OWASP/DockSec

解決する課題

DockSec は Docker 環境向けの AI ベースのセキュリティスキャナーであり、脆弱性の修正プロセスを簡素化します。大量の CVE を含む生のセキュリティスキャン結果と、開発者が実行可能な修正の間のギャップを埋め、発見を優先順位付けし、平易な英語で説明し、具体的なコード変更を提案します。

動作方法

DockSec はローカルスキャナーとオプションの AI 分析を用いて、5段階のパイプラインをオーケストレーションします：

1. スキャン：Trivy、Hadolint、Docker Scout などの業界標準ツールをローカルで実行し、イメージの脆弱性や Dockerfile の誤設定を検出します。
2. 優先順位付け：深刻度と Exploit Prediction Scoring System (EPSS) に基づいて、まず修正すべきものを特定します。
3. 相関：複数の独立した発見が1つの攻撃パスに組み合わさる「エクスプロイトチェーン」を検出します。
4. 推奨：コピー＆実行可能な修正コマンドと、具体的な Dockerfile や Compose の変更を生成します。
5. レポート：HTML、PDF、JSON、CSV、Markdown、SARIF など、さまざまな形式で結果をエクスポートします。

AI 分析（OpenAI、Anthropic、Google、またはローカルの Ollama モデル経由）を有効にすることで、より深い推論、平易な英語での説明、発見の拡張された順位付けが可能になります。

対象ユーザー

セキュリティ用語や膨大な脆弱性リストに圧倒されず、Docker コンテナや Docker Compose の設定を安全に保ちたい開発者やセキュリティチーム。

主な特徴

• AI ベースの説明：複雑な CVE を平易な英語に翻訳し、具体的な修正を提案します。
• 文脈に応じた優先順位付け：EPSS を使用して、実際にエクスプロイトされる可能性に基づいて脆弱性を順位付けします。
• エクスプロイトチェーン検出：個別に扱うのではなく、複数の発見が組み合わさった攻撃パスを特定します。
• プライバシー最優先：ローカルでスキャン；シークレットは AI プロバイダーに送信する前に自動的にマスキングされ、完全オフラインモードも利用可能です。
• CI/CD 対応：GitHub Actions、コンテナ化実行、CIフレンドリーな終了コードを提供し、ビルドゲートに使用できます。