文档首页/ 企业主机安全 HSS/ 用户指南/ 风险预防/ 容器镜像安全/ 本地镜像安全扫描/ 本地镜像安全扫描概述
更新时间：2025-08-26 GMT+08:00
查看PDF
分享

本地镜像安全扫描概述

什么是本地镜像安全扫描？

本地镜像是指存储或运行在容器宿主机上的镜像资源，这些容器镜像可能来自没有安全保障的自建仓库，或者是由研发人员未经严格的安全审查流程自行上传，其中可能存在安全漏洞或其他风险，一旦运行会对用户的生产环境构成威胁。

本地镜像安全扫描通过扫描本地镜像，发现其中存在的系统漏洞、应用漏洞等安全隐患并提供修复建议，帮助用户减少因使用不合规或非法镜像而导致的风险。

本地镜像安全扫描原理

企业主机安全服务通过将扫描工具嵌入到镜像内部，访问并解析镜像文件系统，对每个文件和目录进行全面的安全检查。检查完成后，将所有检查结果汇总并上报至管理控制台。

本地镜像安全扫描项

本地镜像安全扫描项如表1所示。

表1 本地镜像安全扫描项

扫描项

说明

漏洞风险

检测镜像中存在系统漏洞、应用漏洞。

  • 系统漏洞扫描支持扫描的操作系统：
    • EulerOS 2.2、2.3、2.5、2.8、2.9、2.10、2.11、2.12（64位）
    • CentOS 7.4、7.5、7.6、7.7、7.8、7.9、8、8.1、8.2（64位）
    • Ubuntu 16.04、18.04、20.04、22.04、24.04（64位）
    • Debian 9、10、11、12（64位）
    • 银河麒麟V10、V10 SP1、V10 SP2、V10 SP3（64位）
    • HCE 1.1、2.0（64位）
    • SLES 12 SP5、15 SP1、15 SP2（64位）
    • 统信UOS V20服务器E版、V20服务器D版、1050u2e、1050e、1060e、1070e（64位）
    • Rocky Linux 8.4、8.5、8.6、8.10、9.0、9.1、9.2、9.4、9.5（64位）
    • openEuler 20.03 LTS、20.03 LTS SP1、20.03 LTS SP2、20.03 LTS SP3、20.03 LTS SP4
    • openEuler 22.03 LTS、22.03 LTS SP1、22.03 LTS SP2、22.03 LTS SP3、22.03 LTS SP4
    • openEuler 24.03 LTS
    • CTyunOS 3-23.01（64位）
    • AlmaLinux 8.4（64位）
  • 应用漏洞扫描支持扫描的应用：Apache、Nginx、Tomcat、WebLogic、WebSphere、JBoss、WildFly、Jetty、Kibana、Mongo Express、Yapi-cli、Easy Mock、NodeBB、Kafka、RocketMQ、Webasyst、KYPHP、CodeIgniter、InitPHP、SpeedPHP、ThinkPHP、OneThink、Gin、Beego、Fasthttp、Iris、Echo、Django、Flask、Tornado、web.py、web2py、MySQL、Redis、Oracle、MongoDB、Memcached、PostgreSQL、HBase、DB2、Sybase、达梦数据库管理系统、金仓数据库管理系统、SSHD、vsftpd、Jenkins、Zabbix、Discuz!、ThinkCMF、Struts、Struts2、Spring、Hibernate、WebWork、Quartz、Velocity、Turbine、Freemarker、Flexive、Stripes、Vaadin、Vert.x、Wicket、ZKoss、Jackson、FastJSON、Shiro、MyBatis、Jersey、JFinal、PHPMailer、PHPMyAdmin、DedeCMS、WordPress、BigTree、JPress

软件信息

统计镜像中的软件信息。

应用场景

适用于企业或组织在使用容器化技术部署应用时，扫描生产环境的镜像安全。

约束限制

  • HSS版本约束：仅HSS容器版支持本地镜像安全扫描功能，支持无限次镜像扫描。购买和升级HSS的操作，请参见购买主机安全防护配额和配额版本升级。
  • 支持扫描的运行时环境：仅支持扫描Docker和Containerd运行时的Linux本地镜像。
  • 存储驱动要求：
    • Docker：仅支持扫描overlay和overlay2存储驱动的镜像存储节点。
    • Containerd：仅支持扫描OverlayFS存储驱动的镜像存储节点。
  • 镜像存储路径限制：
    • Containerd：支持扫描所有本地文件系统路径。
    • Docker：默认仅扫描/var/lib目录。如果Docker根目录不在该路径，HSS无法完成镜像扫描。建议在Containerd主机上完成镜像扫描。
  • 不支持扫描的镜像名称：不支持扫描镜像或版本名称为“--”的镜像。
  • cce-pause/pause镜像扫描说明：企业主机安全需要启动sh/bash进程，如果cce-pause/pause容器没有sh/bash进程，镜像扫描任务会执行失败。cce-pause/pause容器为沙盒容器，内部仅有一个静态编译的进程，不存在漏洞配置风险，因此如果镜像扫描任务执行失败，无影响。

本地镜像安全扫描使用流程

图1 使用流程
表2 使用流程说明

操作项

说明

扫描本地镜像安全

集群节点或集群节点安装企业主机安全Agent成功后，Agent会立即启动镜像同步任务，将本地镜像信息同步至企业主机安全控制台；此后每24小时进行一次信息更新同步。

您在查看到本地镜像信息后，可手动执行镜像安全扫描，检测本地镜像安全。

查看并处理本地镜像扫描结果

查看本地镜像安全扫描结果，清理不安全的镜像或镜像风险项，避免不安全的镜像影响生产环境。
父主题： 本地镜像安全扫描

相关文档