第 3 章 Clair 安全扫描程序

Clair v4 (Clair)是一个开源应用，它利用静态代码分析来解析镜像内容并报告影响内容的漏洞。Clair 与 Quay.io 打包，被自动启用，并由 Red Hat Quay 开发团队管理。

对于 Quay.io 用户，镜像会在镜像推送到存储库后自动进行索引。然后，会从 Clair 获取报告，该镜像与其 CVE 的数据库匹配，以报告安全信息。此过程会在 Quay.io 上自动进行，不需要手动重新设置。

3.1. 关于 Clair

Clair 使用国家漏洞数据库(NVD)中的常见漏洞评分系统(CVSS)数据功能丰富的漏洞数据，这是与安全相关的信息，包括各种软件组件和系统中的已知漏洞和安全问题。使用 NVD 中的分数为 Clair 提供以下优点：

数据同步.Clair 可以定期将其漏洞数据库与 NVD 同步。这样可确保它具有最新的漏洞数据。
匹配并增强.Clair 将容器镜像中发现的漏洞的元数据和标识符与 NVD 中的数据进行比较。这个过程涉及将唯一标识符（如常见漏洞和暴露(CVE) ID）与 NVD 中的条目匹配。找到匹配项时，Clair 可以通过来自 NVD 的额外详情来增强其漏洞信息，如严重性分数、描述和引用。
严重性分数.NVD 为漏洞分配严重性分数，如通用漏洞评分系统(CVSS)分数，以指示与每个漏洞相关的潜在影响和风险。通过整合 NVD 的严重性分数，Clair 可以根据它检测到的漏洞的严重程度提供更多上下文。

如果 Clair 从 NVD 找到漏洞，对容器镜像中检测到的漏洞的严重性和潜在影响的详细说明和潜在影响将报告给 UI 上的用户。CVSS 增强数据提供了以下优点：

Clair 使用以下漏洞数据库来报告镜像中的问题：

Clair 支持识别和管理以下依赖项：

这意味着，它可以分析和报告这些语言中项目依赖的第三方库和软件包。

当包含 Clair 不支持的语言的软件包的镜像被推送到您的存储库时，无法在这些软件包上执行漏洞扫描。用户不会收到不支持的依赖项或软件包的分析或安全报告。因此，应该考虑以下结果：

安全风险.没有扫描漏洞的依赖项或软件包可能会给您的组织带来安全风险。
合规问题.如果您的组织具有特定的安全性或合规要求、未扫描或部分扫描，容器镜像可能会导致与某些法规不兼容。
注意
扫描的镜像会被索引，并创建了漏洞报告，但可能会忽略某些不支持的语言中的数据。例如，如果您的容器镜像包含 Lua 应用程序，则不会提供来自 Clair 的反馈，因为 Clair 不会检测到它。它可以检测容器镜像中使用的其他语言，并显示这些语言检测到的 CVE。因此，Clair 镜像 会根据 Clair 支持的内容进行完全扫描。