8.9. コンテナーおよびコンテナーイメージの脆弱性スキャン

手順

1. コンテナーまたはコンテナーイメージの ID を取得します。以下に例を示します。

   ~]# docker images
   REPOSITORY                            TAG      IMAGE ID       CREATED       SIZE
   registry.access.redhat.com/ubi7/ubi   latest   096cae65a207   7 weeks ago   239 MB
   

2. コンテナーまたはコンテナーイメージで脆弱性をスキャンし、結果を vulnerability.html ファイルに保存します。

   ~]# oscap-docker image-cve 096cae65a207 --report vulnerability.html

   重要
   コンテナーをスキャンするには、引数 image-cve を container-cve に置き換えてください。

検証

1. 任意のブラウザーで結果を調べます。以下に例を示します。

   ~]$ firefox vulnerability.html &

手順

1. 最新の OpenSCAP コンテナーイメージがあることを確認し、定義が最新であることを確認します。

   ~]# atomic help registry.access.redhat.com/rhel7/openscap | grep version 

2. いくつかの既知のセキュリティー脆弱性がある RHEL 7.2 コンテナーイメージをスキャンします。

   ~]# atomic scan registry.access.redhat.com/rhel7:7.2 
   docker run -t --rm -v /etc/localtime:/etc/localtime -v /run/atomic/2017-11-01-14-49-36-614281:/scanin -v /var/lib/atomic/openscap/2017-11-01-14-49-36-614281:/scanout:rw,Z -v /etc/oscapd:/etc/oscapd:ro registry.access.redhat.com/rhel7/openscap oscapd-evaluate scan --no-standard-compliance --targets chroots-in-dir:///scanin --output /scanout
   
   registry.access.redhat.com/rhel7:7.2 (98a88a8b722a718)
   
   The following issues were found:
   
    RHSA-2017:2832: nss security update (Important)
    Severity: Important
   	 RHSA URL: https://access.redhat.com/errata/RHSA-2017:2832
   	 RHSA ID: RHSA-2017:2832-01
   	 Associated CVEs:
   			 CVE ID: CVE-2017-7805
   			 CVE URL: https://access.redhat.com/security/cve/CVE-2017-7805
   ...