容器安全栈

这个 pack 装了什么

这个包收齐了多数团队在告别商业容器安全平台后会落地的 六个开源工具。它们覆盖镜像仓库、镜像扫描、基础设施代码静态检查、运行时防御 —— 每次供应链事故复盘里都会出现的四层。

这个分工很关键：只有仓库没扫描是摆设；只扫不出 SBOM，拿到 CVE 编号也没法定位修复面；运行时没有网络策略，能看见入侵也压不住爆破半径。

为什么现在要做容器安全

2024-2025 的供应链事件（xz-utils、polyfill.io、npm 蠕虫）把一件事钉死了：你交付的二进制等于你没审过的所有依赖之和。一个现代容器镜像要拉系统底包、语言运行时、应用层、构建工具 —— 四条供应链叠在一起。一个被污染的间接依赖造成的代价，五人创业团队和五百强一个数量级。

商业扫描器（Snyk / Wiz / Aqua）能用，但每节点每月要 30-100 美金，还把遥测送回他们云端。这套开源 pack 给的是：

• 合并前 IaC 扫描（Checkov 在 CI 抓 S3 桶配置错、缺 securityContext、明文密钥）
• 构建后镜像扫描（每次推 Harbor 跑 Grype + Syft，CVSS ≥ 7 直接 fail）
• 运行时防御（CrowdSec 吃 nginx / Traefik 日志，跟 10 万 + 节点共享攻击者 IP）
• 网络隔离（Cilium NetworkPolicy 让被打穿的 pod 也跳不到数据库）

一条命令装齐

# 把整个 pack 装进当前项目
tokrepo install pack/container-security

# 或只装单个
tokrepo install grype
tokrepo install checkov

TokRepo CLI 把扫描器配置、CI 任务模板、Helm value 片段写进你仓库。每个资产页都给了 Anchore / Bridgecrew / Isovalent / Harbor 团队推荐的生产参数。

常见踩坑

• 只扫 latest tag。生产 manifest 必须钉到 digest，latest 会漂，扫描历史会失去意义。
• 拿 CVSS 当优先级。一个 dev-only 基础镜像里的 CVSS 9.8 比你边缘代理里的 CVSS 6.5 优先级低。Grype 输出要叠运行时可达性分析。
• 不生成 SBOM。下次 xz 级别后门一来，已经把 Syft SBOM 入库的团队几分钟内回答「我们暴露了吗」，没做的团队要查一周。
• 只用 Checkov 当 IaC 门。Checkov 擅长抓「已知坏模式」，抓不到业务安全（例如 IAM 角色技术上有效但权限过大）。叠 tfsec 或 OPA 做第二遍。
• CrowdSec 不调 scenarios。默认场景能挡明显攻击但会误伤激进爬虫。parsers/scenarios 不调，你监控自己都会被封。

这套不够用的时候

K8s 大规模上线还要叠 Falco 做 syscall 级运行时检测（最早的运行时工具，Cilium Tetragon 现在重合但 Falco 规则库更大）。密钥单独管要加 Vault 或 Infisical —— 两个都没放进 pack 是因为密钥管理是另一个问题域。供应链溯源（这个镜像谁建的、在哪个 runner）看 Sigstore + in-toto 证明；Harbor 原生支持 cosign 签名，路径很短。