Webinar in ingleseWebinar con Jason Lee, mer 14 ottYour newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkIscriviti

Ogni immagine, scansionata al push.

Ogni immagine analizzata a ogni push, prima le CVE che un attaccante può raggiungere.

Prova il cloudPrenota una demo
checkout-apiSicurezza dei containerProgetto dimostrativo
  • AltaCVE-2023-5363 in openssl 3.1.3-r0api-server:v2.4.1

    Nell'immagine di base, raggiunta dal listener TLS di prod-eu.

    FROM node:18-alpine3.18FROM node:18.19.1-alpine3.19

    Fix prontoBase aggiornata a node:18.19.1-alpine3.19, immagine ricostruita come v2.4.2, 0 CVE raggiungibili.

Ogni layer letto, prima ciò che è raggiungibile.

  • Pacchetti di sistema

    • alpine 3.18
    • openssl 3.1.3-r0

  • Malware, segreti, misconfigurazioni

    • /app/.env
    • USER root

  • Prima le CVE raggiungibili

    • CVE-2023-5363
    • api-server:v2.4.1 :443

  • Immagini di base aggiornate

    • node:18-alpine3.18
    • node:18.19.1-alpine3.19

La CVE che conta, prima delle altre.

Tutte le CVE dell'immagine

  • Alert: CVE-2023-5363 in openssl 3.1.3-r0
  • Alert: CVE solo Windows su un'immagine Linux

Ciò che un attaccante può raggiungere

  • Alta: CVE-2023-5363 in openssl 3.1.3-r0api-server:v2.4.1
  • Media: Due CVE dell'immagine di base, raggruppate in unabilling-worker:3.2.0
  • Scartato: CVE solo Windows su un'immagine Linuxapi-server:v2.4.1

Collega un registry, il resto è automatico.

Le immagini vengono scaricate e scansionate nei nostri pod, a ogni push e su pianificazione, mai nella tua CI.

  1. Il tuo registryDocker Hub, ECR, ACR, GCR, GHCR, Quay, Harbor, JFrog o Scaleway.Pubblicata
  2. I nostri podScaricano l'immagine, mai la tua CI.Scaricata
  3. I layerPacchetti di sistema e dipendenze applicative, letti.Trovata
  4. Il fixUn aggiornamento dell'immagine di base, come pull request.Fix pronto

Inizia da un repository.

Collega GitHub, GitLab, Bitbucket o Azure DevOps, scegli un repository e la prima scansione parte.

Prova il cloudPrenota una demo

Nel dettaglio

Ogni layer dell'immagine, letto.
Tutto quello che controlla

Scansione container senza valanghe di alert.

  • Un pull, scansioni ovunque

    Ogni immagine di ogni registry collegato viene scaricata e analizzata dai nostri pod, a ogni push e a intervalli pianificati.

  • Triage AI pronto all'uso

    Cybe Analysis si inserisce tra il feed CVE grezzo e la tua dashboard.

  • I finding arrivano dove lavori

    Inviati a Jira, GitHub Issues, GitLab Issues e Slack. La dashboard unificata resta l'unica fonte di verità per SAST, SCA, secret, IaC, CI/CD e container.

Cinque controlli su ogni immagine che rilasci.

Pacchetti OS e dipendenze applicative, su tutti i registry principali, con il triage dell'AI.

  • Tutti i principali registry

    Collega Docker Hub, Amazon ECR, Azure ACR, Google GCR, GitHub GHCR, Red Hat Quay, Harbor, JFrog Artifactory o Scaleway Registry.

  • Pacchetti OS e dipendenze applicative

    Pacchetti di sistema (Alpine, Debian, Ubuntu, RHEL/UBI) e dipendenze applicative (npm, PyPI, Maven, Go modules, Cargo, NuGet, Composer), tutto nella stessa scansione.

  • Triage AI su ogni CVE

    Cybe Analysis rivaluta le corrispondenze CVE grezze, scarta il rumore evidente, raggruppa i pattern ricorrenti per immagine base e li contestualizza in base all'esposizione.

  • Autofix dell'immagine base

    Quando aggiornare l'immagine base elimina un'intera classe di CVE, Cybe AutoFix apre una PR sul Dockerfile con il nuovo digest fissato e una nota sulle regressioni.

  • Compliance continua

    CIS Docker e Kubernetes Benchmark integrati.

Dal layer al fix

  • Un layer, una CVE.

    Segnalata sul layer che l'ha introdotta.

  • Giudicata a runtime.

    Invocata ed esposta in prod, quindi viene prima.

  • Ricostruita pulita.

    Base aggiornata, immagine ricostruita, gate verde.

I registry da cui CybeDefend scarica le tue immagini

Scarichiamo le immagini da Docker Hub, ECR, ACR, GCR, GHCR, Quay, Harbor, JFrog e Scaleway. Le scansioni a ogni push e quelle pianificate girano sui nostri pod, mai nella tua CI. I finding arrivano nella dashboard unificata, nel tuo Jira e nel tuo Slack.

  • Registry

    Docker Hub, Amazon ECR, Azure ACR, Google GCR, GitHub GHCR, Red Hat Quay, Harbor, JFrog Artifactory, Scaleway e qualsiasi registry OCI.

  • Credenziali

    Limitate al singolo progetto e cifrate a riposo. Il pull resta nei nostri pod.

  • Dove vanno i finding

    La dashboard, Jira, GitHub Issues, GitLab Issues e Slack.

Domande frequenti su CybeDefend Container.

Con quali registry vi integrate?
Docker Hub, Amazon ECR, Azure ACR, Google GCR, GitHub GHCR, Red Hat Quay, Harbor, JFrog Artifactory e Scaleway Registry. I registry self-hosted conformi alla specifica OCI Distribution si collegano con lo stesso connettore.
Come si avvia una scansione?
Una volta collegato un registry, ogni evento di push avvia una scansione sui nostri pod. Scansioni pianificate riscaricano ogni immagine con una frequenza configurabile, così le CVE appena pubblicate vengono confrontate in automatico con il tuo inventario. Puoi anche avviare una scansione quando vuoi dalla dashboard o dalla CLI.
Che aspetto ha l'autofix?
Quando aggiornare l'immagine base elimina un'intera classe di CVE, Cybe AutoFix apre una PR sul Dockerfile con il nuovo digest fissato e una breve motivazione. Come qualsiasi altra modifica nel tuo repo, la PR si può rivedere e integrare e passa dai controlli della CI.
Come sono gestite le credenziali?
Le credenziali dei registry sono limitate al singolo progetto, cifrate a riposo e ruotate con lo stesso secret store che usi già. Il pull delle immagini avviene sui nostri pod, mai su un runner che altrimenti dovresti mettere in sicurezza tu, quindi i segreti dei registry non lasciano mai la piattaforma.