OWASP/DockSec

解决的问题

DockSec 是一个面向 Docker 环境的 AI 驱动安全扫描器，简化了修复漏洞的过程。它弥合了原始安全扫描结果（通常包含数百个 CVE）与可操作的开发人员修复方案之间的差距，通过优先排序发现项、用通俗易懂的英语解释问题，并提出具体的代码修改建议。

工作原理

DockSec 使用本地扫描工具和可选的 AI 分析，协调一个五阶段的流水线：

1. 扫描：在本地运行 Trivy、Hadolint 和 Docker Scout 等行业标准工具，查找镜像漏洞和 Dockerfile 配置错误。
2. 优先级排序：根据严重程度和漏洞利用预测评分系统（EPSS）对发现项进行排序，确定哪些问题需要优先修复。
3. 关联分析：检测“利用链”，即多个独立发现组合成单一攻击路径的情况。
4. 推荐修复：生成可复制粘贴并直接运行的修复命令，以及具体的 Dockerfile 或 Compose 文件修改建议。
5. 生成报告：将结果导出为 HTML、PDF、JSON、CSV、Markdown 和 SARIF 等多种格式。

可通过 OpenAI、Anthropic、Google 或本地 Ollama 模型启用 AI 分析，以提供更深入的推理、通俗易懂的解释以及对发现项的扩展排序。

适用人群

需要在不被安全术语或海量漏洞列表压垮的情况下，保障 Docker 容器和 Docker Compose 配置安全的开发人员和安全团队。

主要亮点

• AI 驱动的解释：将复杂的 CVE 转换为通俗易懂的中文说明，并提出具体修复方案。
• 上下文感知的优先级：利用 EPSS 根据实际被利用的可能性对漏洞进行排序。
• 利用链检测：识别多个发现组合成的攻击路径，而非孤立看待每个发现。
• 隐私优先：本地扫描；敏感信息在发送给 AI 提供商前自动脱敏，支持完全离线模式。
• CI/CD 就绪：提供 GitHub Actions、容器化执行方式以及 CI 友好的退出码，可用于构建门禁。