一、 Anchore engine
Anchore engine是一款Docker漏洞扫描工具，该工具可从仓库下载镜像，然后对镜像进行安全扫描、分析。其分为社区版本和商业版本，社区版本只提供CLI接口，商业版本还提供WEB页面及更多的支持。相关介绍说明：https://github.com/anchore/anchore-engine。
1、工具安装。该工具有几种不同的安装方式
sudo curl -O https://engine.anchore.io/docs/quickstart/docker-compose.yaml
2、通过docker-compose启动相关的镜像
sudo docker-compose up –d
3、查看相关帮助命令：
4、查看anchore相关的服务以及状态
sudo docker-compose ps
sudo docker-compose exec api anchore-cli system status
5、查看漏洞库列表
sudo docker-compose exec api anchore-cli system feeds list
6、查看漏洞库更新情况：
sudo docker-compose exec api anchore-cli system wait
7、使用image add命令添加一个镜像进行扫描
[root@localhost good]# docker-compose exec api anchore-cli image add docker.io/centos:latest –force
8、通过image wait命令等待分析完成，这个过程可能需要花一些时间等待：
docker-compose exec api anchore-cli image wait docker.io/centos:latest
经过等待后显示分析完成：
9、查看镜像中的操作系统中的软件包：
docker-compose exec api anchore-cli image content centos:latest os
10、查看漏洞信息：
docker-compose exec api anchore-cli image vuln centos:latest os
11、查看扫描评估结果：
docker-compose exec api anchore-cli evaluate check centos:latest
12、遗留的问题，我想对已经拉取到本地的镜像进行扫描，但是在Image add的时候总是报错，于是搭建了本地仓库，将制作的镜像push到仓库，再对此镜像进行扫描，仍然报错，截图如下：
[root@localhost good]# docker-compose exec api anchore-cli image add 127.0.0.1:5000/centosnginx:latest
Error: cannot fetch image digest/manifest from registry
HTTP Code: 400
Detail: {'error_codes': ['REGISTRY_NOT_ACCESSIBLE'], 'raw_exception_message': 'Error encountered in skopeo operation. cmd=/bin/sh -c skopeo inspect --raw --tls-verify=false docker://127.0.0.1:5000/centosnginx:latest, rc=1, stdout=None, stderr=b\'time="2022-10-03T16:01:43Z" level=fatal msg="Error parsing image name \\\\"docker://127.0.0.1:5000/centosnginx:latest\\\\": error pinging docker registry 127.0.0.1:5000: Get \\\\"http://127.0.0.1:5000/v2/\\\\": dial tcp 127.0.0.1:5000: connect: connection refused"\\n\', error_code=REGISTRY_NOT_ACCESSIBLE'}
[root@localhost good]#
[root@localhost good]# docker-compose exec api anchore-cli image add 127.0.0.1:5000/centosnginx:latest --dockerfile=/home/good/centosnginx/Dockerfile
Usage: anchore-cli image add [OPTIONS] INPUT_IMAGE
Try "anchore-cli image add -h" for help.
Error: Invalid value for "--dockerfile": Path "/home/good/centosnginx/Dockerfile" does not exist.
在官方网站（https://engine.anchore.io/docs/usage/cli_usage/images/）上看到有相关的操作介绍，但是参考这个操作仍然报错，一直没有找到原因。
二、 grype与syft
在anchore停止维护后，还延伸出另外两个组件分别是grype以及syft，其中grype主要用于进行漏洞扫描，而syft则主要扫描软件清单，即常说的软件物料清单SBOM。
（一） grype
1、安装。我下载的二进制安装包，然后使用rpm命令直接安装，下载链接：https://github.com/anchore/grype
2、使用grype 进行扫描，第一次扫描会进行漏洞库的更新：
Grype <image>
Grype <path/to/image.tar>
源还支持其他几种不同的方式：
如对我在本地仓库中的指定镜像进行扫描：
grype registry:127.0.0.1:5000/centosnginx:latest
3、扫描结果保存
Grype <image> -o <format>
格式支持以下几种：
Table：缺省的方式，即表格方式，这种方式会记录软件包名称、安装的版本、问题修复的版本、软件包的格式（RPM等）、漏洞CVE编号以及严重性。
Cyclonedx：遵循CycloneDX1.2标准的XML格式报告，此格式包含了更多的内容，比如软件授权标准、CVE的说明URL、CVSS得分等内容。
Json：以json格式保存，保存的内容与xml差不多，稍微有一些差异。
Template：用户自定义输出格式，需要提前定义输出模板，内容与json一致
举例如下：
这几种方式个人认为以table或者xml保存即可，然后使用excel打开，可以方便的进行筛选过滤。
4、漏洞库检查
[root@localhost good]# grype db status
[root@localhost good]# grype db check
[root@localhost good]# grype db update
[root@localhost good]# grype db list
5、其他
在GITHUB上还可以看到官方提供了检查忽略的设置、扫描私有仓库认证相关的设置，由于我在测试的时候使用的是二进制安装，没有找到相关的文件，这里就不再测试了，实际使用中遇到再具体处理。
（二） syft
syft的使用方法与grype类似。
三、 Docker Bench for Security
Docker Bench Security 是一个Docker容器的基线检查脚本工具，其基于CIS Docker Benchmark v1.4.0（参考https://www.cisecurity.org/benchmark/docker），包括Host 主机配置、Docker守护进程配置、Docker守护进程配置文件、容器镜像以及构建文件配置、容器运行时配置、Docker安全操作以及Docker Swarm配置共7个方面。工具链接：https://github.com/docker/docker-bench-security。
1、 脚本使用
这个工具使用起来比较简单，脚本下载后赋予执行权限，然后运行脚本即可：
当然也可以通过帮助查看，可以携带的参数：
2、 输出结果说明。通过输出可以看到该脚本实际上是基于CIS Docker Benchmark v1.4.0逐条进行检查，并且输出结果，包括PASS、NOTE、INFO以及WARN几种状态，通过与CIS基线进行对比还可以看到相关的处置建议。
3、 CIS基线检查条目依据check_<section>_<number>进行命名，可以根据自己的需求有选择性的进行检查，如下：
./docker-bench-security.sh -c check_2_2
4、 Log目录说明
对于基线检查过程会存放到log/ docker-bench-security.log中，而相关的结果以json的格式存放在 log/docker-bench-security.log.json中。
