1 pièce(s) jointe(s)
Docker dévoile « Docker Security Scanning », son outil de scan de vulnérabilités au sein des containers Docker
Docker dévoile « Docker Security Scanning » au public
Son outil de scan de vulnérabilités au sein des containers Docker
La firme américaine Docker a annoncé, dans un billet de blog, la disponibilité de son nouvel outil de scan de vulnérabilités au sein de Docker Cloud et baptisé « Docker Security Scanning ».
Selon son éditeur, ce nouveau scanneur initialement présenté sous le nom de projet Nautilus serait en mesure de procéder à un scan approfondi des images de l'ensemble des applications présentes sur la plateforme Docker.
Il convient de rappeler que les tests relatifs à la mise en place de cet outil auraient démarré il y a de cela six mois.
Docker précise également dans son annonce que le mode opératoire de « Docker Security Scanning » consiste à faire un scan des fichiers binaires contenus dans les images des applications afin d'identifier toutes les vulnérabilités susceptibles d'être présentes ; cela en analysant les composants et bibliothèques qui y sont intégrés. Pour la firme américaine, « Docker Security Scanning » ne se limite donc pas à une simple comparaison des noms d'images avec une liste d'images préalablement définie pour identifier des failles.
Le scanneur, dès son exécution, procéderait à un scan continu de l'image concernée. Les développeurs seraient ainsi automatiquement informés par mail de la détection d'une vulnérabilité et de la nécessité de faire un patch.
« Docker Security Scanning » serait directement interconnecté aux bases de données répertoriant les différentes vulnérabilités connues, cela afin de permettre aux développeurs d'identifier le plus rapidement possible les vulnérabilités.
L'éditeur affirme dans son billet que l'outil est disponible gratuitement pour une période d'essai de trois mois. À la fin de cette période, les utilisateurs devront payer un prix qui sera fonction des différents répertoires qui seront scannés par « Docker Security Scanning ».
Source : Blog Docker
Et vous ?
:fleche: Que pensez-vous de cet outil ?
:fleche: Allez-vous l'essayer ?
Clair de CoreOS permet de scanner également les containers
Docker security scanning parait très bien, mais n'est pas open source. Pas moyen de l'utiliser dans des solutions gratuites.
CoreOS fournit Clair en open source (https://github.com/coreos/clair). Il scanne régulièrement les couches des containers contre les bases connues (et mises à jour).
Pas de surcouche graphique, beaux rapports etc... simplement une interface REST, et on scanne chaque couche indépendement, pas un container. Donc à vous de faire le boulot pour bien présenter le tout si nécessaire, mais il offre quoiqu'il en soit une belle alternative pour des solutions libres ou privées.
