GG
интересно было бы сканированить всеми доступными сканерами
Size: a a a
2020 February 05
GG
а потом агрегировать выхлоп и как-то тегами помечать какая уязвимость появилась из какой базы
GG
вроде бы swordfish такое делало
YS
aqua miscroscanner - это не тот что сейчас называется trivy?
разница в том, что используют разные репозитории с уязвимостями. как я понял, aqua смотрит в версии установленных deb и rpm пакетов. Clair смотрит на слои образа и ищет там уязвимый софт.
aqua обновляли?
разница в том, что используют разные репозитории с уязвимостями. как я понял, aqua смотрит в версии установленных deb и rpm пакетов. Clair смотрит на слои образа и ищет там уязвимый софт.
aqua обновляли?
Aqua Security купил или инвестировал в trivy, но это разные продукты до сих пор)
YS
стоит попробовать trivy от тех же aqua
у меня нашел больше чем anchore
у меня нашел больше чем anchore
Из того, что мы тестили опенсорсного - триви показался интереснее всех по простоте запуска/интеграции и с неплохим резалтом
NK
Из того, что мы тестили опенсорсного - триви показался интереснее всех по простоте запуска/интеграции и с неплохим резалтом
да, аналогично.
осталось разобраться как кидать репорты в нужные продукты в DefectDojo
осталось разобраться как кидать репорты в нужные продукты в DefectDojo
NK
причем, не хранит образы, в отличии от anchore и clair
G
интересно было бы сканированить всеми доступными сканерами
выглядит как стартап! )))
GG
а оно так и есть
GG
посмотри выступления на митапах
GG
они очень активно пиарятся (и очень хорошо, кстати, учитывая, что у них есть крупные клиенты)
YS
Тут пара тем есть про докеры. Плюс у нас в репо лежит пара примеров
YS
вроде бы swordfish такое делало
Было дело :)
GG
выглядит как стартап! )))
YS
Но по докерам именно - это ещё в процессе.
GG
YS
Кстати Nexus IQ теперь умеет а себе всасывать результаты работы clair. Если кто их использует)
YS
Три статьи на самом деле по докерам были:
1. https://swordfishsecurity.ru/blog/docker_security
2. https://swordfishsecurity.ru/blog/obzor-utilit-bezopasnosti-docker
3. https://swordfishsecurity.ru/docker-security-scanning-examples
1. https://swordfishsecurity.ru/blog/docker_security
2. https://swordfishsecurity.ru/blog/obzor-utilit-bezopasnosti-docker
3. https://swordfishsecurity.ru/docker-security-scanning-examples
