第 8 章 Clair 安全扫描程序

Clair v4 (Clair)是一个开源应用程序，它利用静态代码分析来解析镜像内容和报告影响内容的漏洞。Clair 与 Quay.io 打包，由 Red Hat Quay 开发团队自动启用。

对于 Quay.io 用户，镜像会在推送到您的存储库后自动索引。然后，从 Clair 获取报告，它将镜像与其 CVE 的数据库匹配以报告安全信息。这个过程会在 Quay.io 上自动进行，且不需要手动重新批准。

8.1. 关于 Clair

Clair 使用来自国家漏洞数据库(NVD)的通用漏洞评分系统(CVSS)数据来增强漏洞数据，这是美国政府与安全相关的信息的美国政府存储库，包括各种软件组件和系统中的已知漏洞和安全问题。使用 NVD 中的分数为 Clair 提供以下优点：

数据同步.Clair 可以定期将其漏洞数据库与 NVD 同步。这样可确保它具有最新的漏洞数据。
匹配和增强.Clair 将容器镜像中发现的漏洞的元数据和标识符与来自 NVD 的数据进行比较。这个过程涉及将唯一标识符（如通用漏洞和暴露(CVE) ID）与 NVD 中的条目匹配。找到匹配项时，Clair 可以使用来自 NVD 的更多详细信息（如严重性分数、描述和引用）增强其漏洞信息。
严重性分数.NVD 为漏洞分配严重性分数，如通用漏洞评分系统(CVSS)分数，以指示与每个漏洞相关的潜在影响和风险。通过合并 NVD 的严重性分数，Clair 可以针对它所检测到的漏洞的严重程度提供更多上下文。

如果 Clair 从 NVD 找到漏洞，则向 UI 上的用户报告了对容器镜像中检测到的漏洞的严重性和标准化评估。CVSS 增强数据提供以下优点：

Clair 使用以下漏洞数据库报告镜像中的问题：

Clair 支持识别和管理以下依赖项：

这意味着它可以分析和报告这些语言中项目依赖的第三方库和软件包，以便正常工作。

当包含 Clair 不支持的语言中软件包的镜像推送到您的存储库时，无法对这些软件包执行漏洞扫描。用户不会收到不支持的依赖项或软件包的分析或安全报告。因此，应考虑以下后果：

安全风险.未扫描的漏洞的依赖项或软件包可能会给您的机构带来安全风险。
合规问题.如果您的机构有特定的安全或合规要求、未扫描或部分扫描，容器镜像可能会导致与某些法规不合规。
注意
扫描的镜像被索引，并创建了漏洞报告，但可能会省略某些不支持的语言中的数据。例如，如果您的容器镜像包含 Lua 应用，则不会提供来自 Clair 的反馈，因为 Clair 不会检测到它。它可以检测容器镜像中使用的其他语言，并显示检测到这些语言的 CVE。因此，Clair 镜像 会根据 Clair 支持的内容进行完全扫描。