Docker Bench 安全检查工具指南

Docker Bench 安全检查工具指南

docker-benchChecks whether Docker is deployed according to security best practices as defined in the CIS Docker Benchmark项目地址:https://gitcode.com/gh_mirrors/do/docker-bench

一、项目目录结构及介绍

Docker Bench for Security 是一个用于检查生产环境中部署 Docker 容器时遵循常见最佳实践的脚本。其项目结构简洁明了，设计以方便维护和扩展。以下是该仓库的主要目录结构及其简介：

• .github: 包含GitHub相关的工作流程文件，如自动化操作的配置。
• cfg: 存放YAML配置文件，这些文件定义了要执行的安全检查规范，支持随着测试标准的更新而轻松调整。
• CONTRIBUTING.md: 提供了对项目贡献的指导原则。
• LICENSE: 项目遵循的Apache 2.0许可协议。
• NOTICE: 关于版权和许可证的额外注意事项。
• README.md: 主要的项目介绍和快速入门指南。
• app: 包含Go语言编写的源代码，是Docker Bench Security的核心逻辑所在。
• gorelease.yml: 有关Goreleaser的配置，用于自动化发布流程。
• makefile: Makefile，提供了编译、测试等开发过程中常用的命令。

二、项目的启动文件介绍

Docker Bench Security 的运行不依赖于直接启动某个特定的“启动文件”。用户可以通过两种主要方式运行这个工具：

直接在主机上运行

1. 克隆仓库：git clone https://github.com/docker/docker-bench-security.git
2. 进入克隆后的目录并执行脚本：sudo sh docker-bench-security.sh

使用容器运行

通过Docker来运行Docker Bench，这要求使用特定的命令来确保容器能够访问必要的主机资源和权限：

docker run --rm --net host --pid host --userns host --cap-add audit_control \
-e DOCKER_CONTENT_TRUST=$DOCKER_CONTENT_TRUST \
-v /etc:/etc:ro \
-v /usr/bin/containerd:/usr/bin/containerd:ro \
-v /usr/bin/runc:/usr/bin/runc:ro \
-v /usr/lib/systemd:/usr/lib/systemd:ro \
-v /var/lib:/var/lib:ro \
-v /var/run/docker.sock:/var/run/docker.sock:ro \
--label docker_bench_security \
docker-bench-security

注意，共享卷的路径可能需根据你的操作系统进行适当调整。

三、项目的配置文件介绍

配置主要位于 cfg 目录下，这些YAML文件定义了安全检查的标准。每项检查依据的是[CIS DockerBenchmark]版本的不同配置，允许开发者和管理员根据最新的安全推荐或特定的环境需求来调整和定制检查列表。用户虽然通常不会直接编辑这些文件（除非贡献新的检查逻辑），但了解它们的存在对理解工具背后的逻辑和如何适应未来标准的变化至关重要。

通过这些配置，Docker Bench能够自动化地评估宿主机和Docker容器的部署是否符合安全最佳实践，确保部署安全可靠。

---

请注意，实际使用中应参照最新版本的项目说明，因为上述路径和文件名可能会随着项目迭代而有所改变。

docker-benchChecks whether Docker is deployed according to security best practices as defined in the CIS Docker Benchmark项目地址:https://gitcode.com/gh_mirrors/do/docker-bench