HarborGuard完全指南：一个平台集成6大安全扫描器的容器镜像漏洞扫描利器

HarborGuard完全指南一个平台集成6大安全扫描器的容器镜像漏洞扫描利器【免费下载链接】HarborGuardModern image vulnerability scanning patching platform with multi-tool integration.项目地址: https://gitcode.com/gh_mirrors/ha/HarborGuardHarborGuard 是一个开源的容器镜像漏洞扫描与修补平台在一个 Web 界面中集成了 Trivy、Grype、Syft、Dockle、OSV、Dive 共 6 大安全扫描器支持对 Docker Hub、私有仓库、本地 Docker 和 Kubernetes 中的镜像进行一键漏洞扫描、风险评估、CVE 管理与自动修补帮助新手和运维人员轻松完成镜像安全治理。为什么需要容器镜像漏洞扫描平台 容器已经成为应用交付的主流方式但镜像里捆绑的操作系统包、第三方库往往携带已知漏洞。如果手动安装并逐个运行扫描工具你会面临这些烦恼工具碎片化Trivy 查漏洞、Syft 出 SBOM、Dive 查层大小……每个工具输出一份数据无法汇总结果难比较不同扫描器的报告格式各异难以判断哪个漏洞真正高危缺乏持续监控镜像版本一多漏洞状态全靠人记HarborGuard 把这件事变成了提交镜像 → 查看统一仪表盘 → 处理漏洞的三步流程所有扫描结果归一化存储支持风险评分、误报标记、报告导出甚至自动打补丁。6大扫描器一站式集成 ️HarborGuard 默认启用全部 6 个行业主流扫描器可通过ENABLED_SCANNERS环境变量按需裁剪各自分工互补扫描器定位为你解决什么问题Trivy容器综合漏洞扫描扫描 OS 包与依赖库的已知 CVEGrypeAnchore 漏洞扫描器交叉验证漏洞结果降低漏报SyftSBOM 生成器生成软件物料清单摸清镜像里装了什么Dockle镜像合规检查检查 Dockerfile 最佳实践与安全配置OSV ScannerGoogle 开源漏洞数据库扫描覆盖更多开源生态的漏洞数据Dive镜像层分析找出体积浪费定位可优化的镜像层多引擎交叉扫描意味着同一个漏洞被 Trivy 和 Grype 同时发现时置信度更高而 Dockle 和 Dive 关注的则是合规性与镜像效率这在单一漏洞扫描工具中是看不到维度的。 各扫描器如何接入的完整说明可参考项目文档 docs/ADDING-A-SCANNER.md。最快部署方法Docker 一键启动 ⚡HarborGuard 提供官方 Docker 镜像无需额外安装数据库——内置了 PostgreSQL一条命令即可运行# 基础部署 docker run -p 3000:3000 ghcr.io/harborguard/harborguard:latest如果你要扫描本机 Docker 镜像只需把 Docker Socket 挂载进去docker run -p 3000:3000 \ -v /var/run/docker.sock:/var/run/docker.sock \ ghcr.io/harborguard/harborguard:latest想要自动修补镜像的能力加上--privileged参数即可docker run --privileged \ -p 3000:3000 \ -v /var/run/docker.sock:/var/run/docker.sock \ ghcr.io/harborguard/harborguard:latest启动后浏览器访问http://localhost:3000就能使用。更多变量并发扫描数、扫描超时、Teams/Slack/Gotify 通知等在 README.md 中有完整列表从源码构建可先克隆仓库git clone https://gitcode.com/gh_mirrors/ha/HarborGuard。核心功能详解从扫描到修补的完整闭环1️⃣ 多源镜像扫描Registry、本地、K8s 全覆盖新建扫描时点击左侧导航的NEW SCAN镜像来源支持多种选择远程仓库Docker Hub、GHCR、ACR、GAR、Nexus、Gitea、GitLab Registry 等对应实现位于 src/lib/registry/providers/本地 Docker直接通过 Docker Socket 读取本机镜像Kubernetes扫描集群命名空间内正在运行的镜像TAR 文件离线环境下的镜像包同时支持单镜像扫描、并发扫描和批量扫描Bulk Scan扫描请求由任务队列统一调度进度实时推送。2️⃣ 可视化仪表盘一屏看懂风险全貌仪表盘用四张核心指标卡呈现全局状态已扫描镜像数、平均风险分、CriticalHigh 漏洞数、安全问题数。下方的散点图以严重等级 × 漏洞数量双维度绘制每个点对应一个镜像点击可直达详情颜色遵循全局一致的严重度配色红/橙/黄/蓝。进入某个镜像的详情页上图可以看到镜像信息平台架构、体积、Digest、所在仓库安全摘要最新风险分、Critical/High 漏洞数全标签扫描记录按扫描日期、版本、风险分、合规等级、耗时排列支持横向对比不同版本的安全回归3️⃣ 漏洞库Vulnerability Library跨镜像的 CVE 台账这是很多单一扫描工具没有的能力——HarborGuard 把所有扫描结果中的 CVE 聚合成一个漏洞库顶部统计CVE 总数、Critical/High 数量、CVSS ≥7.0 的高危数量、可修复数量、误报数量、可修复率列表按 CVE 展示严重等级、CVSS 评分、受影响包、受影响镜像数并可搜索筛选支持标记误报误报会被自动排除在风险分计算之外让评分越来越贴近真实风险漏洞聚合的实现位于 src/lib/scan-aggregations.ts。4️⃣ 原始结果逐工具查看各取所需在扫描详情页你可以按工具分 Tab 查看原始结果——Trivy、Grype、Syft、Dockle、OSV、Dive 各有专属视图组件位于 src/components/scan-results/Dive 的逐层分析还能定位体积偏大的层给出优化建议。5️⃣ 报告导出与 API审计交付不再手动截图一键导出PDF、XLSX、JSON 报告按需生成也支持打包 ZIP 下载开放 REST API扫描启动/api/scans/start、状态查询、结果聚合等接口齐全配套 OpenAPI 文档页面左上角 API DOCS方便接入 CI/CD 流水线6️⃣ 自动修补从发现问题到修复问题HarborGuard 不止于告警——它对 Debian/Ubuntuapt、Alpineapk、RHEL 系yum镜像内置了修补策略源码见 src/lib/patcher/strategies/可自动执行漏洞包升级并生成修补后的镜像。配合定时扫描Scheduled Scans与 Teams/Slack/Gotify/Apprise 通知形成定时扫 → 高危告警 → 自动修的无人值守闭环。典型使用流程新手路径✅部署按上文一条docker run命令启动 HarborGuard添加仓库在 Repositories 页面配置你的私有镜像仓库支持测试连接发起扫描NEW SCAN 中选择镜像来源与标签默认 6 个扫描器全跑看仪表盘确认风险分与高危漏洞点击散点图下钻处理漏洞在漏洞库标记误报、查看受影响镜像或触发自动修补导出报告下载 PDF/XLSX 用于审计交付完整交互路径图解见 docs/USER_JOURNEYS.md。谁应该使用 HarborGuard个人开发者 / 家庭实验室扫描自建镜像零配置上手中小团队 DevOps统一管理私有仓库镜像安全替代多套扫描工具CI/CD 集成方通过 REST API 把镜像漏洞扫描卡进流水线合规审计场景PDF/XLSX 报告 误报管理让安全评估可追溯常见问题 FAQ问HarborGuard 和直接用 Trivy 有什么区别Trivy 只是 6 个扫描器之一。HarborGuard 提供多引擎交叉验证、统一仪表盘、风险评分、跨镜像 CVE 台账、误报管理、报告导出和自动修补是平台而非单工具。问资源有限能跑吗可以。设置MAX_CONCURRENT_SCANS1、SCAN_TIMEOUT_MINUTES15并用ENABLED_SCANNERStrivy,grype只保留必要扫描器即可README 中提供了低配示例。问支持哪些数据库内置 PostgreSQL也支持通过DATABASE_URL连接外部 PostgreSQL适合生产环境。总结HarborGuard 用一个平台 6 大扫描器的组合把容器镜像漏洞扫描从多工具拼凑变成了一条顺畅的流水线一键部署、多源扫描、可视化仪表盘、CVE 台账管理、报告导出、自动修补一应俱全。如果你的镜像安全还停留在手动跑 Trivy 的阶段值得花 5 分钟把它跑起来。【免费下载链接】HarborGuardModern image vulnerability scanning patching platform with multi-tool integration.项目地址: https://gitcode.com/gh_mirrors/ha/HarborGuard创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考