Chasse aux vulnérabilités : comment scanner des images Docker avec Clair

Conditions préalables   

Ce tutoriel consacré à Clair porte essentiellement sur l’analyse d’un conteneur local en guise de démonstration. Dans notre cas, nous utilisons :

• un hôte Ubuntu 18.04 ;
• la dernière version de Docker ;
• Docker Compose, pour définir et exécuter des applications Docker multiconteneurs.

Installez Docker Compose à l’aide de la commande :

 (sudo apt install docker-compose -y)

Ici, le système Clair se compose d'un serveur back-end PostgreSQL, d'un serveur middleware et d'un outil client, dans notre cas, clairctl, un outil de vérification disposant d’une interface en ligne de commande. Tous ces éléments sont utilisés au sein d’un environnement Docker.

Configuration système

Docker Compose permet de mettre en place plusieurs images Docker distinctes simultanément pour pouvoir les contrôler comme une seule unité.

À partir d’une invite SSH sur l’hôte, et en partant de votre répertoire de base, lancez les commandes suivantes dans l’ordre indiqué :

mkdir -p clair/docker-compose-data/clair-config
wget https://raw.githubusercontent.com/jgsqware/clairctl/master/docker-compose.yml --directory-prefix=clair/docker-compose-data/
wget https://raw.github.com/jgsqware/clairctl/master/docker-compose-data/clair-config/config.yml --directory-prefix=clair/clair-config/
cd clair/docker-compose-data

Le fichier de configuration pour le serveur Clair se trouve dans le dossier clair-config. Après avoir exécuté les commandes précédentes et récupéré les informations, lancez la commande suivante :

       docker-compose up

Cette commande met automatiquement en place la base de données PostgreSQL, le serveur middleware Clair et clairctl comme outil d’analyse local en ligne de commande. La première fois, il faut plusieurs minutes au serveur back-end de la base de données pour télécharger toutes les données CVE.

Remarque : Des messages d’erreur critiques signalent l’échec de chargement d’une configuration. Vous pouvez les ignorer, car ils n’ont aucune importance par rapport à l’analyse des conteneurs Docker dans le cadre de ce tutoriel. Les URL sollicitées recherchent un fichier de configuration Clair, mais, pour plus de simplicité et de concision, nous l’avons remplacé. Ces erreurs n’ont aucun impact sur les étapes suivantes de la procédure.

Après quelques minutes, tout le système est prêt à analyser les vulnérabilités. Dans un autre shell SSH, vérifiez que tous les conteneurs Docker sont opérationnels.

Analyse d’une image vulnérable

Pour cette étape, nous avons besoin d’une image vulnérable. Plusieurs images volontairement rendues vulnérables, comme Damn Vulnerable Web Application, permettent de tester le fonctionnement d’un outil d’analyse. Utilisez exclusivement l’image fournie pour tester le fonctionnement de Clair ; elle est criblée de bugs à dessein.

Pour soumettre cette image vulnérable à l’analyse, lancez la commande suivante sur le serveur Ubuntu :

	docker pull infoslack/dvwa

Lorsque l’image a été extraite, lancez cette autre commande pour la tester :

	docker-compose exec clairctl clairctl analyze -l infoslack/dvwa

docker-compose exec clairctl indique à l’environnement Docker d’exécuter la commande qui suit sur le conteneur Docker clairctl. Le reste de la commande précise l’image à tester, ici clairctl analyze -l vulnerables/web-dvwa.

Vous pouvez maintenant analyser l’image Docker avec Clair. Créez ensuite un rapport HTML de l’analyse, comme illustré à la figure 2. Les rapports HTML de ce type contiennent les CVE de l’image analysée et une description succincte de chaque vulnérabilité.

Pour créer un rapport, lancez de nouveau la commande clairctl, mais en indiquant l’option report, comme suit :

	docker-compose exec clairctl clairctl report -l infoslack/dvwa

Les rapports sont enregistrés dans le dossier reports de l’hôte Docker, sous docker-compose-data. Si l’instance Clair Docker est sur une machine virtuelle distante, installez Lynx, un navigateur en mode texte, pour lire les rapports sur l’hôte. Cette étape vous évite de devoir copier les fichiers depuis la VM. Lancez la commande :

	sudo apt install lynx -y

Ouvrez le dossier reports et lancez la commande :

	Lynx "html file to view".html

Au besoin, entrez la commande scp pour le copier sur votre bureau. Les administrateurs peuvent également configurer un serveur web comme composant supplémentaire du groupe Docker Compose.