Что такое Clair?

Clair — это open-source инструмент статического анализа уязвимостей в контейнерах, разработанный компанией CoreOS. Он сканирует образы контейнеров на предмет известных уязвимостей безопасности и предоставляет детальные отчеты о найденных проблемах.

Основные возможности Clair

Статический анализ — сканирование образов контейнеров без их запуска
Поддержка дистрибутивов — Ubuntu, Debian, CentOS, RHEL, Alpine, Oracle Linux
База данных уязвимостей — регулярные обновления из различных источников
API интерфейс — REST API для интеграции в CI/CD pipeline
Масштабируемость — горизонтальное масштабирование для больших объемов
Интеграции — поддержка Docker Registry, Kubernetes

Архитектура Clair

Clair состоит из нескольких компонентов:

Clair API — основной сервис анализа
PostgreSQL — база данных уязвимостей и результатов
Updaters — модули обновления базы уязвимостей
Matchers — модули сопоставления пакетов с уязвимостями

Установка Clair

Установка через Docker Compose:

version: '3.8'
services:
  postgres:
    image: postgres:13
    environment:
      POSTGRES_DB: clair
      POSTGRES_USER: clair
      POSTGRES_PASSWORD: password
    volumes:
      - postgres_data:/var/lib/postgresql/data

  clair:
    image: quay.io/coreos/clair:v4.7.0
    restart: unless-stopped
    depends_on:
      - postgres
    ports:
      - "6060:6060"
      - "6061:6061"
    environment:
      CLAIR_CONF: /config/config.yaml
      CLAIR_MODE: combo
    volumes:
      - ./config.yaml:/config/config.yaml:ro

volumes:
  postgres_data:

Конфигурационный файл config.yaml:

http_listen_addr: ":6060"
introspection_addr: ":6061"
log_level: info

indexer:
  connstring: host=postgres port=5432 user=clair dbname=clair password=password sslmode=disable
  scanlock_retry: 10
  layer_scan_concurrency: 5
  migrations: true

matcher:
  connstring: host=postgres port=5432 user=clair dbname=clair password=password sslmode=disable
  max_conn_pool: 100
  migrations: true

updaters:
  sets:
    - "ubuntu"
    - "debian"
    - "rhel"
    - "alpine"
  interval: "6h"

Использование Clair API

Пример сканирования образа через Python:

import requests
import json

# Конфигурация Clair
CLAIR_URL = "http://localhost:6060"

def scan_image(image_name, image_tag="latest"):
    """Сканирование Docker образа"""
    
    # Создание манифеста для сканирования
    manifest = {
        "hash": f"{image_name}:{image_tag}",
        "layers": [
            {
                "hash": "layer1",
                "uri": f"docker://{image_name}:{image_tag}",
                "headers": {}
            }
        ]
    }
    
    # Отправка на сканирование
    response = requests.post(
        f"{CLAIR_URL}/indexer/api/v1/index_report",
        json=manifest
    )
    
    if response.status_code == 201:
        # Получение результатов
        report_id = response.json()["manifest_hash"]
        
        vuln_response = requests.get(
            f"{CLAIR_URL}/matcher/api/v1/vulnerability_report/{report_id}"
        )
        
        if vuln_response.status_code == 200:
            return vuln_response.json()
    
    return None

# Использование
results = scan_image("nginx", "latest")
if results:
    print(f"Найдено уязвимостей: {len(results.get('vulnerabilities', []))}")

Установка Python клиента:

pip install requests
# или
poetry add requests

Интеграция с CI/CD

Пример интеграции с GitHub Actions:

name: Security Scan

on:
  push:
    branches: [ main ]
  pull_request:
    branches: [ main ]

jobs:
  security-scan:
    runs-on: ubuntu-latest
    
    steps:
    - uses: actions/checkout@v3
    
    - name: Build Docker image
      run: docker build -t myapp:${{ github.sha }} .
    
    - name: Run Clair scan
      run: |
        docker run -d --name clair-db postgres:13
        docker run -d --name clair --link clair-db:postgres \
          -p 6060:6060 -p 6061:6061 \
          quay.io/coreos/clair:latest
        
        # Ожидание запуска Clair
        sleep 30
        
        # Сканирование образа
        clairctl analyze myapp:${{ github.sha }}
    
    - name: Upload scan results
      uses: actions/upload-artifact@v3
      with:
        name: security-scan-results
        path: clair-report.json

Применение Clair

CI/CD безопасность — автоматическое сканирование в pipeline
Compliance — соответствие требованиям безопасности
Мониторинг реестров — регулярное сканирование Docker Registry
Анализ образов — оценка безопасности базовых образов
Отчетность — детальные отчеты о найденных уязвимостях

Преимущества использования

Open Source — бесплатное использование и модификация
Точность — минимальное количество ложных срабатываний
Производительность — быстрое сканирование больших образов
Актуальность — регулярные обновления базы уязвимостей
Интеграция — легкая интеграция в существующие процессы

Источники данных о уязвимостях

Clair использует данные из:

CVE Database — официальная база уязвимостей
Ubuntu Security Notices — уведомления безопасности Ubuntu
Debian Security Tracker — трекер безопасности Debian
Red Hat Security Data — данные безопасности Red Hat
Alpine SecDB — база данных Alpine Linux

FAQ

Может ли Clair сканировать запущенные контейнеры?

Нет, Clair выполняет статический анализ образов контейнеров. Для сканирования запущенных контейнеров используйте runtime security решения.

Как часто обновляется база уязвимостей?

База уязвимостей обновляется каждые 6 часов по умолчанию, но интервал можно настроить в конфигурации.

Поддерживает ли Clair частные реестры?

Да, Clair может работать с частными Docker Registry, включая аутентификацию и SSL сертификаты.

Что такое Clair?

Open-source сканер уязвимостей для контейнеров с поддержкой множества дистрибутивов Linux