CN111625834A - Docker镜像文件漏洞检测系统及检测方法 - Google Patents

Abstract

本申请涉及一种Docker镜像文件漏洞检测系统及检测方法，系统包括：镜像文件监控模块，用于对Docker镜像文件库仓库中的镜像文件进行监控；提示模块，用于当监控到所述Docker镜像文件库中有Docker镜像文件发生变动时，发出漏洞检测提示消息；以及检测模块，用于在安全检测提示消息的提示下对变动后的Docker镜像文件进行漏洞检测。本申请提供的Docker镜像文件漏洞检测系统，可以在Docker容器的镜像文件发生变动时自动进行漏洞检测，从而保证了Docker容器的安全性。

Description

Docker镜像文件漏洞检测系统及检测方法

技术领域

本发明属于计算机网络安全技术领域，尤其涉及一种Docker镜像文件漏洞检测系统及检测方法。

背景技术

Docker是一个开源的应用容器引擎，它让开发者可以打包他们的应用以及依赖包到一个可移植的镜像中，然后发布到任何流行的Linux或Windows机器上，也可以实现虚拟化。Docker容器是完全使用沙箱机制，相互之间不会有任何接口。如今，Docker已经成为面向微服务架构场景下最流行的容器，Docker镜像则是Docker容器最基础的载体。

在实际使用中，一般企业会有自己的Docker镜像文件仓库，企业会根据自身需求进行增加、删除或者更新Docker镜像文件，这些Docker镜像文件可能在开发、测试、预发布或者生产等任意环节被使用。当企业Docker镜像文件仓库中的Docker镜像文件存在漏洞时，则有可能对企业的网络运行环境造成较大的影响。所以，在企业的Docker镜像文件仓库中的Docker镜像文件发生变动时，对变动的Docker镜像文件进行实时的安全检测显得尤为重要。

然而，现有的容器漏测检查还停留在传统的web容器检测阶段，缺乏针对Docker容器的镜像文件漏洞检测系统。

发明内容

本申请提供一种Docker镜像文件漏洞检测系统及检测方法，用于解决上述技术问题。

本申请第一方面提供一种Docker镜像文件漏洞检测系统，系统包括：

镜像文件监控模块，用于对Docker镜像文件库中的Docker镜像文件进行监控；

提示模块，用于当监控到所述Docker镜像文件库中有Docker镜像文件发生变动时，发出漏洞检测提示消息；

检测模块，用于在所述漏洞检测提示消息的提示下对变动后的Docker镜像文件进行漏洞检测。

本申请第二方面提供一种Docker镜像文件漏洞检测方法，用于第一方面提供的Docker镜像文件漏洞检测系统中，方法包括：

镜像文件监控模块对Docker镜像文件库中的Docker镜像文件进行实时扫描；

当扫描确定Docker镜像文件库中的Docker镜像文件发生变动时，提示模块发出用于提示进行漏洞检测的提示消息；

响应于提示模块发出的提示消息，检测模块对变动后的Docker镜像文件进行漏洞检测。

从上述本申请实施例可知，本申请提供的Docker镜像文件漏洞检测系统，包括：镜像文件监控模块，用于对Docker镜像文件库仓库中的镜像文件进行监控；提示模块，用于当监控到所述Docker镜像文件库中有Docker镜像文件发生变动时，发出漏洞检测提示消息；以及检测模块，用于在安全检测提示消息的提示下对变动后的Docker镜像文件进行漏洞检测。本申请提供的Docker镜像文件漏洞检测系统，可以在Docker容器的镜像文件发生变动时自动进行漏洞检测，从而保证了Docker容器的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的Docker镜像文件漏洞检测系统的结构示意图；

图2为本申请实施例提供的Docker镜像文件漏洞检测系统的另一结构示意图；

图3为本申请实施例提供的Docker镜像文件漏洞检测系统的又一结构示意图；

图4为本申请实施例提供的Docker镜像文件漏洞检测方法的流程示意图。

具体实施方式

为使得本申请的目的、特征、优点能够更加的明显和易懂，下面将结合本发明实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而非全部实施例。基于本申请中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

如图1所示，为本申请实施例提供的Docker镜像文件漏洞检测系统的结构示意图，该系统包括如下模块：

镜像文件监控模块101，用于对Docker镜像文件库中的镜像文件进行监控；

提示模块102，用于当监控到Docker镜像文件库中有Docker镜像文件发生变动时，发出漏洞检测提示消息；以及

检测模块103，用于在漏洞检测提示消息的提示下对变动后的Docker镜像文件进行漏洞检测。

通常，企业部署的Docker容器都会有其自己的Docker镜像文件仓库，在实际使用中，企业会根据自身的需求对Docker镜像文件仓库中的镜像文件进行增加、删除或者对旧的Docker镜像文件进行更新。在对Docker镜像文件仓库中的Docker镜像文件进行一次整体的漏洞检测后，已有的Docker镜像文件存在漏洞的可能性较小。因此，对发生增加、删除或更新等变动的Docker镜像文件进行漏洞检测，即可以保证Docker容器运行的安全性，也可以在一定程度上提高漏洞检测的效率。一般地，Docker镜像文件变动主要但不限于发生在如下情况：企业Docker镜像文件仓库获取外部镜像时、企业Docker镜像文件仓库自己制作生成镜像时以及企业的Docker镜像文件仓库对镜像中的软件组件做更新时。

本申请实施例部署的Docker镜像文件漏洞检测系统，其镜像文件监控模块101会对Docker镜像文件库中的镜像文件进行实时的监控，以确保在Docker镜像文件发生变动时可以在第一时间发现。具体地，镜像文件监控模块101可以对Docker镜像文件库中的镜像文件进行实时的循环扫描。由于Docker容器镜像是由多个层组成的文件系统，每个Docker镜像文件都有一个文件清单，文件清单记录了当前镜像文件是由哪几个层联合组成。镜像文件监控模块101在对Docker镜像文件进行扫描时，首先获取到Docker镜像文件的文件清单，通过该文件清单获取到Docker镜像文件所有层的地址描述符。可以理解的是，每一个地址描述符在Docker镜像文件存储系统中代表的是一个唯一的地址，通过该地址即可以找到相应文件的内容。进一步地，镜像文件监控模块101除了获取上述数据外，还对Docker镜像文件的版本数据进行获取。通过对前后两次扫描每个存放地址存放的数据内容及版本进行比对即可确定Docker镜像文件是否发生变动。

当镜像文件监控模块101扫描确定Docker镜像文件发生变动后，提示模块102向检测模块103发送提示消息，以启动检测模块103对变动后的Docker镜像文件进行漏洞检测。当系统设置显示界面时，提示模块102还可以向显示界面发送提示消息，例如：检测到镜像文件变动，进行漏洞检测。

检测模块103在接收到漏洞检测提示消息后，根据随提示消息发送的层文件的地址描述符对变动后的Docker镜像文件每个层的文件进行获取，提取后再对提取的每个层的文件分别进行漏洞检测以确定变动后的Docker镜像文件是否存在安全漏洞。可以理解的是，检测模块103可以对发生变动的Docker镜像文件进行漏洞检测，也可以对Docker镜像文件库中的所有Docker镜像文件进行漏洞检测。若只对发生变动的Docker镜像文件进行漏洞检测，可以在保证Docker容器运行安全的基础上提高Docker镜像文件漏洞检测的效率。若对变动后Docker镜像文件库中的所有Docker镜像文件进行安全检测，则可以进一步提高Docker容器运行的安全性。

根据上述描述可知，本申请实施例提供的Docker镜像文件漏洞检测系统，系统包括：镜像文件监控模块，用于对Docker镜像文件库仓库中的镜像文件进行监控；提示模块，用于当监控到所述Docker镜像文件库中有Docker镜像文件发生变动时，发出漏洞检测提示消息；以及检测模块，用于在安全检测提示消息的提示下对变动后的Docker镜像文件进行漏洞检测。本申请提供的Docker镜像文件漏洞检测系统，可以在Docker容器的镜像文件发生变动时自动进行漏洞检测，从而保证了Docker容器的安全性。

进一步地，如图2所示，为本申请实施例提供Docker镜像文件漏洞检测系统的另一结构示意图，相对于图1实施例提供的系统，本实施例提供的系统还包括：

通用漏洞监控模块201，连接于互联网，用于实时获取Docker镜像文件通用漏洞发布平台发布的通用漏洞信息；

则检测模块103还用于，当通用漏洞监控模块201监控到有新的通用漏洞信息发布时，根据新的通用漏洞信息对Docker镜像文件库中的Docker镜像文件进行漏洞检测。

可以理解的是，由于网络运行环境的复杂多变，网络应用程序的安全漏洞也会经常发生变化。为方便用户对漏洞进行辨别，通用漏洞披露(Common Vulnerabilities&Exposures，CVE)应运而生，伴之而成立了通用漏洞发布平台。目前常见CVE漏洞发布平台有美国国家漏洞数据库(National Vulnerability Database，NVD)。本申请提供的检测系统中的通用漏洞监控模块201可以连接于NVD等漏洞发布平台，并实时监控其最新发布的CVE漏洞信息。当监控到该CVE漏洞发布平台发布了新的漏洞信息时，获取该新的漏洞信息的详细信息并向检测模块103发送漏洞检测指令。在获取到该新的漏洞信息的详细信息后，检测模块103根据该新的漏洞信息的详细信息对Docker文件库中所有的Docker文件进行漏洞检测。

本申请实施例提供的Docker镜像文件漏洞检测系统，可以对CVE漏洞发布平台发布的CVE漏洞进行实时监控，并在CVE漏洞发布平台发布新的CVE漏洞后，第一时间对企业镜像库中的镜像文件进行针对性的漏洞检测，进一步保证了Docker容器运行的安全性。

进一步地，如图3所示，为本申请实施例提供的Docker镜像文件漏洞检测系统的又一结构示意图，相对于图2实施例提供的检测系统，本实施例提供的Docker镜像文件检测系统还包括：

通用漏洞数据库模块301，用于存储通用漏洞数据；

则通用漏洞监控模块201还用于，当检测到有新的通用漏洞信息发布时，将新的通用漏洞数据发送至通用漏洞数据库模块301进行存储；

则检测模块103根据通用漏洞数据库模块中存储的通用漏洞数据对变动后的Docker镜像文件进行漏洞检测。

在本申请实施例中，检测系统具有通用漏洞数据库模块301，该模块用于存储通用漏洞数据。可以将已知的通用漏洞数据存储于该通用漏洞数据库模块301中，在需要对Docker镜像文件进行漏洞检测时，获取到Docker镜像文件每个层的文件后，将这些层文件在通用漏洞数据库模块301中进行匹配，根据匹配结果即可判定Docker镜像文件中是否存在通用漏洞。进一步地，通用漏洞监控模块201还会实时获取CVE发布平台发布的最新CVE并将该最新CVE保存至通用漏洞数据库模块301中，从而实现通用漏洞数据库的实时更新。

进一步地，上述各实施例提供的漏洞检测系统，还可以具有：

预警模块，用于当检测模块检测到变动后的Docker镜像文件存在漏洞时，发出提示消息以进行预警。

在本申请实施例中，Docker镜像文件检测系统具有的预警模块在检测模块103检测到镜像文件存在漏洞时，会发出提示消息或提示音，以此提示系统维护人员对Docker文件进行修改更新以避免漏洞对Docker容器运行造成影响。进一步地，预警模块还可以向指定邮箱发送邮件，从而将预警信息发送至指定相关人员。

进一步地，上述实施例提供的检测系统，还可以具有：

人机交互模块，用于接收用户的操作指令并将操作结果进行显示；

则检测模块103还用于在用户的漏洞检测指令下对Docker镜像文件库中的Docker镜像文件进行漏洞检测，以及在用户的检测结果查询指令下将检测结果发送至人机交互模块。

可以理解的是，前述实施例提供的Docker镜像文件检测系统，均是在特定条件触发下自动对Docker镜像文件进行漏洞检测，无需人工干预。但是，也有可能长期未发生触发条件，例如长期未有Docker镜像文件变动，且无新的CVE发布。此时，可通过本申请实施例提供的检测系统的人机交互模块控制检测系统进行漏洞检测。具体地，用户在人机交互模块中输入进行漏洞检测指令，则检测模块103在识别该检测指令后对Docker镜像文件库中的所有镜像文件进行漏洞检测，并将检测进度在人机交互界面上予以显示。当检测完成后，可以自动将检测结果在人机交互模块的显示界面上进行显示。也可以在用户输入检测结果查询指令时，将检测结果调出并在人机交互模块的显示界面上进行显示。

如图4所示，为本申请实施例提供的Docker镜像文件漏洞检测方法的流程示意图，该方法包括如下步骤：

步骤401，镜像文件监控模块对Docker镜像文件库中的Docker镜像文件进行实时扫描。

在本申请实施例中，镜像文件监控模块对Docker镜像文件库中的Docker镜像文件进行实时扫描以实现对镜像文件的监控。对不同的Docker镜像文件进行扫描，可以获得不同的Docker镜像文件中安装的操作系统版本和所有的软件版本信息。根据上述信息可以确定Docker镜像文件是否发生变动。

步骤402，当扫描确定Docker镜像文件库中的镜像文件发生变动时，提示模块发出用于提示进行漏洞检测的提示消息。

步骤403，响应于提示模块发出的提示消息，检测模块对变动后的Docker镜像文件进行漏洞检测。

在本申请实施例中，对变动后的Docker镜像文件进行漏洞检测，具体地，将Docker镜像文件与漏洞信息进行匹配。可以理解的是，通用漏洞信息中包含了相应的软件版本信息，但这些软件版本信息在通用漏洞中的描述方式与在镜像文件中的描述方式会存在一定的差异。如此则可以先对通用漏洞中的版本信息与镜像文件中的版本信息建立一个对应关系。再根据这个对应关系对Docker镜像文件与漏洞信息进行匹配。若匹配结果为Docker镜像文件中存在与漏洞信息相同的软件版本信息，则确定该Docker镜像文件存在漏洞。反之则确定Docker镜像文件不存在漏洞。

根据上述描述可知，本申请实施例提供的Docker镜像文件漏洞检测方法，通过对Docker镜像文件库中的镜像文件进行实时监控，当Docker镜像文件发生变动时，即对变动后的Docker镜像文件进行漏洞检测。该方法可以自动对变动后的Docker镜像文件进行漏洞检测，实时保证了Docker容器运行的安全性。

进一步地，上述方法还包括：

通用漏洞监控模块实时获取Docker镜像文件通用漏洞发布平台发布的漏洞信息；

当通用漏洞监控模块监控到有新的通用漏洞信息发布时，检测模块对Docker镜像文件库中的Docker镜像文件进行漏洞检测。

在本申请实施例中，通用漏洞监控模块与Docker镜像文件通用漏洞发布平台网络连接，并实时获取其发布的漏洞信息。具体地，可以采用网络爬虫等方法对该平台发布的信息进行实时的监控。当监控到该平台发布了新的通用漏洞时，获取该通用漏洞的详细信息，向检测模块发送漏洞检测提示消息并将该通用漏洞的详细信息存储至通用漏洞数据库模块中。检测模块根据获取的漏洞信息对Docker镜像文件库中的Docker镜像文件进行漏洞检测。

本方法可以实时获取到最新的通用漏洞并对Docker镜像库中的镜像文件进行漏洞检测。实时保证了Docker容器运行的安全性。

进一步地，在检测模块对变动后的Docker镜像文件进行漏洞检测之后，还包括：

当检测模块检测到变动后的Docker镜像文件存在漏洞时，预警模块发出提示消息以进行预警。

在本申请实施例中，预警模块可以发出提示消息、可以发出预警提示音也可以向指定邮箱发送邮件以向指定人员进行预警。

进一步地，在检测模块对变动后的Docker镜像文件进行漏洞检测之后，还可以包括：

响应于用户输入的检测结果查询指令，将检测结果在人机交互模块进行显示。

在本申请实施例中，当检测模块检测确定变动后的Docker镜像文件存在漏洞时，预警模块会发出预警提示。当检测模块检测确定变动后的Docker镜像文件不存在漏洞时，可以不显示检测结果并将检测结果存储于存储器中。也可以将显示结果在人机交互模块的人机交互界面进行显示。存储于存储器中的检测结果与检测时间一一对应进行存储。当用户需要查看一段时间内的检测结果时，可以在人机交互模块的人机交互界面输入检测结果查询指令，响应于该查询指令，人机交互模块调取存储于存储器中的检测结果列表并在人机交互模块的人机交互界面进行显示。

需要说明的是，对于前述的各方法实施例，为了简便描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其它顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定都是本申请所必须的。

在上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其它实施例的相关描述。

以上为对本申请所提供的Docker镜像文件漏洞检测系统及检测方法的描述，对于本领域的技术人员，依据本申请实施例的思想，在具体实施方式及应用范围上均会有改变之处，综上，本说明书内容不应理解为对本申请的限制。

Claims (10)

1.一种Docker镜像文件漏洞检测系统，其特征在于，所述系统包括：

镜像文件监控模块，用于对Docker镜像文件库中的Docker镜像文件进行监控；

提示模块，用于当监控到所述Docker镜像文件库中有Docker镜像文件发生变动时，发出漏洞检测提示消息；以及

检测模块，用于在所述漏洞检测提示消息的提示下对变动后的Docker镜像文件进行漏洞检测。

2.根据权利要求1所述的系统，其特征在于，所述系统还包括：

通用漏洞监控模块，连接于互联网，用于实时获取Docker镜像文件通用漏洞发布平台发布的通用漏洞信息；

则所述检测模块还用于，当所述通用漏洞监控模块监控到有新的通用漏洞信息发布时，根据所述新的通用漏洞信息对Docker镜像文件库中的Docker镜像文件进行漏洞检测。

3.根据权利要求2所述的系统，其特征在于，所述系统还包括：

通用漏洞数据库模块，用于存储通用漏洞数据；

则所述通用漏洞监控模块还用于，当检测到有新的通用漏洞信息发布时，将所述新的通用漏洞数据发送至所述通用漏洞数据库模块进行存储；

则所述检测模块根据所述通用漏洞数据库模块中存储的通用漏洞数据对所述变动后的Docker镜像文件进行漏洞检测。

4.根据权利要求1～3中任意一项所述的系统，其特征在于，所述系统还包括：

预警模块，用于当所述检测模块检测到变动后的Docker镜像文件存在漏洞时，发出提示消息以进行预警。

5.根据权利要求4所述的系统，其特征在于，所述系统还包括：

人机交互模块，用于接收用户的操作指令并将操作结果进行显示；

则所述检测模块还用于在用户的漏洞检测指令下对Docker镜像文件库中的Docker镜像文件进行漏洞检测，以及

在用户的检测结果查询指令下将检测结果发送至人机交互模块。

6.一种Docker镜像文件漏洞检测方法，用于权利要求1～5中任意一种漏洞检测系统，其特征在于，所述方法包括：

镜像文件监控模块对Docker镜像文件库中的Docker镜像文件进行实时扫描；

当扫描确定Docker镜像文件库中的Docker镜像文件发生变动时，提示模块发出用于提示进行漏洞检测的提示消息；

响应于提示模块发出的提示消息，检测模块对变动后的Docker镜像文件进行漏洞检测。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

通用漏洞监控模块实时获取Docker镜像文件通用漏洞发布平台发布的通用漏洞信息；

当所述通用漏洞监控模块监控到有新的通用漏洞信息发布时，检测模块对Docker镜像文件库中的Docker镜像文件进行漏洞检测。

8.根据权利要求7所述的方法，其特征在于，所述检测模块对Docker镜像文件库中的Docker镜像文件进行漏洞检测之前，还包括：

将所述新的通用漏洞数据存储至通用漏洞数据库模块中。

9.根据权利要求6所述的方法，其特征在于，所述检测模块对变动后的Docker镜像文件进行漏洞检测之后，还包括：

当所述检测模块检测到变动后的Docker镜像文件存在漏洞时，预警模块发出提示消息以进行预警。

10.根据权利要求6所述的方法，其特征在于，所述检测模块对变动后的Docker镜像文件进行漏洞检测之后，还包括：

响应于用户输入的检测结果查询指令，将检测结果在人机交互模块进行显示。

Images