Webinar em inglêsWebinar com Jason Lee, quarta, 14/10Your newest insider is an AI agent.Jason LeeFormer CISO, Zoom & SplunkInscreva-se

Cada imagem, analisada a cada push.

Cada imagem analisada em cada push, primeiro as CVE que um atacante consegue alcançar.

Experimentar a cloudMarcar uma demo
checkout-apiSegurança de contentoresProjeto de demonstração
  • AltaCVE-2023-5363 em openssl 3.1.3-r0api-server:v2.4.1

    Na imagem base, alcançada pelo listener TLS de prod-eu.

    FROM node:18-alpine3.18FROM node:18.19.1-alpine3.19

    Correção prontaBase atualizada para node:18.19.1-alpine3.19, imagem reconstruída como v2.4.2, 0 CVE alcançáveis.

Cada camada lida, o alcançável primeiro.

  • Pacotes do sistema

    • alpine 3.18
    • openssl 3.1.3-r0

  • Malware, segredos, configurações inseguras

    • /app/.env
    • USER root

  • Primeiro as CVE alcançáveis

    • CVE-2023-5363
    • api-server:v2.4.1 :443

  • Imagens base atualizadas

    • node:18-alpine3.18
    • node:18.19.1-alpine3.19

A CVE que importa, antes das outras.

Todas as CVE da imagem

  • Alerta: CVE-2023-5363 em openssl 3.1.3-r0
  • Alerta: CVE só de Windows numa imagem Linux

O que um atacante consegue alcançar

  • Alta: CVE-2023-5363 em openssl 3.1.3-r0api-server:v2.4.1
  • Média: Duas CVE da imagem base, agrupadas numa sóbilling-worker:3.2.0
  • Descartada: CVE só de Windows numa imagem Linuxapi-server:v2.4.1

Liga um registry, o resto é automático.

As imagens são descarregadas e analisadas nos nossos pods, a cada push e de forma agendada, nunca no teu CI.

  1. O teu registryDocker Hub, ECR, ACR, GCR, GHCR, Quay, Harbor, JFrog ou Scaleway.Publicada
  2. Os nossos podsDescarregam a imagem, nunca o teu CI.Descarregada
  3. As camadasPacotes do sistema e dependências da aplicação, lidos.Detetada
  4. A correçãoUma atualização da imagem base, como pull request.Correção pronta

Começa por um repositório.

Liga o GitHub, o GitLab, o Bitbucket ou o Azure DevOps, escolhe um repositório e a primeira análise arranca.

Experimentar a cloudMarcar uma demo

Em detalhe

Cada camada da imagem, lida.

  • Pacotes do sistema

    Camadas base Alpine, Debian, Ubuntu, RHEL e UBI.

  • Dependências da aplicação

    npm, PyPI, Maven, Go modules, Cargo, NuGet e Composer, dentro da imagem.

  • Malware, segredos, configurações inseguras

    Também detetados nas camadas, não só as CVE.

  • Primeiro as CVE alcançáveis

    O que é invocado e exposto em produção vem primeiro.

  • Imagens base atualizadas

    O Cybe AutoFix abre uma pull request no Dockerfile com o novo digest fixado.

  • Benchmarks CIS

    CIS Docker e CIS Kubernetes Benchmarks, incluídos.

Tudo o que verifica

Análise de contentores sem montanhas de alertas.

  • Obtida uma vez, analisada sempre

    Cada imagem de cada registry que ligas é obtida e analisada pelos nossos pods, a cada push e de forma agendada.

  • Triagem por IA de série

    O Cybe Analysis fica entre o feed de CVE em bruto e o teu dashboard.

  • As descobertas, onde já trabalhas

    Seguem para o Jira, o GitHub Issues, o GitLab Issues e o Slack. O dashboard unificado continua a ser a fonte única de verdade para SAST, SCA, segredos, IaC, CI/CD e contentores.

Cinco verificações em cada imagem que publicas.

Pacotes do SO e dependências da aplicação, em todos os grandes registries, com triagem por IA.

  • Todos os grandes registries

    Liga o Docker Hub, Amazon ECR, Azure ACR, Google GCR, GitHub GHCR, Red Hat Quay, Harbor, JFrog Artifactory ou Scaleway Registry.

  • Pacotes do SO e dependências da app

    Pacotes do sistema operativo (Alpine, Debian, Ubuntu, RHEL/UBI) e dependências da aplicação (npm, PyPI, Maven, módulos Go, Cargo, NuGet, Composer), tudo no mesmo scan.

  • Triagem por IA em cada CVE

    O Cybe Analysis volta a pontuar as correspondências de CVE em bruto, descarta o ruído evidente, agrupa os padrões recorrentes por imagem base e tem em conta a exposição.

  • Autofix da imagem base

    Quando atualizar a imagem base elimina toda uma classe de CVE, o Cybe AutoFix abre uma PR no Dockerfile com o novo digest fixado e uma nota sobre regressões.

  • Conformidade contínua

    Benchmarks CIS de Docker e Kubernetes integrados.

Da camada à correção

  • Uma camada, uma CVE.

    Assinalada na camada que a trouxe.

  • Julgada em runtime.

    Invocada e exposta em produção, logo primeiro.

  • Reconstruída limpa.

    Base atualizada, imagem reconstruída, barreira superada.

Registries de onde a CybeDefend obtém as tuas imagens

Obtemos as imagens do Docker Hub, ECR, ACR, GCR, GHCR, Quay, Harbor, JFrog e Scaleway. As análises a cada push e os varrimentos agendados correm nos nossos pods, nunca na tua CI. As descobertas chegam ao dashboard unificado, ao teu Jira e ao teu Slack.

  • Registries

    Docker Hub, Amazon ECR, Azure ACR, Google GCR, GitHub GHCR, Red Hat Quay, Harbor, JFrog Artifactory, Scaleway e qualquer registry OCI.

  • Credenciais

    Limitadas a cada projeto e cifradas em repouso. As descargas ficam nos nossos pods.

  • Para onde vão as descobertas

    O dashboard, o Jira, as GitHub Issues, as GitLab Issues e o Slack.

Perguntas frequentes sobre o CybeDefend Container.

Que registries são suportados?
Docker Hub, Amazon ECR, Azure ACR, Google GCR, GitHub GHCR, Red Hat Quay, Harbor, JFrog Artifactory e Scaleway Registry. Os registries self-hosted compatíveis com a especificação OCI Distribution também funcionam com o mesmo conector.
Como é lançado um scan?
Assim que um registry fica ligado, cada evento de push lança um scan nos nossos pods. Os varrimentos agendados voltam a obter cada imagem com a frequência que definires, para cruzar automaticamente as CVE recém-divulgadas com o teu inventário. Também podes lançar um scan a pedido no dashboard ou na CLI.
Como é o autofix?
Quando atualizar a imagem base elimina toda uma classe de CVE, o Cybe AutoFix abre uma PR no Dockerfile com o novo digest fixado e uma breve justificação. A PR revê-se, faz-se merge e passa pela tua CI como qualquer outra alteração no teu repositório.
Como são tratadas as credenciais?
As credenciais do registry ficam restritas a cada projeto, são cifradas em repouso e rodadas através do mesmo cofre de segredos que já usas. As imagens são obtidas nos nossos pods, nunca num runner que terias de proteger, por isso os segredos do registry nunca saem da plataforma.