bpflock

bpflock - Lock Linux machines bpflock - eBPF driven security for locking and auditing Linux machines. Note: bpflock is currently in experimental stage , it may break, options and security semantics may change, some BPF programs will be updated to use Cilium ebpf library. Sections 1. Introduction...

hardening-k8s-containers

Intentionally Vulnerable Note Taking Application This repository contains a very simple and vulnerable application used to demonstrate the differences between deploying this application with the default settings to a Kubernetes cluster, versus adding some extra security settings that WILL NOT fix...

csf

ArmourBird CSF - 容器安全框架 注意： CSF 客户端正在积极开发中，并正在转换为 GoLang 以获得更好的性能和架构。 目录 1. 关于 2. 架构图 3. API - CSF 服务器 4. 安装/使用 5. 构建 Docker 镜像 6. 预览 7. 待办事项 8. 网站 9. Twitter 10. 参考资料 关于 ArmourBird CSF - 容器安全框架 是一个可扩展、模块化、API 优先的框架，用于对 Docker 安装和容器进行定期的安全监控，支持 CIS 及其他自定义安全检查。 ArmourBird CSF 采用客户端-服务器架构，因此分为两个组件：...

csf

ArmourBird CSF - Container Security Framework Note: The CSF Client is under active development and is getting converted into GoLang for better performace and architecture Table of Contents 1. About 2. Architecture Diagram 3. APIs-CSF Server 4. Installation/Usage 5. Building Docker Images 6. Sneak...

pisc

Public OCI-Image Security Checker What is it? PISC Public OCI-Image or docker-image Security Checker is command-line tool to assess the security of OCI container images. Exits with code 1 if any of the following conditions are met: malware 🍄 exploits 🐙, hack-tools 👾, backdoors 🐴, crypto-miners 💰,...

cosign

cosign Signing OCI containers and other artifacts using Sigstore! Cosign aims to make signatures invisible infrastructure. Cosign supports: "Keyless signing" with the Sigstore public good Fulcio certificate authority and Rekor transparency log default Hardware and KMS signing Signing with a cosig...

KubeArmor

KubeArmor 是一个云原生运行时安全强制系统，在系统层面限制 pod、容器和节点（虚拟机）的行为（如进程执行、文件访问和网络操作）。 KubeArmor 利用 Linux 安全模块（LSM）（如 AppArmor、SELinux 或 BPF-LSM）来强制实施用户指定的策略。KubeArmor 通过利用 eBPF 生成带有容器/pod/命名空间身份的丰富告警/遥测事件。 | ---|--- 💪 加固基础设施 ⛓️ 保护关键路...

veinmind-tools

veinmind-tools Documentation veinmind-tools is self-developed by chaitin technology ， cloudwalker team incubation，a container security toolset based on veinmind-sdk 🔥 Demo Veinmind has been connected to openai. You can use openai to conduct a user-friendly analysis of the scan results, allowing y...

Elkeid

Elkeid - Bytedance Cloud Workload Protection Platform English | 简体中文 Elkeid is an open source solution that can meet the security requirements of various workloads such as hosts, containers and K8s, and serverless. It is derived from ByteDance's internal best practices. With the business...

kube-trivy

Un escáner de vulnerabilidades sencillo e integral para Kubernetes Resumen KubeTrivy extiende trivy para Kubernetes. KubeTrivy es un escáner de vulnerabilidades sencillo e integral para Kubernetes. KubeTrivy detecta vulnerabilidades en paquetes del sistema operativo Alpine, RHEL, CentOS, etc. y...

cnitch

cnitch cnitch（snitch 或 container snitch）是一个简单的框架和命令行工具，用于监控 Docker 容器以识别任何以 root 身份运行的进程。 为什么这是一件坏事？如果您还没有访问过 can I haz non-privileged containers? by mhausenblas，那么我建议您现在就去那里获取所有信息。 在开发 cnitch 时，我遇到了一个我认为是应用程序错误的问题：cnitch 报告自身在 Docker 容器中是一个 root 进程。我不确定为什么会这样，因为 Dockerfile 明确声明我正在创建一个不以 root...

lockc

lockc 是一款用于为容器工作负载提供 MAC（强制访问控制）类型安全审计的开源软件。 lockc 存在的主要原因是容器并不隔离 。容器并不像虚拟机那样安全和隔离。默认情况下，它们会暴露大量关于宿主机的信息，并提供从容器中“逃逸”的方式。lockc 旨在为容器提供更强的隔离性，使其更加安全。 容器并不隔离 文档部分解释了这句话的含义，以及我们希望通过 lockc 限制哪些行为。 lockc 背后的核心技术是 eBPF——更确切地说，是其挂载到 LSM 钩子 上的能力。 请注意，目前 lockc...

docker-bench-security

Docker 安全基准 Docker 安全基准是一个脚本，用于检查在生产环境中部署 Docker 容器时数十种常见最佳实践。测试全部自动化，并基于 CIS Docker 基准 v1.6.0。 我们将其作为开源工具提供，以便 Docker 社区能够轻松地根据该基准对主机和 Docker 容器进行自我评估。 版本| CIS 基准版本 ---|--- 1.6.0| 1.6.0 1.5.0| 1.5.0 1.3.6| 1.4.0 1.3.5| 1.2.0 1.3.3| 1.1.0 1.3.0| 1.13.0 运行 Docker 安全基准 从你的基础主机运行 你可以直接从基础主机运行此脚本： gi...

trivy-action

Trivy Action GitHub Action for Trivy !GitHub Releaserelease-imgrelease !GitHub Marketplacemarketplace-imgmarketplace !Licenselicense-imglicense Table of Contents Usage Scan CI Pipeline Scan CI Pipeline w/ Trivy Config Cache Trivy Setup Scanning a Tarball Using Trivy with templates Using Trivy wit...

FRAGNESIA-Charan-cve-2026-46300

Charantej Architecture: Hardened Container Staging & Syscall Telemetry Lab An enterprise-grade, defense-in-depth container containment and runtime security telemetry framework. Designed from the perspective of a Cisco Lead Cybersecurity Architect, the Charantej Architecture isolates staging...

CVE-2025-23266

CVE-2025-23266 CVE-2025-23266 – 全武器化的NVIDIA容器工具包漏洞利用 参考 https://github.com/ctrsploit/ctrsploit/tree/public/vul/cve-2025-23266...

docf-sec-check

DocF-Sec-Check Description DocF-Sec-Check helps to make your Dockerfile commands more secure. ScreenShot Done First-level security notification in the Dockerfile TODO List Correctly detect the Dockerfile. Second-level security notification in the Dockerfile. Security notification in Docker images...

Threat_Model_Examples

Ejemplos de Modelos de Amenazas Este repositorio contiene varios ejemplos de modelos de amenazas para diferentes tecnologías y sistemas. Estos recursos proporcionan ejemplos ilustrativos de modelos de amenazas en distintos dominios, ayudando a profesionales de seguridad, desarrolladores e...

Azure

Kit de Seguridad Ofensiva de Azure Una colección de scripts de Bash y PowerShell para evaluaciones de seguridad de Azure, que cubren escalada de privilegios de IAM, seguridad de contenedores, exposición de Key Vault, configuración de Entra ID y más. Diseñada para ejecutarse en Azure Cloud Shell o...

ConMachi

Conmachi Container Scanner ¿Está mal recoger capacidades en un contenedor? Conmachi es una herramienta escrita en Golang diseñada para recopilar información sobre el entorno de un contenedor y enumerar posibles problemas de seguridad. Se puede compilar de forma estática para que pueda introducirs...