Scanarea Vulnerabilităților și Securitatea Imaginilor cu Docker Scout în Docker

Docker Scout este instrumentul oficial de analiză a securității inclus în ecosistemul Docker modern. Spre deosebire de scanerele pasive tradiționale, Docker Scout analizează fiecare strat (layer) al unei imagini Docker, extrage inventarul complet de software (SBOM – Software Bill of Materials) și compară dependențele cu bazele de date globale de vulnerabilități (CVE). Mai mult, Scout oferă recomandări exacte privind versiunea de imagine de bază spre care ar trebui să migrați pentru a elimina breșele de securitate.

# 1. Privire generală rapidă asupra stării de securitate:
docker scout quickview node:18-bullseye

# Ieșire terminal:
# Target    │ node:18-bullseye:latest
# Vulnerabilities │ 0C 11H 34M 125L
# Recommendations │ Update base image to node:20-bookworm-slim

# 2. Afișarea vulnerabilităților critice și înalte (Critical & High CVEs):
docker scout cves --only-severity critical,high my-app:latest

# 3. Solicitarea recomandărilor concrete de remediere:
docker scout recommendations my-app:latest

Integrarea Docker Scout în Pipeline-ul CI/CD

Puteți opri automat publicarea imaginilor în producție dacă acestea conțin vulnerabilități critice neacceptate:

# Verificare în scripturi automate (returnează cod diferit de 0 la eșec):
docker scout cves --exit-code --only-severity critical my-company/backend:latest