📚 课程目录第3章镜像签名与验证机制

3. 镜像扫描技术：静态扫描与动态扫描原理、常见扫描工具、扫描策略与CI/CD集成

镜像扫描是容器安全左移的核心实践，通过在构建阶段发现已知漏洞（CVE）、配置风险及恶意软件，阻止不安全镜像进入生产环境。本章深入解析静态与动态扫描的技术原理、主流工具选型、策略设计及CI/CD集成模式。

3.1 静态扫描 vs 动态扫描：原理与对比

镜像扫描按执行时机与检测方式分为静态扫描和动态扫描，两者在覆盖范围、性能开销和适用场景上形成互补。

维度	静态扫描（Static Analysis）	动态扫描（Dynamic Analysis）
扫描对象	镜像层文件系统、软件包清单、配置文件	运行中的容器进程、网络行为、文件系统变更
检测能力	已知CVE、密钥泄露、错误配置、恶意文件	运行时异常行为、零日攻击、逃逸尝试、横向移动
执行时机	构建阶段（CI）、镜像仓库推送前、部署准入前	容器运行期间（持续监控）
性能影响	低，离线分析，不启动容器	中高，需消耗宿主机资源监控进程与网络
误报率	中等，依赖漏洞库时效性	较低，基于实际行为判定
典型工具	Trivy, Clair, Anchore, Grype	Falco, Tracee, Sysdig Secure

最佳实践：静态扫描应作为准入控制的第一道防线，动态扫描作为运行时兜底。两者结合可覆盖镜像从构建到运行的全生命周期安全。

3.2 常见静态扫描工具：Trivy、Clair、Anchore

以下对三款主流开源静态扫描工具进行功能对比与选型建议。

特性	Trivy	Clair	Anchore Engine
开发方	Aqua Security	Red Hat / Quay	Anchore（现属Sysdig）
漏洞库	NVD、Red Hat、Debian、Ubuntu、Alpine、Amazon Linux、GitHub Advisory	NVD、Red Hat、Debian、Ubuntu、Alpine、Oracle	NVD、Red Hat、Debian、Ubuntu、Alpine、Amazon Linux、GitHub Advisory
扫描速度	极快（秒级）	中等（分钟级，依赖索引构建）	中等（分钟级，策略评估耗时）
配置检查	内置（Dockerfile、K8s、IaC）	需配合其他工具	内置（Dockerfile、K8s、Helm）
密钥检测	内置	不支持	内置
SBOM生成	支持（CycloneDX、SPDX）	支持（通过API）	支持（CycloneDX、SPDX）
CI/CD集成	CLI原生，零依赖	需部署服务端+客户端	需部署Engine服务+CLI
推荐场景	快速CI流水线、轻量级扫描	与Quay仓库深度集成	企业级策略引擎、合规审计

  选型建议：Trivy 因其极快的扫描速度和零依赖特性，已成为CI/CD集成的首选；Clair 适合已使用 Red Hat Quay 的团队；Anchore 适合需要复杂策略引擎和深度审计的企业环境。

3.3 扫描策略设计：阈值、豁免与阻断

有效的扫描策略需要定义三个核心要素：严重性阈值、豁免规则和阻断行为。

3.3.1 严重性阈值模型

环境	阻断阈值	警告阈值	说明
生产环境	CRITICAL + HIGH	MEDIUM	任何CRITICAL或HIGH漏洞直接阻断构建
预发布环境	CRITICAL	HIGH + MEDIUM	仅CRITICAL阻断，HIGH/MEDIUM记录告警
开发环境	无阻断	CRITICAL + HIGH	仅记录告警，不阻断构建

3.3.2 豁免规则设计

已知误报豁免：对特定CVE标记为“不会触发”或“不影响运行时”的漏洞进行白名单管理。
修复中豁免：对已有修复计划但尚未发布补丁的漏洞，设置临时豁免期限（如7天）。
基础镜像豁免：对来自可信基础镜像（如 distroless、chainguard）的漏洞，可降低严重性等级。
命名空间豁免：对特定命名空间（如 istio-system、kube-system）内的镜像放宽阈值。

3.3.3 阻断行为模式

# Trivy 阻断示例：CRITICAL 或 HIGH 漏洞数量超过0则失败
trivy image --severity CRITICAL,HIGH --exit-code 1 --ignore-unfixed myapp:latest

# Anchore 策略阻断示例：使用策略文件评估
anchore-cli evaluate --policy policy.json myapp:latest

# Clair 阻断示例：通过API查询漏洞状态后决定
clairctl --config clairctl.yml analyze myapp:latest
clairctl --config clairctl.yml vulnerabilities myapp:latest | grep -q "Critical" && exit 1

注意：过度严格的阻断策略可能导致开发效率下降。建议采用“渐进式收紧”策略：先在开发环境收集基线数据，再逐步提升生产环境的阻断阈值。

3.4 CI/CD集成模式：流水线中的扫描节点

镜像扫描应嵌入CI/CD流水线的镜像构建之后、镜像推送之前，以及镜像部署准入之前两个关键节点。

3.4.1 GitHub Actions 集成示例

name: Image Security Scan
on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4

      - name: Build Docker image
        run: docker build -t myapp:${{ github.sha }} .

      - name: Run Trivy vulnerability scanner
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: 'myapp:${{ github.sha }}'
          format: 'sarif'
          output: 'trivy-results.sarif'
          severity: 'CRITICAL,HIGH'
          exit-code: '1'
          ignore-unfixed: true

      - name: Upload Trivy results to GitHub Security
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: 'trivy-results.sarif'
          category: 'trivy'

3.4.2 GitLab CI 集成示例

stages:
  - build
  - scan
  - deploy

build:
  stage: build
  script:
    - docker build -t $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA .
    - docker push $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA

trivy-scan:
  stage: scan
  script:
    - docker pull $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
    - trivy image --severity CRITICAL,HIGH --exit-code 1 --ignore-unfixed $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
  only:
    - main

deploy:
  stage: deploy
  script:
    - kubectl set image deployment/myapp myapp=$CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
  needs:
    - trivy-scan
  only:
    - main

3.5 扫描结果处理与告警

扫描结果应自动关联到缺陷跟踪系统，并触发分级告警。

严重性	告警方式	响应时间	处理流程
CRITICAL	PagerDuty + 邮件 + Slack	15分钟	立即阻断部署，创建紧急工单
HIGH	Slack + 邮件	2小时	阻断部署，创建高优先级工单
MEDIUM	邮件 + Jira工单	24小时	记录告警，纳入迭代修复
LOW	Jira工单	7天	记录告警，低优先级修复

效率提升：使用 trivy --ignore-unfixed 参数过滤掉尚无修复补丁的漏洞，减少噪音，让团队聚焦于可立即修复的问题。

3.6 本章小结

静态扫描在构建阶段检测已知漏洞，速度快、成本低，是准入控制的第一道防线。
动态扫描在运行时检测异常行为，弥补静态扫描无法覆盖的零日攻击和配置漂移。
Trivy 凭借极速扫描和零依赖特性，成为CI/CD集成的首选工具；Clair 适合Quay生态；Anchore 适合企业级策略引擎。
扫描策略应包含严重性阈值、豁免规则和阻断行为，采用渐进式收紧策略平衡安全与效率。
CI/CD集成需在构建后和部署前两个节点执行扫描，确保镜像在进入生产环境前经过双重验证。