Container-Image-Scanning.

Praxis, OCI/Docker-Images vor dem Deployment auf bekannte Schwachstellen, Secrets, Malware und Richtlinienverstosse zu prufen. Es gehört zur Kategorie Verteidigung und Betrieb der Cybersicherheit.

Praxis, OCI/Docker-Images vor dem Deployment auf bekannte Schwachstellen, Secrets, Malware und Richtlinienverstosse zu prufen.

Container-Image-Scanning untersucht jede Schicht eines OCI-Images — Basis-OS, Sprachpakete, eingebettete Binaries und Metadaten — auf bekannte CVEs, hartkodierte Credentials, Malware-Signaturen und nicht konforme Konfigurationen. Die Werkzeuge teilen sich in zwei Familien: Open-Source-Scanner (Trivy von Aqua Security, Grype von Anchore, Clair und Docker Scout) und kommerzielle CNAPPs (Snyk Container, Prisma Cloud, Wiz, Sysdig Secure). Scans laufen typischerweise an drei Stellen: Entwickler-Workstation, CI-Pipeline (Builds scheitern bei Policy-Verstoss) und Registry-Admission. Moderne Programme erzeugen zudem signierte SBOMs, die in Supply-Chain-Attestierung wie Sigstore und SLSA einfliessen, um Herkunft und Reproduzierbarkeit nachzuweisen.

Schutzmaßnahmen gegen Container-Image-Scanning kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: Image-Scanning, Container-Schwachstellenscan.