uptycs/agentless Docker 镜像 - 轩辕镜像

Uptycs Agentless Scanner Base Image 技术文档

一、镜像概述和主要用途

Uptycs Agentless Scanner Base Image 是 Uptycs 提供的无代理安全扫描器基础镜像，旨在作为构建容器化安全扫描解决方案的底层支撑。该镜像采用无代理架构设计，无需在目标环境（如容器、主机、Kubernetes 集群）中预安装代理组件，即可实现对目标资源的安全漏洞检测、合规性检查及***软件扫描。其核心用途包括为安全工具开发者提供标准化扫描能力底座，或直接作为轻量级扫描组件集成到 DevSecOps 流程、云原生环境监控体系中，满足对容器镜像、运行时容器、主机系统的无侵入式安全检测需求。

二、核心功能和特性

2.1 无代理架构

• 无需在目标环境部署任何代理程序，通过临时挂载或远程通信（如 SSH、API）实现扫描，降低对业务系统的侵入性。

2.2 多环境适配

• 支持容器（Docker、containerd）、Kubernetes 集群、云主机（AWS EC2、Azure VM 等）及物理机环境的扫描。

2.3 全面安全检测能力

• 漏洞检测：基于 CVE 数据库、NVD 等数据源，识别系统组件、应用依赖的已知漏洞。
• 合规性检查：内置 CIS Benchmark、PCI DSS 等合规标准规则，检测系统配置（如文件权限、服务状态、用户策略）是否符合规范。
• 软件扫描：集成威胁情报库，对目标文件系统进行代码（病毒、木马、勒索软件等）静态扫描。

2.4 轻量级设计

• 镜像体积精简（基础层基于 Alpine 或 Distroless），运行时资源占用低（内存 < 256MB，CPU 使用率 < 10%），适合资源受限环境。

2.5 可扩展性

• 支持自定义规则导入（如 YAML 格式的合规检查规则、漏洞白名单），并提供 REST API 接口，便于集成到第三方安全平台（如 SIEM、SOAR）。

三、使用场景和适用范围

3.1 DevSecOps 流程集成

• 作为 CI/CD 流水线的环节（如 Jenkins、GitHub Actions），在镜像构建后自动扫描容器镜像漏洞，阻断不安全镜像进入部署流程。

3.2 Kubernetes 集群安全监控

• 通过 Kubernetes Job 或 CronJob 定期扫描集群节点、Pod 及持久化存储，检测运行时容器的漏洞和配置风险。

3.3 云环境合规审计

• 对云主机（如 AWS EC2、GCP Compute Engine）进行周期性合规检查，生成符合 SOC 2、HIPAA 等标准的审计报告。

3.4 混合 IT 环境统一安全管理

• 适用于包含物理机、虚拟机、容器的混合架构，通过统一扫描策略实现跨环境安全状态可视化。

3.5 资源受限场景

• 边缘计算设备、IoT 网关等资源受限环境的轻量级安全检测，避免传统代理对业务资源的占用。

四、使用方法和配置说明

4.1 获取镜像

从 Uptycs 官方仓库或授权镜像源拉取（需联系 Uptycs 获取访问权限）：

bash
docker pull uptycs/agentless-scanner-base:latest

4.2 基本使用（Docker Run）

通过 docker run 命令启动扫描任务，需挂载目标路径（如容器根目录、主机文件系统）并配置必要参数：

bash
docker run -d \
  --name uptycs-scanner \
  -v /var/run/docker.sock:/var/run/docker.sock \  # 扫描容器时挂载 Docker 套接字
  -v /host-root:/scan/target:ro \                # 扫描主机时挂载主机根目录（只读）
  -e UPTYCS_URL="[***]" \  # Uptycs 服务端地址
  -e UPTYCS_TOKEN="your-auth-token" \            # Uptycs 认证令牌（需从控制台获取）
  -e SCAN_TARGET="/scan/target" \                # 扫描目标路径（容器内路径）
  -e SCAN_TYPE="vulnerability,compliance" \      # 扫描类型（漏洞/合规，逗号分隔）
  -e LOG_LEVEL="info" \                           # 日志级别（debug/info/warn/error）
  uptycs/agentless-scanner-base:latest

4.3 配置参数说明

4.4 持久化配置（自定义规则）

若需使用自定义合规规则（如企业内部安全基线），可将规则文件（YAML 格式）挂载到容器内：

bash
docker run -d \
  --name uptycs-scanner-custom \
  -v /host/custom-rules:/scan/rules \  # 挂载主机自定义规则目录
  -e RULESET_PATH="/scan/rules/custom-cis.yaml" \  # 指定规则文件路径
  # 其他环境变量（UPTYCS_URL、TOKEN 等）...
  uptycs/agentless-scanner-base:latest

4.5 Docker Compose 配置示例

通过 docker-compose.yml 定义扫描服务，便于管理依赖（如挂载多个目标路径）：

yaml
version: '3.8'
services:
  uptycs-scanner:
    image: uptycs/agentless-scanner-base:latest
    container_name: uptycs-scanner
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock  # 扫描本地容器
      - /:/scan/host:ro                            # 扫描主机根目录（只读）
      - ./custom-rules:/scan/rules                 # 自定义规则目录
    environment:
      - UPTYCS_URL=[***]
      - UPTYCS_TOKEN=your-auth-token-here
      - SCAN_TARGET=/scan/host                     # 扫描主机根目录
      - SCAN_TYPE=vulnerability,compliance,malware
      - LOG_LEVEL=info
      - RULESET_PATH=/scan/rules/custom-rules.yaml
    restart: "no"  # 单次任务，完成后退出

4.6 集成到 CI/CD 流程（GitHub Actions 示例）

在 GitHub Actions 工作流中集成扫描步骤，阻断漏洞镜像推送：

yaml
name: Container Security Scan
on: [push]

jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v4

      - name: Build target image
        run: docker build -t my-app:${{ github.sha }} .

      - name: Run Uptycs agentless scanner
        run: |
          docker run --rm \
            -v /var/run/docker.sock:/var/run/docker.sock \
            -e UPTYCS_URL=${{ secrets.UPTYCS_URL }} \
            -e UPTYCS_TOKEN=${{ secrets.UPTYCS_TOKEN }} \
            -e SCAN_TARGET=my-app:${{ github.sha }} \  # 扫描本地构建的镜像
            -e SCAN_TYPE=vulnerability \
            uptycs/agentless-scanner-base:latest

五、注意事项

• 扫描主机根目录时，需确保容器以特权模式（--privileged）运行（部分文件系统需特权访问），或通过 CAP_SYS_ADMIN 等 capabilities 限制权限。
• 敏感信息（如 UPTYCS_TOKEN）需通过环境变量或密钥管理工具（如 Docker Secrets、Kubernetes Secrets）传递，避免硬编码。
• 定期更新镜像（docker pull uptycs/agentless-scanner-base:latest）以获取最新漏洞库和规则集。