概览

HummerRisk 是开源的云原生安全平台，以非侵入的方式解决云原生环境的安全和治理问题。核心能力包括混合云的安全治理和容器云安全检测。

本文将介绍如何使用 HummerRisk 在云原生安全领域进行「镜像检测」，通过「镜像检测」功能，可以对镜像进行深入扫描，获取镜像的内部结构，检测镜像的依赖存在哪些漏洞。文章内容包括「镜像检测」的使用流程、配置信息详细说明、基础功能使用等。目前 HummerRisk 支持绑定镜像仓库后根据同步后的镜像列表进行扫描，或手动指定镜像以及上传 tar 包进行安全扫描。

本文将使用由 Harbor 提供的私有 Docker 镜像仓库为例，演示如何进行镜像扫描。

工作流程

完成 “镜像检测”我们需要通过以下几个步骤来完成：

镜像仓库管理

HummerRisk 目前支持的镜像仓库包括 Harbor、DockerHub、Nexus，如果是其他类型的仓库可选择 Other，具体步骤如下：

1. 登录到 HummerRisk 系统当中，点击云原生安全；

2. 点击 「镜像检测」，点击“创建镜像仓库”；

3. 填写 镜像仓库的配置信息；

1. 填写完成后点击“确认”

2. 创建完成后可以点击“同步镜像”查看账号的有效性并同步镜像列表

镜像管理

通过「镜像管理」功能，我们可以更好的管理应用发布镜像，同时在一些没有私有镜像仓库，或一些公共镜像仓库中，用户可以手动创建镜像，以便于完成后续的镜像扫描工作。

HummerRisk 将镜像与 SBOM 中的项目和版本进行关联，方便对应用的安全版本进行管理和维护，使用镜像管理前，请现在「SBOM 管理」中创建项目和版本。

创建镜像的详细步骤和参数说明如下：

1. 登录到 HummerRisk 系统当中，点击云原生安全；

2. 点击 「镜像检测」功能，在菜单栏选择“镜像管理”；

3. 点击“创建镜像”，输入正确的镜像信息以及参数，参数的说明见下方表格

1. 填写正确的信息后，点击“确认”

1. 点击“检测”，对该镜像执行

检测结果

镜像检测完成后，会输出检测结果，检测结果并通过可视化的页面查看风险情况，已经漏洞名称和解决办法。

• 执行镜像检测后，可以在镜像检测结果页面查看所有检测结果。

• 列表中会显示出所有执行过的检测任务。

• 检测状态显示当前任务的执行情况，正在执行的任务会显示为 [正在处理]，已经执行完的任务显示为 [已完成] 或 [异常]

详细步骤如下：

1. 登录到 HummerRisk 系统当中，点击「云原生安全」；

2. 点击 「镜像检测」，点击“镜像检测结果”；

3. 此时可以查看到镜像列表，如果检测完的镜像状态应该是“已完成”，点击“统计”中的内容既可以查看详细的检测结果，统计的结果分为 5 个等级，分别是：

1. 查看详细检测结果

1. 若需要查看检测结果详情，可以点击检测统计进行详细展示页面

1. 以“漏洞检测”为例，点击“漏洞检测统计”结果后，可查看到如下漏洞详情页面，根据漏洞详情页面中的信息，我们可以查看到存在漏洞的软件名称、CVEID、风险等级、修复版本号等

镜像检测历史记录

通过「镜像检测历史记录」功能，可以查看每个镜像的历史检测结果，同时可以对比多次检测结果。

历史镜像检测清单：

查看历史检测结果：

镜像概览

通过「镜像概览」页面，我们可以快速分析出当前管理的所有镜像的安全状态，以便于管理员快速发现安全问题。包括根据仓库的统计、根据漏洞风险等级的统计。