pisc

Public OCI-Image Security Checker What is it? PISC Public OCI-Image or docker-image Security Checker is command-line tool to assess the security of OCI container images. Exits with code 1 if any of the following conditions are met: malware 🍄 exploits 🐙, hack-tools 👾, backdoors 🐴, crypto-miners 💰,...

Elkeid

Elkeid - Bytedance Cloud Workload Protection Platform English | 简体中文 Elkeid 是一款可以满足 主机，容器与容器集群，Serverless 等多种工作负载安全需求的开源解决方案，源于字节跳动内部最佳实践。 随着企业的业务发展，多云、云原生、多种工作负载共存的情况愈发凸显，我们希望可以有一套方案可以满足不同工作负载下的安全需求，因此 Elkeid 诞生了。 Introduction Elkeid 具备以下主要能力： Elkeid 不仅具备传统的 HIDSHost Intrusion Detection System...

cosign

cosign Signing OCI containers and other artifacts using Sigstore! Cosign aims to make signatures invisible infrastructure. Cosign supports: "Keyless signing" with the Sigstore public good Fulcio certificate authority and Rekor transparency log default Hardware and KMS signing Signing with a cosig...

docker-bench-security

Docker 安全基准 Docker 安全基准是一个脚本，用于检查在生产环境中部署 Docker 容器时数十种常见最佳实践。测试全部自动化，并基于 CIS Docker 基准 v1.6.0。 我们将其作为开源工具提供，以便 Docker 社区能够轻松地根据该基准对主机和 Docker 容器进行自我评估。 版本| CIS 基准版本 ---|--- 1.6.0| 1.6.0 1.5.0| 1.5.0 1.3.6| 1.4.0 1.3.5| 1.2.0 1.3.3| 1.1.0 1.3.0| 1.13.0 运行 Docker 安全基准 从你的基础主机运行 你可以直接从基础主机运行此脚本：...

KubeArmor

KubeArmor 是一个云原生运行时安全强制系统，在系统层面限制 pod、容器和节点（虚拟机）的行为（如进程执行、文件访问和网络操作）。 KubeArmor 利用 Linux 安全模块（LSM）（如 AppArmor、SELinux 或 BPF-LSM）来强制实施用户指定的策略。KubeArmor 通过利用 eBPF 生成带有容器/pod/命名空间身份的丰富告警/遥测事件。 架构概览 !KubeArmor 高层设计https://assets.ki...

kube-trivy

Un escáner de vulnerabilidades sencillo e integral para Kubernetes Resumen KubeTrivy extiende trivy para Kubernetes. KubeTrivy es un escáner de vulnerabilidades sencillo e integral para Kubernetes. KubeTrivy detecta vulnerabilidades en paquetes del sistema operativo Alpine, RHEL, CentOS, etc. y...

veinmind-tools

veinmind-tools Documentation veinmind-tools 是由长亭科技自研，牧云团队孵化，基于 veinmind-sdk 打造的容器安全工具集 veinmind, 中文名为问脉 ，寓意 容器安全见筋脉，望闻问切治病害。 旨在成为云原生领域的一剂良方 中文文档 | English 🔥 Demo 问脉已接入 openai, 可以使用 openai 对扫描的结果进行人性化分析，让您更加清晰的了解本次扫描发现了哪些风险。 🕹️ 快速开始 1. 确保机器上正确安装 docker root@kitploit: docker info 2. 安装...

trivy

📖 Documentation Trivy pronunciation is a comprehensive and versatile security scanner. Trivy has scanners that look for security issues, and targets where it can find those issues. Targets what Trivy can scan: Container Image...

docf-sec-check

DocF-Sec-Check 描述 DocF-Sec-Check 帮助您使 Dockerfile 命令更加安全。 截图 已完成 Dockerfile 中的一级安全通知 待办列表 正确检测 Dockerfile。 Dockerfile 中的二级安全通知。 Docker 镜像中的安全通知。 私有仓库 安装 从源码安装 您可以在安装前使用 virtualenv 处理包依赖。 root@kitploit: git clone https://github.com/OsmanKandemir/docf-sec-check.git cd docf-sec-check python setup.py...

hardening-k8s-containers

故意存在漏洞的笔记应用 此仓库包含一个非常简单且存在漏洞的应用程序，用于演示将该应用程序使用默认设置部署到 Kubernetes 集群，与添加一些额外安全设置（这些设置不会 修复应用程序的漏洞，但会限制攻击者进行恶意操作）之间的差异。 要自行尝试，你需要访问一个 Kubernetes 集群，因为此应用程序高度脆弱，你绝对不希望 将其部署到真实集群中，除非该集群已得到适当隔离。 Minikube 如果你想使用 minikube，可以直接运行提供的 init.sh 脚本，或者逐步操作： 启动 minikube，至少需要 cni 插件 root@kitploit: minikube start...

lockc

lockc 是一款用于为容器工作负载提供 MAC（强制访问控制）类型安全审计的开源软件。 lockc 存在的主要原因是容器并不隔离 。容器并不像虚拟机那样安全和隔离。默认情况下，它们会暴露大量关于宿主机的信息，并提供从容器中“逃逸”的方式。lockc 旨在为容器提供更强的隔离性，使其更加安全。 容器并不隔离 文档部分解释了这句话的含义，以及我们希望通过 lockc 限制哪些行为。 lockc 背后的核心技术是 eBPF——更确切地说，是其挂载到 LSM 钩子 上的能力。 请注意，目前 lockc...

csf

ArmourBird CSF - Container Security Framework Note: The CSF Client is under active development and is getting converted into GoLang for better performace and architecture Table of Contents 1. About 2. Architecture Diagram 3. APIs-CSF Server 4. Installation/Usage 5. Building Docker Images 6. Sneak...

csf

ArmourBird CSF - 容器安全框架 注意： CSF 客户端正在积极开发中，并正在转换为 GoLang 以获得更好的性能和架构。 目录 1. 关于 2. 架构图 3. API - CSF 服务器 4. 安装/使用 5. 构建 Docker 镜像 6. 预览 7. 待办事项 8. 网站 9. Twitter 10. 参考资料 关于 ArmourBird CSF - 容器安全框架 是一个可扩展、模块化、API 优先的框架，用于对 Docker 安装和容器进行定期的安全监控，支持 CIS 及其他自定义安全检查。 ArmourBird CSF 采用客户端-服务器架构，因此分为两个组件：...

cnitch

cnitch cnitch（snitch 或 container snitch）是一个简单的框架和命令行工具，用于监控 Docker 容器以识别任何以 root 身份运行的进程。 为什么这是一件坏事？如果您还没有访问过 can I haz non-privileged containers? by mhausenblas，那么我建议您现在就去那里获取所有信息。 在开发 cnitch 时，我遇到了一个我认为是应用程序错误的问题：cnitch 报告自身在 Docker 容器中是一个 root 进程。我不确定为什么会这样，因为 Dockerfile 明确声明我正在创建一个不以 root...

bpflock

bpflock - Lock Linux machines bpflock - eBPF driven security for locking and auditing Linux machines. Note: bpflock is currently in experimental stage , it may break, options and security semantics may change, some BPF programs will be updated to use Cilium ebpf library. Sections 1. Introduction...

Threat_Model_Examples

Ejemplos de Modelos de Amenazas Este repositorio contiene varios ejemplos de modelos de amenazas para diferentes tecnologías y sistemas. Estos recursos proporcionan ejemplos ilustrativos de modelos de amenazas en distintos dominios, ayudando a profesionales de seguridad, desarrolladores e...

Azure

Kit de Seguridad Ofensiva de Azure Una colección de scripts de Bash y PowerShell para evaluaciones de seguridad de Azure, que cubren escalada de privilegios de IAM, seguridad de contenedores, exposición de Key Vault, configuración de Entra ID y más. Diseñada para ejecutarse en Azure Cloud Shell o...

EUVD-2026-75802

IBM Aspera Enterprise WebApps 1.0.0 through 1.0.5 could allow a local attacker to escape container protections due to unrestricted system calls being permitted within the container...

ConMachi

Conmachi Container Scanner ¿Está mal recoger capacidades en un contenedor? Conmachi es una herramienta escrita en Golang diseñada para recopilar información sobre el entorno de un contenedor y enumerar posibles problemas de seguridad. Se puede compilar de forma estática para que pueda introducirs...

CVE-2026-88264 Crun: crun: /dev/console symlink follow allows root-owned file creation outside the rootfs

A flaw was found in crun. When the container configuration does not give /dev a dedicated mount, terminal setup can redirect /dev/console onto an attacker-controlled path, including via the read-only-rootfs bind-mount fallback. Affected versions are crun 1.29.1 and earlier. Default configurations...