Shell脚本如何配置容器安全扫描

wen 实用脚本 2026-07-16 1

Shell脚本如何配置容器安全扫描：自动化漏洞检测与合规实践指南

目录导读

为什么需要Shell脚本配置容器安全扫描？
核心工具选择：Trivy、Clair与Grype的对比
Shell脚本基础结构设计
实战：三阶段扫描脚本编写
常见问题与解答（Q&A）
集成CI/CD流水线的最佳实践
总结与下一步优化

为什么需要Shell脚本配置容器安全扫描？

在云原生环境中,Docker镜像可能包含未修复的CVE漏洞、恶意软件或配置错误，手动扫描每个镜像效率低下且容易遗漏，通过Shell脚本，我们可以：

Shell脚本如何配置容器安全扫描

自动化：对镜像仓库（如Harbor、Docker Hub）中所有新推送的镜像执行扫描。
标准化：确保团队使用同一扫描工具（如Trivy）和规则集。
可追溯：生成JSON/CSV格式报告，并集成到Slack或邮件通知。

关键统计：根据CNCF调查，68%的容器安全事件源于未扫描的未知漏洞，使用Shell脚本可实现5分钟扫描100个镜像，效率提升40倍以上。

核心工具选择：Trivy、Clair与Grype的对比

工具	特点	适用场景
Trivy	开源、支持多语言、速度快（1秒扫描单个镜像）、无需守护进程	绝大多数CI/CD流水线
Clair	静态分析、可自定义漏洞库、适合大规模集群扫描	企业级私有仓库集成
Grype	与Syft配合可分析SBOM、支持FastJSON输出	需要精细成分分析的场景

选择建议：对于Shell脚本自动化，Trivy因其轻量级和易用性是最佳起点，以下示例均以Trivy为主。

Shell脚本基础结构设计

一个标准的安全扫描脚本应包含：

#!/bin/bash
set -euo pipefail  # 严格模式：检测错误
# ====== 参数配置 ======
SCAN_TOOL="trivy"           # 可切换为 grype/clair
IMAGE_LIST="images.txt"     # 镜像列表（每行一个）
OUTPUT_DIR="./reports"      # 扫描结果目录
SEVERITY_THRESHOLD="HIGH"   # 触发告警的严重级别
NOTIFY_WEBHOOK="https://hooks.slack.com/services/xxx"  # 可选通知

核心函数：

scan_image()：单个镜像扫描
parse_report()：提取漏洞摘要
send_alert()：告警通知
cleanup()：清理临时文件

实战：三阶段扫描脚本编写

阶段1：拉取镜像并执行基础扫描

scan_image() {
    local image=$1
    local output_file="${OUTPUT_DIR}/$(echo ${image} | tr '/:' '_').json"
    echo "[INFO] 扫描镜像: ${image}"
    $SCAN_TOOL image \
        --severity ${SEVERITY_THRESHOLD} \
        --format json \
        --output ${output_file} \
        ${image} || {
            echo "[ERROR] 扫描失败: ${image}"
            return 1
        }
    # 检查是否包含高危漏洞
    if jq -e '.Results[].Vulnerabilities[] | select(.Severity=="CRITICAL")' ${output_file} > /dev/null; then
        echo "[WARN] 发现CRITICAL漏洞!"
        return 2
    fi
}

阶段2：多镜像并行扫描（加速）

scan_all_images() {
    while read -r image; do
        # 在后台执行，同时最多5个并发
        ((i=i%5)); ((i++==0)) && wait
        scan_image "${image}" &
    done < "${IMAGE_LIST}"
    wait  # 等待所有进程完成
}

阶段3：生成汇总报告

generate_summary() {
    local summary_file="${OUTPUT_DIR}/summary_$(date +%Y%m%d).csv"
    echo "镜像名称,漏洞数量,严重程度" > ${summary_file}
    for report in ${OUTPUT_DIR}/*.json; do
        local image_name=$(basename ${report} .json)
        local vuln_count=$(jq '[.Results[].Vulnerabilities[] | select(.Severity=="HIGH" or .Severity=="CRITICAL")] | length' ${report})
        echo "${image_name},${vuln_count},HIGH/CRITICAL" >> ${summary_file}
    done
}

完整脚本可集成：-f images.txt -t trivy -o ./reports --notify 参数支持。

常见问题与解答（Q&A）

Q1：Shell脚本扫描时遇到“image not found”错误？
A：先执行 docker pull {image} 拉取镜像，或使用 trivy image --no-progress {image} 跳过进度条，对于私有仓库，需提前登录：echo $DOCKER_PASS | docker login registry.example.com -u $DOCKER_USER --password-stdin。

Q2：如何设置忽略白名单漏洞（如CVE-2023-12345）？
A：使用Trivy的 --ignorefile 参数，创建一个 .trivyignore 文件，每行写入CVE ID，Shell脚本中：trivy image --ignorefile .trivyignore ${image}。

Q3：扫描结果如何导出为PDF？
A：先通过 --format template 输出HTML模板，再使用 wkhtmltopdf 转换，示例脚本：

trivy image --format template --template "@report.html.tpl" -o report.html ${image}
wkhtmltopdf report.html report.pdf

Q4：Shell脚本支持定时扫描吗？
A：使用crontab配置 0 2 * * * /path/to/scan.sh 实现每日凌晨2点扫描新增镜像，注意日志重定向：>> /var/log/scan.log 2>&1。

集成CI/CD流水线的最佳实践

在GitLab CI或GitHub Actions中，Shell脚本可以嵌入为Job：

# .gitlab-ci.yml 示例
container_scan:
  stage: test
  script:
    - ./scan.sh -f latest_images.txt -t trivy -o ./reports
  artifacts:
    paths:
      - reports/
    when: always  # 即使失败也保留报告
  rules:
    - if: $CI_COMMIT_BRANCH == "main"

注意事项：