• Image-Scanner

  • Name

    Anchore

    CoreOS Clair

    Grafeas / Kritis

    OpenSCAP

    Black Duck OpsSight

    Tenable.io ® Container Security

  • Website

    anchore.com

    github.com/coreos/clair

    github.com/grafeas/

    www.open-scap.org

    www.blackducksoftware.com/products/opssight

    www.tenable.com/products/tenable-io/container-security

  • UI

    WebUI (Enterprise) / CLI

    als Teil einer Registry, ansonsten über die API

    API

    CLI

    WebUI/API

    WebUI/API

  • Basislizenz

    Apache 2.0

    Apache 2.0

    Apache 2.0

    LGPL 2.1

    closed

    closed

  • Enerprise-Lizenz

    ja

    nein

    nein

    nein

    ja

    ja

  • Image Assurance

  • Image-Scan (Malware)

    nein

    nein

    nein

    nein

    nein

    ja

  • Image-Scan (Schwachstellen)

    Betriebssystempakete (RPM, DEB, APK) und Paketmanager NPM, GEM, CPAN und Java

    Betriebssystempakete (Debian, Ubuntu, Red Hat, SUSE, Alpine)

    nein

    Betriebssystempakete (Debian, Ubuntu, Red Hat, SUSE, Alpine)

    Betriebssystempakete und Paketmanager inkl. abhängiger Bibliotheken

    Betriebssystempakete (Debian, Ubuntu, Red Hat, SUSE, Alpine)

  • Image-Signaturen

    ja

    nein

    nein

    nein

    nein

    nein

  • Image-Release-Prozess

    API-Server für k8s Admission Controller

    wird in die Registry integriert

    Admission Controller

    in der CI/CD über die CLI/API integriert

    Annotations auf Images

    eigene Registry, aber auch ein Scanner on Premises für Scans

  • Repository

    nein

    nein

    nein

    nein

    nein

    ja

  • Image-Policies

    Policies für Verwundbarkeiten, White-/Blacklisting von Software, Checks des Dockerfile, Secrets etc.

    nein

    gegen Labels, mit Whitelists

    ja, viele Security-Templates verfügbar

    Policies für Verwundbarkeiten

    CVE-Policies und Malware

  • Compliance

  • RBAC/AM

    ja

    teilweise

    ja

    über Satellite und API

    unbekannt

    User auf der Webseite

  • User-Verzeichnis

    LDAP (angekündigt)

    über die Registry

    unbekannt

    nein

    unbekannt

    ja

  • Compliance-Reports

    über die Verwundbarkeiten

    Über die Verwundbarkeiten

    unbekannt

    über die Verwundbarkeiten und Policy-Abweichungen

    über die Verwundbarkeiten und FOSS-Lizenzen

    CVE-Berichte

  • Besonderheiten

    in Sysdig integriert, Jenkins-Plug-in verfügbar

    Integraler Bestandteil von Quay, der Registry des gleichen Herstellers. Für Quay ist auch eine Enterprise-Version verfügbar.

    eine generische Sammlung von Metadaten mit der Option, diese in Policies in einem Admission Controller (Kritis) zu hinterlegen

    Enterprise-Version als Teil der Red Hat Subscriptions erhältlich

    eigene Datenbank der Verwundbarkeiten zusätzlich zu denen der Hersteller, FOSS-Lizenz-Scans

    Tenable hat FlawCheck übernommen und vertreibt es als Cloud-Angebot. Kein On-Premises.