CN110263546A - 一种对容器镜像进行安全检查的方法、装置以及设备 - Google Patents

Abstract

本说明书实施例公开了一种对容器镜像安全检查的方法、装置及设备。方案包括：获取容器镜像的Dockerfile文件，所述Dockerfile文件包括用于构建所述容器镜像的文件文本；解析所述Dockerfile文件，得到解析结果；将所述解析结果与安全检查数据库进行匹配，得到安全检查列表。

Description

一种对容器镜像进行安全检查的方法、装置以及设备

技术领域

本说明书涉及计算机软件技术领域，尤其涉及一种对容器镜像进行安全检查的方法、装置以及设备。

背景技术

容器技术是一种类似于沙盒机制的运行环境隔离技术，用户可以在容器中创建运行操作系统，实现操作系统级的虚拟化。同传统的虚拟机相比，容器技术通过共享内核资源的方式，实现轻量级的应用运行隔离。Docker是容器技术的一种实现形式，具有高可移植性、开发运维一体性的特点。

随着容器技术应用的推广和普及，容器安全问题也日益引起各家公司、企业的普遍关注，容器是基于容器镜像运行的，容器镜像是容器技术的基础，容器镜像安全从而成为容器安全的一个重要方面。容器镜像包含了容器运行时的基本系统环境，包括文件系统和应用软件，若其中存在安全漏洞，当容器基于包含漏洞的容器镜像运行时，攻击者即可利用容器镜像中携带的漏洞进行攻击，因此，检查容器镜像的安全性是一个重要的环节。

发明内容

有鉴于此，本申请实施例提供了一种对容器镜像进行安全检查的方法、装置以及设备，用于对容器镜像进行安全检查，从而保证构建容器的安全性。

为解决上述技术问题，本说明书实施例是这样实现的：

本说明书实施例提供的一种对容器镜像进行安全检查的方法，包括：

获取容器镜像的Dockerfile文件，所述Dockerfile文件包括用于构建所述容器镜像的文件文本；

解析所述Dockerfile文件，得到解析结果；

将所述解析结果与安全检查数据库进行匹配，得到安全检查列表。

本说明书实施例提供的一种对容器镜像进行安全检查的装置，包括：

获取模块，用于获取容器镜像的Dockerfile文件，所述Dockerfile文件包括用于构建所述容器镜像的文件文本；

解析模块，用于解析所述Dockerfile文件，得到解析结果；

匹配模块，用于将所述解析结果与安全检查数据库进行匹配，得到安全检查列表。

本说明书实施例提供的一种对容器镜像进行安全检查的设备，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：

获取容器镜像的Dockerfile文件，所述Dockerfile文件包括用于构建所述容器镜像的文件文本；

解析所述Dockerfile文件，得到解析结果；

将所述解析结果与安全检查数据库进行匹配，得到安全检查列表。

本说明书实施例采用的上述至少一个技术方案能够达到以下有益效果：

本说明书实施例通过对Dockerfile文件进行安全检查，无需真正构建容器镜像，提前了安全检查的时机，使整个检查过程可以更好的整合入各公司、企业的容器管理流程。并且本说明书实施例通过对构建容器镜像的Dockerfile文件进行检索，获知容器镜像的安全性，无需真正构建容器镜像，不实际安装软件，检索时间短，效率高。

附图说明

为了更清楚地说明本说明书实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本说明书中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本说明书实施例提供的一种对容器镜像进行安全检查的系统架构图；

图2为本说明书实施例1提供的一种对容器镜像进行安全检查的方法的流程示意图；

图3为本说明书实施例2提供的一种对容器镜像进行安全检查的方法的流程图；

图4为本说明书实施例3提供的一种对容器镜像安全检查的装置的结构示意图；

图5为本说明书实施例4提供的一种对容器镜像安全检查的装置的结构示意图；

图6为本说明书实施例5提供的一种对容器镜像安全检查的设备的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

在对本说明书进行说明之前，对本说明书中使用的若干个用于进行说明。

Docker是PaaS提供商DotCloud开源的一个基于LXC的高级容器引擎，源代码托管在Github上，使用GO作为开发语言并遵从Apache2.0协议开源。Docker使用客户端/服务器(C/S)架构模式，使用OPENAPI来管理容器整个生命周期。

容器镜像(Image)是构建容器的基础，镜像是一种分层结构的文件系统。一个只读层被称为镜像，一个镜像是永久不会变的。由于Docker使用一个统一文件系统，Docker进程认为整个文件系统是以读写方式挂载的。但是所有的变更都发生顶层的可写层，而下层的原始的只读镜像文件并未变化。由于镜像不可写，所以镜像是无状态的。

容器基于Docker镜像创建生成。容器可以理解为镜像的一个实例。让用户可以打包应用及程序依赖包到一个可移植的容器内，然后部署到支持Docker的Linux机器上(常见Linux发布版本基本都支持Docker)。同时，实现了进程级别的虚拟化。

Dockerfile是由一系列命令和参数构成的脚本，这些命令应用于基础镜像并最终创建一个新的镜像。它们简化了从头到尾的流程并极大的简化了部署工作。Dockerfile从FROM命令开始，紧接着跟随者各种方法，命令和参数。其产出为一个新的可以用于创建容器的镜像。

以下结合附图，详细说明本申请各实施例提供的技术方案。

图1为本说明书实施例提供的一种对容器镜像进行安全检查的系统架构图。

如图1所示，包括Dockerfile文件101、安全扫描引擎102、安全检查数据库103和安全检查列表104。

首先，获取容器镜像的Dockerfile文件101，Dockerfile文件101包括用于构建所述容器镜像的文件文本，其中Dockerfile文件101可从Dockerfile仓库105中拉取，Dockerfile仓库105包括若干Dockerfile文件，也可以通过其他路径获取。然后利用安全扫描引擎102对Dockerfile文件101进行解析及安全扫描，安全扫描引擎102中包括安全检查规则，利用所述安全检查规则将解析后的Dockerfile文件101与安全检查数据库103进行匹配，安全检查数据库103中包括多个数据库，分别对应Dockerfile文件101中的不同数据，然后将匹配结果存储在安全检查列表104中。

并且，调用方106可通过调用容器镜像安全检查服务107启动对容器进行的安全检查，并且调用容器镜像安全检查服务107还可以将安全检查列表104中的检查结果反馈到调用方106，使调用方106可以根据反馈的结果对Dockerfile文件101进行管控，选择是否利用Dockerfile文件101生成容器镜像。

本方案各实施例提供的技术方案均是应用于图1中的对容器镜像进行安全检查的系统架构中，以下结合附图，详细说明本申请各实施例提供的技术方案。

现有技术中，对容器镜像的安全检查需要在生成镜像之后进行，即需要利用Dockerfile文件生成容器镜像，然后再对镜像中的内容进行检查，如扫描文件系统下的某些目标文件来获取镜像中的软件及配置信息，进而对这些信息进行安全检查，这种方案在时间上具有滞后性，并且容器镜像的占用空间较大，对其进行扫描的时间较长。

实施例1

图2为本说明书实施例1提供的一种对容器镜像进行安全检查的方法的流程示意图。从程序角度而言，流程的执行主体可以为搭载于应用服务器的程序或应用客户端。如图2所示，所述方法可以包括：

步骤201：获取容器镜像的Dockerfile文件，所述Dockerfile文件包括用于构建所述容器镜像的文件文本。

其中，获取容器镜像的Dockerfile文件的途径包括Dockerfile仓库，所述Dockerfile仓库包括公共仓库和私有仓库。

所述公共仓库包括Docker Hub和DockerPool，其中Docker Hub为Docker官方维护的一个公共仓库，其中包括15000多个镜像，大部分都可以通过dockerhub直接下载镜像，也可通过docker search和dockerpull命令来拉取；DockerPool为国内专业的Docker，其中也提供镜像的下载。

所述私有仓库包括企业或者公司等用户根据需要利用容器技术构建的一个用于存储Dockerfile文件的仓库，构建此仓库的用户可根据需要从私有仓库获取Dockerfile文件，并且还可以将镜像保存在私有仓库中，从而不断完善私有仓库，以满足后续的需求。

除通过上述途径获取目标镜像的Dockerfile文件外，Dockerfile文件还可以从网盘、云盘和移动硬盘等存储设备中获取。例如，用户B需要构建一个目标镜像，用户B发现构建目标镜像所需的Dockerfile文件用户A曾经使用过，此时用户B就可以请用户A将所需的Dockerfile文件传输给用户B，用户A就可以采用网盘、云盘和移动硬盘等方式将Dockerfile文件传输给用户B。

需要说明的是，本说明书实施例提供的所述容器镜像也可称为目标镜像，所述目标镜像是在基础镜像的基础上增加可编译的层构成的，基础镜像可称为目标镜像的父镜像。

另外，Dockerfile文件还可以包括用户编写的用于构建容器镜像的文件，例如，用户在构建容器镜像时，在公共仓库、私有仓库以及其他可以获取容器镜像的Dockerfile文件的途径中均没有发现所需的Dockerfile文件，用户就可以在直接编写Dockerfile文件。

步骤202：解析所述Dockerfile文件，得到解析结果。

本说明书实施例1提供的所述解析结果包括软件配置信息；所述软件配置信息表示所述Dockerfile文件中用于构建所述容器镜像的软件的信息；所述安全检查数据库包括软件漏洞库，所述软件漏洞库包括若干软件漏洞的信息。

本说明书实施例1将所述Dockerfile文件中的信息进行了归类，其中可采用检索关键命令的方式将所述Dockerfile文件中用于构建所述容器镜像的软件的信息归纳到所述软件配置信息中，进而利用归纳后的软件配置信息进行后续步骤，使本说明书实施例1提供的安全检查更具有针对性。

步骤203：将所述解析结果与安全检查数据库进行匹配，得到安全检查列表。

其中，所述安全检查列表包括软件配置子列表；所述将所述解析结果与安全检查数据库进行匹配，得到安全检查列表，具体包括：所述软件配置信息与所述软件漏洞库中存储的软件漏洞指令进行匹配，得到所述软件配置子列表。

所述软件配置信息与所述软件漏洞库中存储的软件漏洞指令进行匹配，得到所述软件配置子列表，具体可以包括：

解析出所述Dockerfile文件中所述软件配置信息的关键指令，所述关键指令包括至少一条关键指令语句，将所述关键指令语句逐条与所述软件漏洞库中预存指令进行匹配；若所述软件漏洞库中包含所述关键指令语句，则确定所述关键指令语句为漏洞，将所述软件配置信息中存在漏洞的信息记录至软件配置子列表。例如，解析出Dockerfile文件中的“nginx.conf”等作为关键指令，利用正则表达式将这些指令以及包含的语句与所述软件漏洞库中内容进行匹配，如果所述软件漏洞库中包含所述指令及其语句，则表示所述指令及语句存在漏洞，将所述指令及语句进行标记，记录至软件配置字列表；如果所述软件漏洞库中并没有包括所述关键指令及其语句，则表示所述软件配置信息无误，可用于构建容器镜像。所述软件漏洞库包括CVE漏洞库，还可以根据实际需要选择不同的软件漏洞库，只要能进行漏洞检索即可，这里不做限定。

本说明书实施例1提供的解析结果还包括基础镜像信息、系统配置信息中至少一种；所述基础镜像信息表示所述Dockerfile文件中用于构建所述容器镜像的基础镜像的信息，所述所述基础镜像信息可位于所述Dockerfile文件中“FROM”指令后边；所述系统配置信息表示所述Dockerfile文件中用于构建所述容器镜像的操作系统的配置信息。

所述安全检查数据库包括基础镜像子数据库、系统配置子数据库中至少一种；所述基础镜像子数据库中包括若干种基础镜像的信息；所述系统配置子数据库中包括若干种操作系统的配置信息。

所述安全检查列表包括基础镜像子列表、系统配置子列表中至少一种；所述将所述解析结果与安全检查数据库进行匹配，得到安全检查列表，具体包括：所述基础镜像信息与所述基础镜像子数据库中存储的所述基础镜像的信息进行匹配，得到所述基础镜像子列表；所述系统配置信息与所述系统配置子数据库中存储的所述操作系统的配置信息进行匹配，得到所述系统配置子列表。

其中，所述基础镜像子数据库一般由调用方，如公司或企业等，自身选取、管控，通常包括若干已经修复漏洞的安全镜像。本说明书实施例中将解析结果中的基础镜像的信息与所述基础镜像子数据库中的镜像信息进行匹配，如果所述基础镜像子数据库中包含解析结果中的基础镜像的信息，则表示所述解析结果中的基础镜像的信息为安全；如果通过匹配检索所述基础镜像子数据库，其中并未发现与解析结果中的基础镜像的信息相对应的内容，则表示所述基础镜像的信息为非正常信息，所述基础镜像的信息将被标记为非正常信息，还可以触发警报，用于提示调用方，调用方可针对所述警报进行相关的处理。

所述系统配置信息可与系统配置子数据库进行匹配，判断所述系统配置信息的安全性。其中，系统配置子数据库为安全检查数据库的一部分，包括调用方，一般为企业或公司，根据实际应用设定的包括多种系统配置方案的数据库。例如，对于开发的某应用程序，其可在多种系统配置中运行，将这些系统配置放置到子数据库中构成系统配置子数据库，将所述Dockerfile文件中的所述系统配置信息与所述系统配置子数据库进行匹配，如果所述系统配置信息包含在所述系统配置子数据库中，则表示此系统配置信息为安全，否则表示此系统配置信息为非正常信息，还可以触发警报，用于提示调用方，此时调用方可针对所述警报进行相关的处理。例如，可采用“/etc/profile”、“/etc/bashrc”作为关键指令，与所述系统配置子数据库进行匹配，还可以根据实际情况采用合适的关键指令，只要能进行所需的匹配即可，这里不做限定。

在实际应用中，还可以可以根据需要将所述解析结果进行分类，并在所述安全检查数据库设定多个子数据库。

本说明书实施例1提供的所述解析结果还可以包括密钥文件指令、敏感系统指令中至少一种；所述所述密钥文件指令表示所述Dockerfile文件中用于构建所述容器镜像的有关密钥的指令，所述密钥可以包括镜像密钥，一般包括多个字母、字符和数字；所述敏感系统指令表示所述Dockerfile文件中包含的敏感指令。

基于上述解析结果，所述安全检查数据库还可以包括密钥指令子数据库、敏感指令子数据库中至少一种；所述安全检查列表还可以包括密钥文件子列表、敏感指令子列表中至少一种。

其中，所述将所述解析结果与安全检查数据库进行匹配，得到安全检查列表，具体包括：所述密钥文件指令与所述密钥指令子数据库中存储的密钥指令进行匹配，得到所述密钥文件子列表；所述敏感系统指令与所述敏感指令子数据库中存储的敏感指令进行匹配，得到所述敏感指令子列表。

本说明书实施例1所述密钥文件指令可与密钥指令子数据库进行匹配，判断所述密钥文件指令的安全性，所述密钥指令子数据库为安全检查数据库的一部分，一般为企业或公司根据实际需要设置的一个数据库，其中包括可运行的若干密钥指令。可采用“～/.ssh/id_rsa”作为关键指令，将所述密钥文件指令与所述密钥指令子数据库进行匹配，还可以根据实际情况采用合适的关键指令，只要能进行所需的匹配即可，这里不做限定。如果所述密钥指令子数据库中并没有匹配到与所述密钥文件指令相对应的信息，则表示所述密钥文件指令为非正常信息，可以触发警报，用于提示调用方，调用方可针对所述警报进行相关的处理。

所述敏感系统指令可与敏感指令子数据库进行匹配，判断所述敏感系统指令的安全性，所述敏感指令子数据库为安全检查数据库的一部分，一般为为企业或公司根据实际需要构建的一个数据库，其中包括若干敏感指令，如“useradd”用于添加用户的指令等。本说明书实施例可将所述Dockerfile文件中的指令与所述敏感指令子数据库进行匹配，如果所述Dockerfile文件中存在所述敏感指令子数据库中的敏感指令，将所述敏感指令标记为非正常信息，还可以触发警报，用于提示调用方，调用方可针对所述警报进行相关的处理。

本说明书实施例1所述得到安全检查列表，可以具体包括：所述软件配置信息与所述软件漏洞库进行匹配后，若所述软件配置信息存在非正常信息，则将此非正常信息进行标注，记录至所述软件配置子列表。

还可以包括：所述基础镜像的信息与所述基础镜像子数据库中的镜像信息进行匹配后，若所述基础镜像的信息中存在非正常信息，则将此非正常信息进行标注，记录至所述基础镜像子列表；所述系统配置信息与系统配置子数据库进行匹配后，若所述系统配置信息中存在非正常信息，则将此非正常信息进行标注，记录至所述系统配置子列表；所述密钥文件指令可与密钥指令子数据库进行匹配后，若所述密钥文件指令中存在非正常信息，则将此非正常信息进行标注，记录至所述密钥指令子列表；所述敏感系统指令可与敏感指令子数据库进行匹配后，若所述敏感系统指令中存在非正常信息，则将此非正常信息进行标注，记录至所述敏感指令子列表。本领域技术人员还可以根据需要设定不同的子数据库以及子列表，只要能对所述Dockerfile文件中的解析文件进行全面的匹配，获得安全检查结果即可，这里不做限定。

上述漏洞、非正常信息等均可表示为危险信息，即所述Dockerfile文件中存在的危险信息，在利用所述Dockerfile文件构建容器镜像时，所述危险信息可能会使所述容器镜像存在安全问题，当容器基于所述容器镜像运行时，攻击者就可以利用所述容器镜像存在安全问题实施攻击。

在实际应用中，还可以通过解析所述Dockerfile文件中的RUN命令，将yum/apt-get/rpm/dpkg等命令析取出来，可将此命令进行复制，模拟软件安装环境，进而获得即将安装的软件版本，再将获得的软件版本与所述安全检查数据库中的子数据库进行匹配，检查所述软件版本的安全性，例如，可采用“nginx1.15.3”作为关键指令，利用正则表达式进行匹配。另外，还可以在某环境中运行基础镜像，通过模拟镜像构建过程的方式，获取即将生成的容器镜像的系统信息、软件版本信息等等，然后再与安全检查数据库进行匹配，得相应的安全检查结果。

本说明书实施例可采用正则表达式匹配规则进行匹配，还可以采用其他匹配规则，这里不做限定。正则表达式，又称规则表达式。(英语：Regular Expression，在代码中常简写为regex、regexp或RE)，计算机科学的一个概念。正则表达式通常被用来检索、替换那些符合某个模式(规则)的文本。正则表达式是对字符串(包括普通字符(例如，a到z之间的字母)和特殊字符(称为“元字符”))操作的一种逻辑公式，就是用事先定义好的一些特定字符、及这些特定字符的组合，组成一个“规则字符串”，这个“规则字符串”用来表达对字符串的一种过滤逻辑。正则表达式是一种文本模式，该模式描述在搜索文本时要匹配的一个或多个字符串。

本说明书实施例1提供的对容器镜像进行安全检查的方法，通过对Dockerfile文件进行安全检查，无需真正构建容器镜像，而现有技术中必须将容器镜像构建完成后，再对容器镜像进行安全检查，本说明书实施例1提供的安全检查是在构建容器镜像之前进行的，提前了安全检查的时机，并且由于Dockerfile文件为文本文件，其中不包含相关操作系统，比容器镜像小十几个数量级，在对Dockerfile文件进行安全检查的时间也就会比对容器镜像进行安全检查的时间短，效率高，并且由于本说明书实施例提供的安全检查方法是在构建容器镜像之前完成的，所需时间短，可使整个检查过程可以更好的整合入各公司、企业的容器管理流程，增强了用户的体验性。

为更好的说明本说明书实施例1提供的对容器镜像进行安全检查的方法的优点，以某用户为例进行说明。假设该用户需要利用容器测试一个应用程序，则该用户需要运行一个容器镜像生成容器。现有技术中，该用户生成容器之前为保证生成容器的安全性会选择先对容器镜像进行安全检查，即需要等待容器镜像检查完成后再进行后续操作。而本说明书实施例1中，是对构建容器镜像的Dockerfile文件进行安全检查，即可以在该用户运行容器镜像之前已经完成了安全检查，当该用户运行一个容器镜像生成容器时，选用的容器镜像是由已经安全检查过的Dockerfile文件构建的，此时容器镜像不存在安全问题，该用户就可以直接利用容器镜像生成容器，不需要再等待容器镜像检查的过程，提前了检查时机。另外当用户利用Dockerfile文件构建容器镜像进而生成容器时，由于Dockerfile文件的体积远小于容器镜像的体积，在相同条件下，对Dockerfile文件进行安全检查的时间远小于对容器镜像进行安全检查的时间，也缩短了用户的等待时间。

另外，对于公司或企业，其需要对容器进行管理，进而分配给需要的用户，在整个流程中需要预留容器镜像安全检查的时间，而本申请是对Dockerfile文件进行安全检查，Dockerfile文件为文本文件，其中不包含相关操作系统，在相同条件下，现有技术中对容器镜像进行安全检查一般需要3分钟，而本说明书实施例是对Dockerfile文件进行安全检查，所用时间为几秒至十几秒，远小于现有技术中对容器镜像进行安全检查的时间，可以更好的整合入各公司或企业的容器管理流程中。

实施例2

基于上述实施例1提供的对容器镜像进行安全检查的方法，本说明书实施例2提供了另一种对容器镜像进行安全检查的方法，图3为本说明书实施例2提供的对容器镜像进行安全检查的方法流程图，如图3所示，所述方法可以包括：

步骤301：调用容器镜像安全检查服务，所述容器镜像安全检查服务用于对所述容器镜像进行安全检查。

本说明书实施例2中通过调用容器镜像安全检查服务对所述容器镜像进行安全检查，为用户提供了调用安全检查的方式。其中，所述容器镜像安全检查服务包括对所述容器镜像进行安全检查的一个服务器，调用方可通过API接口调用所述容器镜像安全检查服务。

API(ApplicationProgramming Interface,应用程序编程接口)是一些预先定义的函数，目的是提供应用程序与开发人员基于某软件或硬件得以访问一组例程的能力，而又无需访问源码，或理解内部工作机制的细节。

步骤302：获取容器镜像的Dockerfile文件，所述Dockerfile文件包括用于构建所述容器镜像的文件文本；本说明书实施例2中可通过安全检查服务获取容器镜像的Dockerfile文件。

步骤303：解析所述Dockerfile文件，得到解析结果。

其中，所述解析所述Dockerfile文件，具体包括：通过所述容器镜像安全检查服务中的安全扫描引擎对所述Dockerfile文件进行解析。

通过所述安全扫描引擎解析所述Dockerfile文件后得到所述解析结果，所述解析结果包括软件配置信息，所述软件配置信息表示所述Dockerfile文件中用于构建所述容器镜像的软件的信息。

步骤304：将所述解析结果与安全检查数据库进行匹配，得到安全检查列表。

其中，所述安全检查数据库包括软件漏洞库，所述软件漏洞库包括若干软件漏洞的信息。所述安全检查列表包括软件配置子列表。

所述将所述解析结果与安全检查数据库进行匹配，得到安全检查列表，具体包括：所述软件配置信息与所述软件漏洞库中存储的软件漏洞指令进行匹配，得到所述软件配置子列表。

所述解析结果可以包括多种信息，分别与所述子数据库进行匹配；所述安全检查列表包括至少一个子列表，所述子列表与所述子数据库相对应，所述解析结果与所述子数据库进行匹配后生成所述子列表。

本说明书实施例2中所述安全检查数据库还可以包括基础镜像子数据库、系统配置子数据库、密钥指令子数据库、敏感指令子数据库中至少一种；所述安全检查列表还可以包括基础镜像子列表、系统配置子列表、密钥文件子列表、敏感指令子列表中至少一种；所述将所述解析结果与安全检查数据库进行匹配，得到安全检查列表，具体还可以包括：所述基础镜像的信息与所述基础镜像子数据库中存储的基础镜像进行匹配，得到所述基础镜像子列表；所述系统配置信息与所述系统配置子数据库中存储的系统配置指令进行匹配，得到所述系统配置子列表；所述密钥文件指令与所述密钥指令子数据库中存储的密钥指令进行匹配，得到所述密钥文件子列表；所述敏感系统指令与所述敏感指令子数据库中存储的敏感指令进行匹配，得到所述敏感指令子列表。

步骤305：将所述安全检查列表反馈调用方的终端，从而调用方可获得直观具体的安全检查结果。本说明书实施例2中安全检查列表包括文本文件，其中具体指示了所述Dockerfile文件中包含的危险信息，例如，哪些指令为问题指令，存在漏洞或存在不安全因素。

其中，所述安全检查列表还包括一级提醒、二级提醒和三级提醒中任一种；

一级提醒用于提示所述调用方所述Dockerfile文件为安全文件，所述Dockerfile文件能够构建所述目标镜像；

二级提醒用于提示所述调用方所述Dockerfile文件中存在可忽略的危险信息；

三级提醒用于提示所述调用方所述Dockerfile文件中存在不可忽略的危险信息，所述Dockerfile文件不能构建所述目标镜像。

本说明书实施例2中所述安全检查列表根据危险信息的安全级别进行不同级别提醒的划分，使调用方可更直观的获知需要重点注意的危险信息，调用方还可对不同级别的提醒采用不同的处理方式。

上述步骤305后，还可以包括：所述调用方根据所述安全检查列表对所述Dockerfile文件进行管控，具体包括：

接受所述一级提醒，运行所述Dockerfile文件生成所述容器镜像；

拒绝所述二级提醒，忽略所述可忽略的危险信息，运行所述Dockerfile文件生成所述容器镜像；或

接受所述二级提醒，终止运行所述Dockerfile文件生成所述容器镜像；

接受所述三级提醒，终止运行所述Dockerfile文件生成所述容器镜像。

本说明书实施例2中所述安全检查列表根据危险信息的安全级别进行不同级别的提醒，进而调用方可从提醒中判断是否继续利用所述Dockerfile文件构建所述容器镜像，即使调用方不清楚所述Dockerfile文件中具体指令语句的含义，可也可以根据提醒判断是否继续构建所述容器镜像，对调用方的要求低，具有普遍性，应用范围广，实用性强。

本说明书实施例2提供的对容器镜像进行安全检查的方法，是在上述实施例1的基础上增加了调用和反馈的步骤，通过对Dockerfile文件进行安全检查，无需真正构建容器镜像，提前了安全检查的时机，使整个检查过程可以更好的整合入各公司、企业的容器管理流程。并且本说明书实施例通过对构建容器镜像的Dockerfile文件进行检索，获知容器镜像的安全性，无需真正构建容器镜像，不实际安装软件，检索时间短，效率高。另外，调用方可通过调用容器镜像安全检查服务调用或启动安全检查，并且可根据安全检查列表中的不同提醒进行不同操作，实用性强。

实施例3

基于同样的思路，本说明书实施例3还提供了上述实施例1提供的方法对应的装置。图4为本说明书实施例3提供的一种对容器镜像安全检查的装置的结构示意图。如图4所示，所述装置可以包括：

获取模块401，用于获取容器镜像的Dockerfile文件，所述Dockerfile文件包括用于构建所述容器镜像的文件文本；

解析模块402，用于解析所述Dockerfile文件，得到解析结果；

匹配模块403，用于将所述解析结果与安全检查数据库进行匹配，得到安全检查列表。

其中，所述解析结果包括基础镜像的信息、系统配置信息、软件配置信息、密钥文件指令、以及敏感系统指令中至少一种；所述安全检查数据库包括多个子数据库，所述解析结果分别与所述子数据库进行匹配。

所述匹配模块403，可以包括：

基础镜像匹配模块，用于所述基础镜像的信息与所述安全检查数据库中的所述子数据库进行匹配，检索所述基础镜像的信息的安全性；

系统配置匹配模块，用于所述系统配置信息与所述安全检查数据库中的所述子数据库进行匹配，检索所述系统配置信息的安全性；

软件配置匹配模块，用于所述软件配置信息与所述安全检查数据库中的所述子数据库进行匹配，检索所述软件配置信息的安全性；

密钥指令匹配模块，用于所述密钥文件指令与所述安全检查数据库中的所述子数据库进行匹配，检索所述密钥文件指令的安全性；

敏感指令匹配模块，用于所述敏感系统指令与所述安全检查数据库中的所述子数据库进行匹配，检索所述敏感系统指令的安全性。

需要说明的是，所述匹配模块可根据实际需要进行检索匹配的文件内容进行设置，上述内容只是列举了几种可能的匹配模块，这里对匹配模块不做限定，只要能够完成所述Dockerfile文件的检索匹配即可。

实施例4

基于同样的思路，本说明书实施例4还提供了上述实施例2提供的方法对应的装置。图5为本说明书实施例4提供的一种对容器镜像安全检查的装置的结构示意图。如图5所示，所述装置可以包括：

调用模块501，用于调用容器镜像安全检查服务，所述容器镜像安全检查服务用于对所述容器镜像进行安全检查。

获取模块502，用于获取容器镜像的Dockerfile文件，所述Dockerfile文件包括用于构建所述容器镜像的文件文本。

解析模块503，用于解析所述Dockerfile文件，得到解析结果。

匹配模块504，用于将所述解析结果与安全检查数据库进行匹配，得到安全检查列表。

其中，所述解析结果包括基础镜像的信息、系统配置信息、软件配置信息、密钥文件指令、以及敏感系统指令中至少一种；所述安全检查数据库包括多个子数据库，所述解析结果分别与所述子数据库进行匹配。

所述匹配模块504，可以包括：

基础镜像匹配模块，用于所述基础镜像的信息与所述安全检查数据库中的所述子数据库进行匹配，检索所述基础镜像的信息的安全性；

系统配置匹配模块，用于所述系统配置信息与所述安全检查数据库中的所述子数据库进行匹配，检索所述系统配置信息的安全性；

软件配置匹配模块，用于所述软件配置信息与所述安全检查数据库中的所述子数据库进行匹配，检索所述软件配置信息的安全性；

密钥指令匹配模块，用于所述密钥文件指令与所述安全检查数据库中的所述子数据库进行匹配，检索所述密钥文件指令的安全性；

敏感指令匹配模块，用于所述敏感系统指令与所述安全检查数据库中的所述子数据库进行匹配，检索所述敏感系统指令的安全性。

需要说明的是，所述匹配模块可根据实际需要进行检索匹配的文件内容进行设置，上述内容只是列举了几种可能的匹配模块，这里对匹配模块不做限定，只要能够完成所述Dockerfile文件的检索匹配即可。

反馈模块505，用于将所述安全检查列表反馈调用方的终端；

所述安全检查列表包括一级提醒、二级提醒和三级提醒中任一种；

一级提醒用于提示所述调用方所述Dockerfile文件为安全文件；

二级提醒用于提示所述调用方所述Dockerfile文件中存在可忽略的危险信息；

三级提醒用于提示所述调用方所述Dockerfile文件中存在不可忽略的危险信息，所述Dockerfile文件不能构建所述目标镜像；

所述危险信息包括影响所述容器镜像安全的信息。

基于上述本说明书实施例4提供的装置，还可以包括：

管控模块，用于所述调用方根据所述安全检查列表对所述Dockerfile文件进行管控，具体包括：

接受所述一级提醒，运行所述Dockerfile文件生成所述容器镜像；

拒绝所述二级提醒，忽略所述可忽略的危险信息，运行所述Dockerfile文件生成所述容器镜像；或

接收所述二级提醒，终止运行所述Dockerfile文件生成所述容器镜像；

接收所述三级提醒，终止运行所述Dockerfile文件生成所述容器镜像。

实施例5

基于同样的思路，本说明书实施例还提供了上述方法对应的设备，图6为本说明书实施例5提供的对容器镜像进行安全检查的设备的结构示意图。如图6所示，设备600可以包括：

至少一个处理器610；以及，

与所述至少一个处理器通信连接的存储器630；其中，

所述存储器存储630有可被所述至少一个处理器610执行的指令620，所述指令被所述至少一个处理器610执行，以使所述至少一个处理器610能够：

获取容器镜像的Dockerfile文件，所述Dockerfile文件包括用于构建所述容器镜像的文件文本；

解析所述Dockerfile文件，得到解析结果；

将所述解析结果与安全检查数据库进行匹配，得到安全检查列表。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置、设备、非易失性计算机存储介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本说明书实施例提供的装置、设备、非易失性计算机存储介质与方法是对应的，因此，装置、设备、非易失性计算机存储介质也具有与对应方法类似的有益技术效果，由于上面已经对方法的有益技术效果进行了详细说明，因此，这里不再赘述对应装置、设备、非易失性计算机存储介质的有益技术效果。

在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进(例如，对二极管、晶体管、开关等电路结构的改进)还是软件上的改进(对于方法流程的改进)。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件(Programmable Logic Device,PLD)(例如现场可编程门阵列(Field ProgrammableGateArray，FPGA))就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字系统“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器(logic compiler)”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言(Hardware Description Language，HDL)，而HDL也并非仅有一种，而是有许多种，如ABEL(Advanced Boolean Expression Language)、AHDL(Altera Hardware DescriptionLanguage)、Confluence、CUPL(Cornell UniversityProgramming Language)、HDCal、JHDL(Java Hardware Description Language)、Lava、Lola、MyHDL、PALASM、RHDL(RubyHardware Description Language)等，目前最普遍使用的是VHDL(Very-High-SpeedIntegrated Circuit Hardware Description Language)与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。

控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该(微)处理器执行的计算机可读程序代码(例如软件或固件)的计算机可读介质、逻辑门、开关、专用集成电路(Application Specific Integrated Circuit，ASIC)、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC 625D、AtmelAT91SAM、Microchip PIC18F26K20以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本说明书时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本说明书实施例可提供为方法、系统、或计算机程序产品。因此，本说明书实施例可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本说明书实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本说明书是参照根据本说明书实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本说明书实施例可提供为方法、系统或计算机程序产品。因此，本说明书可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本说明书可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本说明书可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本说明书，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本说明书实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (11)

1.一种对容器镜像进行安全检查的方法，包括：

获取容器镜像的Dockerfile文件，所述Dockerfile文件包括用于构建所述容器镜像的文件文本；

解析所述Dockerfile文件，得到解析结果；

将所述解析结果与安全检查数据库进行匹配，得到安全检查列表。

2.如权利要求1所述的方法，所述获取容器镜像的Dockerfile文件之前还包括：

调用容器镜像安全检查服务，所述容器镜像安全检查服务用于对所述容器镜像进行安全检查。

3.如权利要求2所述的方法，所述解析所述Dockerfile文件，具体包括：

通过所述容器镜像安全检查服务中的安全扫描引擎对所述Dockerfile文件进行解析。

4.如权利要求1所述的方法，所述解析结果包括软件配置信息；所述软件配置信息表示所述Dockerfile文件中用于构建所述容器镜像的软件的信息；

所述安全检查数据库包括软件漏洞库，所述软件漏洞库包括若干软件漏洞的信息；

所述安全检查列表包括软件配置子列表；

所述将所述解析结果与安全检查数据库进行匹配，得到安全检查列表，具体包括：所述软件配置信息与所述软件漏洞库中存储的软件漏洞指令进行匹配，得到所述软件配置子列表。

5.如权利要求4所述的方法，所述解析结果还包括基础镜像信息、系统配置信息中至少一种；所述基础镜像信息表示所述Dockerfile文件中用于构建所述容器镜像的基础镜像的信息；所述系统配置信息表示所述Dockerfile文件中用于构建所述容器镜像的操作系统的配置信息；

所述安全检查数据库包括基础镜像子数据库、系统配置子数据库中至少一种；所述基础镜像子数据库中包括若干种基础镜像的信息；所述系统配置子数据库中包括若干种操作系统的配置信息；

所述安全检查列表包括基础镜像子列表、系统配置子列表中至少一种；

所述将所述解析结果与安全检查数据库进行匹配，得到安全检查列表，具体包括：

所述基础镜像信息与所述基础镜像子数据库中存储的所述基础镜像的信息进行匹配，得到所述基础镜像子列表；

所述系统配置信息与所述系统配置子数据库中存储的所述操作系统的配置信息进行匹配，得到所述系统配置子列表。

6.如权利要求4所述的方法，所述软件配置信息与所述软件漏洞库中存储的软件漏洞指令进行匹配，得到所述软件配置子列表，具体包括：

解析出所述Dockerfile文件中所述软件配置信息的关键指令，所述关键指令包括至少一条关键指令语句；

将所述关键指令语句逐条与所述软件漏洞库中的预存指令进行匹配；

若所述软件漏洞库中包含所述关键指令语句，则确定所述关键指令语句存在漏洞，将所述软件配置信息中存在漏洞的信息记录至所述软件配置子列表。

7.如权利要求1所述的方法，所述得到安全检查列表之后还包括：

将所述安全检查列表反馈调用方的终端；

所述安全检查列表包括一级提醒、二级提醒和三级提醒中任一种；

一级提醒用于提示所述调用方所述Dockerfile文件为安全文件；；

二级提醒用于提示所述调用方所述Dockerfile文件中存在可忽略的危险信息；

三级提醒用于提示所述调用方所述Dockerfile文件中存在不可忽略的危险信息，所述Dockerfile文件不能构建所述目标镜像；

所述危险信息包括影响所述容器镜像安全的信息。

8.一种对容器镜像进行安全检查的装置，包括：

获取模块，用于获取容器镜像的Dockerfile文件，所述Dockerfile文件包括用于构建所述容器镜像的文件文本；

解析模块，用于解析所述Dockerfile文件，得到解析结果；

匹配模块，用于将所述解析结果与安全检查数据库进行匹配，得到安全检查列表。

9.如权利要求8所述的装置，还包括：

调用模块，用于调用容器镜像安全检查服务，所述容器镜像安全检查服务用于对所述容器镜像进行安全检查。

10.如权利要求8所述的装置，还包括反馈模块，用于将所述安全检查列表反馈调用方的终端；

所述安全检查列表包括一级提醒、二级提醒和三级提醒中任一种；

一级提醒用于提示所述调用方所述Dockerfile文件为安全文件；

二级提醒用于提示所述调用方所述Dockerfile文件中存在可忽略的危险信息；

三级提醒用于提示所述调用方所述Dockerfile文件中存在不可忽略的危险信息，所述Dockerfile文件不能构建所述目标镜像；

所述危险信息包括影响所述容器镜像安全的信息。

11.一种对容器镜像进行安全检查的设备，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：

获取容器镜像的Dockerfile文件，所述Dockerfile文件包括用于构建所述容器镜像的文件文本；

解析所述Dockerfile文件，得到解析结果；

将所述解析结果与安全检查数据库进行匹配，得到安全检查列表。