能存在的不安全软件包。

要理解系统会受到哪些威胁威胁是一个劳力伤神的事情，尤其当你应对的环境是异构或者动态的的时候。Clair的目标是让任何开发者都能增强对容器基础设施的洞见的能力。甚至于，让团队能在漏洞出现时，能够找到方案并且修复漏洞。

Clair工作原理

Clair对每个容器layer进行扫描，并且对于那些可能成为威胁的漏洞发出预警。它的数据是基于Common Vulnerabilities and Exposures数据库(常见的漏洞和风险数据库，简称CVE)，和Red Hat，Ubuntu和Debian的类似数据库。因为layer可以在很多的容器之间共享，审查至关重要，然后才能构建一个软件包的大仓库，并且与CVE数据库进行比对。

漏洞的自动检测能帮助提升对漏洞的认知，在开发及运维团队里实施最佳安全实践，和促使漏洞的修复并解决。当新的漏洞公布出来，所有已有的layer都会被重新扫描，并且发出相应的预警。

例如，CVE-2014-0160，又被称作Heartbleed(心脏出血)，已经闻名18个月了，然而Quay的Scanning发现对于Quay平台上的近80%的用户Docker镜像它仍然其一个潜在的威胁。就如CoreOS 包含一个自动更新的工具，能在操作系统层修复Heartbleed一样，我们希望这个工具能在容器的层面上，提升安全性，并且帮助CoreOS成为运行容器的一个最安全的地方。

开始使用

你可以观看Joey Schorr和Quentin Machu关于Clar的分享视频来了解更多内容。分享中的用到的幻灯片也能帮到到你。

这只是一个开始，我们希望对其更多更多的开发。我们一直欢迎社区的贡献和支持。你可以在Quay中试用Clair，或者在你自己的环境中启用它，欢迎你讲你的想法告诉我们。

Clair团队将会参加在11月16-17在巴塞罗那的欧洲DockerCon。欢迎光临Quay的展台了解更多的细节，或者观看Clair或者Quay Secure Scanning的演示demo。

本文作者：钟最龙

来源：51CTO

CoreOS发布开源容器漏洞分析工具Clair相关推荐

Clair：CoreOS发布的开源容器漏洞分析工具
Clair为何而生:提升安全软件世界里,安全漏洞会一直存在.好的安全实践意味着要对可能出现的事故未雨绸缪 - 即尽早发现不安全的软件包,并准备好快速进行升级.而Clair就是设计来帮助你找出容器中可 ...
开源组件漏洞检查工具实践分析
文章目录 Murphysec开源组件漏洞检查工具介绍检测原理 JetBrains IDE插件MurphySec Code Scan工具使用介绍支持功能插件安装插件配置一键扫描一键修复功 ...
开源java性能分析工具_Java性能监控：您应该知道的5个开源工具
开源java性能分析工具鲜为人知但有用:开源应用程序性能监视的状态对于任何应用程序来说,最重要的事情之一就是性能. 我们要确保用户获得他们能获得的最佳体验,并想知道我们的应用已启动并正在运行. 这 ...
RiskSense Spotlight：全球知名开源软件漏洞分析报告
聚焦源代码安全,网罗国内外最新资讯! 编译:奇安信代码卫士团队 RiskSense 公司最近发布了关于全球当前知名开源软件 (OSS) 的漏洞分析报告.奇安信代码卫士团队编译如下. 摘要开源软 ...
Google 释出开源软件漏洞扫描工具 OSV-Scanner
开源开发人员可在项目使用 OSV-Scanner,透过比对依赖项目和 OSV 漏洞资料库,找出项目的依赖项目中所存在的漏洞. Google 推出免费工具 OSV-Scanner(https://git ...
基于 SpringBoot+Vue 的开源数据可视化分析工具
简介 DataEase 是开源的数据可视化分析工具,帮助用户快速分析数据并洞察业务趋势,从而实现业务的改进与优化.DataEase 支持丰富的数据源连接,能够通过拖拉拽方式快速制作图表,并可以方便的与 ...
大数据开源的可视化分析工具，主要有哪些？
目前,我们可以在市场上找到很多用于网络分析和数据可视化的开源工具,例如NetworkX,R和Gephi中的iGraph包等.在所有工具中,Gephi一直以来被认为是最值得推荐的,它可以帮助用户轻松实现 ...
Top 7大开源数据可视化分析工具！
目前,我们可以在市场上找到很多用于网络分析和数据可视化的开源工具,例如NetworkX,R和Gephi中的iGraph包等.在所有工具中,Gephi一直以来被认为是最值得推荐的,它可以帮助用户轻松实现 ...
arachni web mysql数据库_开源Web漏洞扫描工具–Arachni（转载）
作者:{SJW}@ArkTeam Arachni是一个开源的,全面的.模块化的Web漏洞扫描框架,它能够帮助渗透人员和网络管理人员测试Web应用的安全性. 一.功能介绍 Arachni能适用于多平台和 ...

CoreOS发布开源容器漏洞分析工具Clair

CoreOS发布开源容器漏洞分析工具Clair相关推荐

最新文章

热门文章