Webinar en inglésWebinar con Jason Lee, mié, 14 octYour newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkInscríbete

Cada imagen, escaneada en cada push.

Cada imagen analizada en cada push, primero las CVE que un atacante puede alcanzar.

Probar el cloudReservar una demo
checkout-apiSeguridad de contenedoresProyecto de demostración
  • AltaCVE-2023-5363 en openssl 3.1.3-r0api-server:v2.4.1

    En la imagen base, alcanzada por el listener TLS de prod-eu.

    FROM node:18-alpine3.18FROM node:18.19.1-alpine3.19

    Corrección listaBase actualizada a node:18.19.1-alpine3.19, imagen reconstruida como v2.4.2, 0 CVE alcanzables.

Cada capa leída, lo alcanzable primero.

  • Paquetes del sistema

    • alpine 3.18
    • openssl 3.1.3-r0

  • Malware, secretos, configuraciones inseguras

    • /app/.env
    • USER root

  • Primero las CVE alcanzables

    • CVE-2023-5363
    • api-server:v2.4.1 :443

  • Imágenes base al día

    • node:18-alpine3.18
    • node:18.19.1-alpine3.19

La CVE que importa, antes que las demás.

Todas las CVE de la imagen

  • Alerta: CVE-2023-5363 en openssl 3.1.3-r0
  • Alerta: CVE solo de Windows en una imagen Linux

Lo que un atacante puede alcanzar

  • Alta: CVE-2023-5363 en openssl 3.1.3-r0api-server:v2.4.1
  • Media: Dos CVE de la imagen base, agrupadas en unabilling-worker:3.2.0
  • Descartado: CVE solo de Windows en una imagen Linuxapi-server:v2.4.1

Conecta un registry, el resto es automático.

Las imágenes se descargan y se escanean en nuestros pods, en cada push y de forma programada, nunca en tu CI.

  1. Tu registryDocker Hub, ECR, ACR, GCR, GHCR, Quay, Harbor, JFrog o Scaleway.Publicada
  2. Nuestros podsDescargan la imagen, nunca tu CI.Descargada
  3. Las capasPaquetes del sistema y dependencias de la app, leídos.Detectado
  4. La correcciónUna actualización de la imagen base, como pull request.Corrección lista

Empieza por un repositorio.

Conecta GitHub, GitLab, Bitbucket o Azure DevOps, elige un repositorio y el primer escaneo arranca.

Probar el cloudReservar una demo

En detalle

Cada capa de la imagen, leída.

  • Paquetes del sistema

    Capas base de Alpine, Debian, Ubuntu, RHEL y UBI.

  • Dependencias de la app

    npm, PyPI, Maven, Go modules, Cargo, NuGet y Composer, dentro de la imagen.

  • Malware, secretos, configuraciones inseguras

    También se detectan en las capas, no solo las CVE.

  • Primero las CVE alcanzables

    Lo que se invoca y se expone en producción va primero.

  • Imágenes base al día

    Cybe AutoFix abre una pull request en el Dockerfile con el nuevo digest fijado.

  • Benchmarks CIS

    CIS Docker y CIS Kubernetes Benchmarks, integrados.

Todo lo que revisa

Escaneo de contenedores sin montañas de alertas.

  • Descarga única, escaneo continuo

    Cada imagen de cada registry que conectes la descargan y escanean nuestros pods, en cada push y de forma programada.

  • Triaje por IA de serie

    Cybe Analysis se sitúa entre el feed de CVE en bruto y tu dashboard.

  • Los hallazgos, donde ya trabajas

    Se envían a Jira, GitHub Issues, GitLab Issues y Slack. El dashboard unificado sigue siendo la fuente única de verdad para SAST, SCA, secretos, IaC, CI/CD y contenedores.

Cinco controles en cada imagen que publicas.

Paquetes del SO y dependencias de la aplicación, en todos los registries principales, con triaje por IA.

  • Todos los registries principales

    Conecta Docker Hub, Amazon ECR, Azure ACR, Google GCR, GitHub GHCR, Red Hat Quay, Harbor, JFrog Artifactory o Scaleway Registry.

  • Paquetes del SO y dependencias de la app

    Paquetes del sistema operativo (Alpine, Debian, Ubuntu, RHEL/UBI) y dependencias de la aplicación (npm, PyPI, Maven, Go modules, Cargo, NuGet, Composer), todo en el mismo escaneo.

  • Triaje por IA en cada CVE

    Cybe Analysis vuelve a puntuar las coincidencias de CVE en bruto, descarta el ruido evidente, agrupa los patrones recurrentes por imagen base y tiene en cuenta la exposición.

  • Autofix de la imagen base

    Cuando actualizar la imagen base elimina toda una clase de CVE, Cybe AutoFix abre una PR en el Dockerfile con el nuevo digest fijado y una nota sobre regresiones.

  • Cumplimiento continuo

    Benchmarks CIS de Docker y Kubernetes integrados.

De la capa a la corrección

  • Una capa, una CVE.

    Marcada en la capa que la introdujo.

  • Juzgada en runtime.

    Invocada y expuesta en prod, así que va primero.

  • Reconstruida limpia.

    Base actualizada, imagen reconstruida, barrera superada.

Registries desde los que CybeDefend descarga tus imágenes

Descargamos las imágenes de Docker Hub, ECR, ACR, GCR, GHCR, Quay, Harbor, JFrog y Scaleway. Los escaneos al hacer push y los barridos programados se ejecutan en nuestros pods, nunca en tu CI. Los hallazgos llegan al dashboard unificado, a tu Jira y a tu Slack.

  • Registries

    Docker Hub, Amazon ECR, Azure ACR, Google GCR, GitHub GHCR, Red Hat Quay, Harbor, JFrog Artifactory, Scaleway y cualquier registry OCI.

  • Credenciales

    Limitadas a cada proyecto y cifradas en reposo. Las descargas se quedan en nuestros pods.

  • Adónde van los hallazgos

    El dashboard, Jira, GitHub Issues, GitLab Issues y Slack.

Preguntas frecuentes sobre CybeDefend Container.

¿Con qué registries se integra CybeDefend?
Docker Hub, Amazon ECR, Azure ACR, Google GCR, GitHub GHCR, Red Hat Quay, Harbor, JFrog Artifactory y Scaleway Registry. Los registries autoalojados compatibles con la especificación OCI Distribution también funcionan con el mismo conector.
¿Cómo se lanza un escaneo?
Una vez conectado un registry, cada evento de push lanza un escaneo en nuestros pods. Los barridos programados vuelven a descargar cada imagen con la frecuencia que configures, para cruzar automáticamente las CVE recién publicadas con tu inventario. También puedes lanzar un escaneo bajo demanda desde el dashboard o la CLI.
¿Cómo es el autofix?
Cuando actualizar la imagen base elimina toda una clase de CVE, Cybe AutoFix abre una PR en el Dockerfile con el nuevo digest fijado y una breve justificación. La PR se revisa, se hace merge y pasa por tu CI como cualquier otro cambio de tu repositorio.
¿Cómo se gestionan las credenciales?
Las credenciales del registry se limitan a cada proyecto, se cifran en reposo y se rotan con el mismo gestor de secretos que ya usas. Las descargas se hacen en nuestros pods, nunca en un runner que tendrías que blindar, así que los secretos del registry no salen nunca de la plataforma.