Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

12.2. 扫描镜像

对于版本 4.4，RHACS 提供两个扫描程序： StackRox Scanner 和 Scanner V4。两个扫描程序都可以检查网络中连接的安全集群中的镜像。在使用 Operator 或使用委派扫描时，部署的 Red Hat OpenShift 环境中默认启用安全集群扫描。如需更多信息，请参阅"访问委派的镜像扫描"。

重要

即使启用了 Scanner V4，仍必须启用 StackRox Scanner 来扫描 RHCOS 节点和平台漏洞，如 Red Hat OpenShift、Kubernetes 和 Istio。以后的发行版本中计划在 Scanner V4 中支持该功能。不要禁用 StackRox Scanner。

使用 StackRox Scanner 时，RHACS 执行以下操作：

  • Central 将镜像扫描请求提交到 StackRox Scanner。
  • 在收到这些请求时，StackRox Scanner 从相关 registry 中拉取镜像层，检查镜像，并识别每个层中安装的软件包。然后，它会将确定的软件包和特定于编程语言的依赖项与漏洞列表进行比较，并将信息发回到 Central

  • StackRox Scanner 标识以下区域中的漏洞：

    • 基础镜像操作系统
    • 软件包管理器安装的软件包
    • 特定于编程语言的依赖项
    • 编程运行时和框架

使用 Scanner V4 时，RHACS 执行以下操作：

  • Central 请求 Scanner V4 Indexer 下载和索引(analyze)给定镜像。
  • 扫描程序 V4 Indexer 从 registry 中拉取镜像元数据，以确定镜像的层，并下载之前未索引的层。
  • 扫描程序 V4 Indexer 从 Central 请求映射文件，以帮助索引过程。扫描程序 V4 Indexer 在索引报告中生成。
  • Central 请求 Scanner V4 Matcher 与给定镜像匹配到已知漏洞。这个过程会产生最终扫描结果：漏洞报告。扫描程序 V4 Matcher 从 Central 请求最新的漏洞。
  • 扫描程序 V4 Matcher 从 Scanner V4 Indexer 请求镜像索引（索引报告）的结果。然后，它会使用报告来确定相关的漏洞。只有在 Central 集群中索引镜像时，才会发生此交互。当 Scanner V4 与安全集群中索引的镜像的漏洞匹配时，不会发生此交互。
  • Indexer 在与索引结果相关的 Scanner V4 DB 中存储数据，以确保镜像层仅下载并索引一次。这可以防止不必要的网络流量和其他资源利用率。
  • 启用安全集群扫描后，Sensor 会请求 Scanner V4 来索引镜像。扫描程序 V4 Indexer 从 Sensor 请求映射文件，以帮助索引过程，除非在同一命名空间中存在 Central。在这种情况下，会联系 Central。

12.2.1. 了解并解决常见的 Scanner 警告信息
复制链接

当使用 Red Hat Advanced Cluster Security for Kubernetes (RHACS)扫描镜像时，您可能会看到 CVE DATA MAY BE INACCURATE 警告信息。当扫描程序无法检索有关操作系统或其他镜像中其他软件包的完整信息时，扫描程序会显示此消息。

下表显示了一些常见的 Scanner 警告信息：

Expand
表 12.1. 警告信息
消息描述

无法检索 OS CVE 数据，只有语言 CVE 数据可用

表示 Scanner 不支持镜像的基本操作系统，因此无法检索操作系统级别的软件包的 CVE 数据。

过时的操作系统 CVE 数据

表示镜像的基本操作系统已达到生命周期结束，这意味着漏洞数据已过时。例如，Debian 8 和 9。

有关识别镜像中组件所需的文件的更多信息，请参阅 检查漏洞的镜像。

获取基础操作系统信息失败

表示 Scanner 会扫描镜像，但无法决定用于镜像的基本操作系统。

从 registry 检索元数据失败

表示目标 registry 在网络上无法访问。原因可能是防火墙阻止 docker.io 或阻止访问的身份验证问题。

要分析根本原因，请为私有 registry 或存储库创建一个特殊的 registry 集成，以获取 RHACS Central 的 pod 日志。有关如何执行此操作的说明，请参阅 与镜像 registry 集成。

红帽漏洞扫描程序认证范围之外的镜像

表示 Scanner 扫描了镜像，但镜像旧且没有在 Red Hat Scanner 认证范围内。如需更多信息，请参阅 红帽漏洞扫描程序认证合作伙伴指南。

重要

如果您使用红帽容器镜像，请考虑使用比 2020 年 6 月更新 的基础镜像。

12.2.2. 支持的操作系统
复制链接

本节中列出的支持的平台是 Scanner 识别漏洞的发行版本，它与您可以安装 Red Hat Advanced Cluster Security for Kubernetes 的支持的平台不同。

扫描程序识别包含以下 Linux 发行版本的镜像中的漏洞。有关使用的漏洞数据库的更多信息，请参阅"RHACS 架构"中的"Vulnerability sources"。

Expand
分发版本

alpine Linux

alpine:3.2[1],alpine:3.3,alpine:3.4,alpine:3.5,alpine:3.6,alpine:3.7,alpine:3.8,alpine:3.9,alpine:3.10,alpine:3.11,alpine:3.12,alpine:3.13,alpine:3.14,alpine:3.15,alpine:3.16,alpine:3.17,alpine:3.18,alpine:3.19, alpine:3.20, alpine:3.2 0, alpine:edge

Amazon Linux

amzn:2018.03, amzn:2, amzn:2023[2]

CentOS

centos:6[1], centos:7[1], centos:8[1]

Debian

Debian:10,debian:11,debian:12,debian:unstable[1], distroless

Oracle Linux

OL:5[2], ol:6[2], ol:7[2], ol:8[2], ol:9[2]

Photon OS

photon:1.0[2], photon:2.0[2], photon:3.0[2]

Red Hat Enterprise Linux (RHEL)

rhel:6[3], rhel:7[3], rhel:8[3], rhel:9[3]

SUSE

SLES:11[2], sles:12[2], sles:15[2], opensuse-leap:15.0[2], opensuse-leap:15.1[2]

Ubuntu

Ubuntu:14.04,ubuntu:16.04,ubuntu:18.04,ubuntu:20.04,ubuntu:22.04,ubuntu:23.10,ubuntu:24.04

以下漏洞源没有由 vendor:12.04 , ubuntu:12.04,ubuntu:12.10,ubuntu:13.04,ubuntu:14.10,ubuntu:15.04,ubuntu::15.10,ubuntu::16.10,ubuntu:17.04,ubuntu:17.10,ubuntu:18.10,ubuntu:19. 04, ubuntu:19. 10, ubuntu:2 0.10, ubuntu:21. 04, ubuntu:2 1.10, ubuntu:2 2.10, ubuntu:23. 04, debian:8 [1 ] , debian:9 [1 ] , debian:10 [1]

  1. 仅在 StackRox Scanner 中支持。
  2. 仅在扫描器 V4 中支持。
  3. Scanner V4 不支持比 2020 年 6 月旧的镜像。
注意
  • 扫描程序不支持 Fedora 操作系统，因为 Fedora 不维护漏洞数据库。但是，Scanner 仍然检测基于 Fedora 的镜像中的特定语言漏洞。

12.2.3. 支持的软件包格式
复制链接

扫描程序可以检查镜像中使用以下软件包格式的漏洞：

Expand
软件包格式软件包管理器

apk

apk

dpkg

apt, dpkg

rpm

dnf, microdnf, rpm, yum

12.2.4. 支持的编程语言
复制链接

扫描程序可以检查依赖项中的漏洞，以了解以下编程语言：

Expand
编程语言软件包格式

Go[1]

二进制文件：用于构建二进制文件的标准库版本已被分析。如果使用模块支持(go.mod)构建二进制文件，则也会分析依赖项。

Java

JAR, WAR, EAR, JPI, HPI

JavaScript

package.json

Python

egg、wheel

Ruby

gem

  1. 仅在扫描器 V4 中支持。

12.2.5. 支持的层压缩格式
复制链接

容器镜像层是可能压缩或解压缩的 .tar 文件存档。stackrox Scanner 和 Scanner V4 支持不同的格式，如下表所示：

Expand
格式stackrox Scanner 支持扫描程序 V4 支持

没有压缩

是

是

bzip2

是

是

gzip

是

是

xz

是

否

zstd

否

是

12.2.6. 支持的运行时和框架
复制链接

从 Red Hat Advanced Cluster Security for Kubernetes 3.0.50 (Scanner 版本 2.5.0)开始，StackRox Scanner 识别以下开发人员平台中的漏洞：

  • .NET Core
  • ASP.NET Core

Scanner V4 不支持它们。

Red Hat Advanced Cluster Security for Kubernetes (RHACS)支持使用以下 OpenShift Container Platform 自定义资源(CR)之一从您配置的 registry 镜像扫描镜像：

  • ImageContentSourcePolicy (ICSP)
  • ImageDigestMirrorSet (IDMS)
  • ImageTagMirrorSet (ITMS)

有关如何配置镜像 registry 存储库镜像的更多信息，请参阅"配置镜像 registry 存储库镜像"。

您可以使用委派的镜像扫描自动从 registry 镜像扫描镜像。

有关如何配置委托镜像扫描的更多信息，请参阅"使用安全集群扫描镜像"。

返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat