如何在构建阶段保护镜像安全

首先，可以参考以下这篇文章，在构建命令的时候多加注意，避免触及安全边界：云原生时代下的容器镜像安全（上）

接下来，我们可以通过已有的镜像安全检测工具，对早已存在的镜像进行安全扫描，并对当前正在构建的镜像设置阻断规则，将安全防护前移至 CI/CD 阶段，当前市面上已知的镜像检测工具有：trivy、anchor、veinmind等，我只试用了veinmind，所以详细描述一下veinmind的试用过程：

首先 veinmind 支持检测镜像内的恶意文件、敏感信息、弱口令、后门、异常历史命令，支持镜像资产清点，支持集成到 CI/CD 进行检测，支持镜像阻断，支持使用 helm 安装部署。

集成到 Jenkins：

问脉镜像安全扫描开源工具之集成 jenkins 配置

问脉镜像安全扫描开源工具之集成 jenkins 演示

集成到 Gitlab：

问脉镜像安全扫描开源工具之集成gitlab演示

设置阻断规则进行镜像阻断：

镜像阻断

详细记录一下 docker 镜像阻断功能：

# first
./veinmind-runner authz -c config.toml 
# second
dockerd --authorization-plugin=veinmind-broker

其中config.toml,包含如下字段

	字段名	字段属性	含义
policy	action	string	需要监控的行为
	enabled_plugins	[]string	使用哪些插件
	plugin_params	[]string	各个插件的参数
	risk_level_filter	[]string	风险等级
	block	bool	是否阻断
	alert	bool	是否报警
log	report_log_path	string	插件扫描日志
	authz_log_path	string	阻断服务日志

action 原则上支持 DockerAPI 所提供的操作接口
如下的配置表示：当 创建容器或推送镜像 时，使用 veinmind-weakpass 插件扫描ssh服务，如果发现有弱密码存在，并且风险等级为 High 则阻止此操作，并发出警告。最终将扫描结果存放至plugin.log,将风险结果存放至auth.log。

[log]
plugin_log_path = "plugin.log"
auth_log_path = "auth.log"
[listener]
listener_addr = "/run/docker/plugins/veinmind-broker.sock"
[[policies]]
action = "container_create"
enabled_plugins = ["veinmind-weakpass"]
plugin_paramas = ["veinmind-weakpass:scan.serviceName=ssh"]
risk_level_filter = ["High"]
block = true
alert = true
[[policies]]
action = "image_push"
enabled_plugins = ["veinmind-weakpass"]
plugin_params = ["veinmind-weakpass:scan.serviceName=ssh"]
risk_level_filter = ["High"]
block = true
alert = true

项目地址：https://github.com/chaitin/veinmind-tools
使用文档：https://veinmind.chaitin.com/docs/