云安全中心的镜像安全扫描功能，可以帮助您检测您的镜像中是否存在镜像漏洞和恶意样本，为您创造安全的镜像运行环境。本文介绍如何进行镜像安全扫描。

前提条件

背景信息

镜像上的基础系统软件、中间件、Web应用、数据库服务等，可能会存在挖矿木马、后门程序等安全漏洞，危害您的资产安全。云安全中心支持立即执行镜像安全扫描和配置镜像漏洞扫描周期定期扫描两种镜像漏洞扫描方式。具体操作，请参见立即执行镜像安全扫描、配置镜像漏洞扫描周期（定期扫描）。
注意 如果您镜像变更过（即镜像摘要发生变化），执行镜像安全扫描时会消耗您购买的容器镜像安全扫描次数。执行镜像安全扫描前，请确保您有足够的容器镜像安全扫描次数。

立即执行镜像安全扫描

如果您需要立即执行镜像安全扫描，可以在镜像安全扫描页签下，单击立即扫描后，在一键扫描对话框中选择需要扫描的镜像类型，并单击确定。目前支持选择以下类型的镜像仓库：
  • ACR：选择该类型后，云安全中心将检测您在容器镜像服务控制台创建的企业版实例是否存在安全漏洞和恶意样本。
  • Harbor：选择该类型后，云安全中心将检测您已接入的私有镜像仓库是否存在安全漏洞和恶意样本。

镜像漏洞扫描预计需要1分钟时间，您可以在1分钟后手动刷新页面，在下方的镜像漏洞列表中查看扫描结果。

配置镜像漏洞扫描周期（定期扫描）

如果需要定期自动扫描您的资产中是否存在镜像漏洞或恶意样本，您可以参照以下步骤配置镜像漏洞扫描周期。

  1. 登录云安全中心控制台。
  2. 在左侧导航栏，选择安全防范 > 镜像安全扫描。
  3. 在镜像安全扫描页签的右上角，单击扫描设置。
  4. 在扫描设置面板，配置相关参数。扫描设置
    您可以参考以下表格中的参数说明，设置扫描相关参数。
    参数 说明
    已消耗授权数/总授权 显示您已使用和已购买的容器镜像安全扫描次数。如果您的镜像安全扫描次数即将耗尽，您可以单击扩容按需求购买镜像安全扫描次数。
    扫描周期 选择执行镜像安全扫描的周期。可选周期：
    • 每隔3天
    • 每隔一周
    • 每隔两周
    • 停止扫描
    扫描范围 设置需要扫描的镜像范围。具体操作如下：
    1. 单击扫描范围右侧的管理。
    2. 在镜像管理对话框中，选择需要扫描的镜像仓库。
    3. 单击设置。
    扫描时间范围 设置镜像漏洞扫描的时间范围。支持选择的时间范围：
    • 1天
    • 3天
    • 7天
    • 15天
    • 20天
    • 90天
    • 180天
    • 365天
    漏洞保留时长 设置漏洞扫描结果的保留时长，超过保留时长后漏洞扫描结果会自动删除。支持选择以下时长：
    • 30天
    • 60天
    • 90天
    • 180天
    云安全中心将按照您的漏洞扫描配置，对您的镜像进行安全扫描。

管理镜像仓

您可单击镜像仓页签，查看支持扫描的容器镜像服务企业版实例（镜像库类型为ACR）和已接入的私有镜像仓库（镜像库类型为Harbor）列表。
  • 如果您想扫描不在镜像仓库列表中的私有镜像仓库，您可以单击接入镜像仓接入您的私有镜像仓库。接入私有镜像仓相关参数配置，请参见接入镜像仓库。
  • 如果镜像仓库列表中的某个私有镜像仓库无需扫描，您可以单击私有镜像仓库操作列的移除，并在提示信息对话框中单击确定，将其移除。
说明 云安全中心会自动同步您账号下的容器镜像服务企业版实例至镜像仓库列表中，不支持在镜像仓库列表中移除容器镜像服务企业版实例。

配置镜像基线扫描

您可以配置镜像漏洞扫描的同时，对您镜像的基线配置进行检查。

  1. 登录云安全中心控制台。
  2. 在左侧导航栏，选择安全防范 > 镜像安全扫描。
  3. 在镜像安全扫描页签的右上角，单击扫描设置。
  4. 在扫描配置面板上，单击基线配置管理页签。
  5. 单击配置范围右侧的管理。
  6. 在基线检查范围面板上，选择您要检查的基线。
    注意 下方的Access Key泄露检查、密码泄露检查两个配置项中包含的基线，与基线检查范围面板上的Access Key泄漏和密码泄漏这两个基线相同。如果您在基线检查范围面板上已经选择了Access Key泄漏和密码泄漏这两个基线，下方的Access Key泄露检查和密码泄露检查的配置状态开关会自动打开，您无需再重复设置。您也可以通过Access Key泄露检查、密码泄露检查后面的开关快捷开启或关闭这两个基线。
  7. 单击下方确定。
    配置完成后，云安全中心在执行镜像安全扫描的同时，会对您镜像的基线配置进行检查。

后续步骤

执行完镜像安全扫描后，您可以查看镜像安全扫描结果。更多信息，请参见查看镜像安全扫描结果。