DockerHub
La surveillance de DockerHub est actuellement disponible pour des workspaces sélectionnés. Contactez votre équipe Customer Success Management pour demander l'accès.
GitGuardian Public Monitoring scanne les images de conteneurs DockerHub publiques afin de détecter les secrets qui y sont exposés. Les secrets se retrouvent fréquemment intégrés dans les couches d'images - dans des artefacts de build, des fichiers de configuration ou des données d'environnement - où ils restent accessibles à quiconque télécharge l'image.
Ce que nous scannons
GitGuardian analyse les couches des images DockerHub publiques - les couches de système de fichiers qui composent une image - et détecte les secrets dans leur contenu.
Modèle de scan
La surveillance de DockerHub fonctionne en deux étapes :
- Scan initial. Lorsque la surveillance de DockerHub est configurée pour votre workspace, GitGuardian compare toutes les images publiques qu'il a collectées jusqu'à présent avec votre périmètre.
- Surveillance continue. Ensuite, les images publiques nouvellement publiées sont comparées à votre périmètre chaque jour. Les expositions publiées après le scan initial apparaissent comme de nouveaux incidents, généralement dans la journée suivant leur collecte.
Raisons de rattachement
Un secret trouvé sur DockerHub est rattaché à votre entreprise via votre périmètre lorsqu'il correspond à l'un des cas suivants :
- Secret grasper - un secret grasper de votre périmètre est trouvé dans le contenu de l'image. C'est la raison la plus courante.
- Domaine dans la valeur du secret - un domaine de votre périmètre apparaît à l'intérieur de la valeur du secret elle-même.
- Domaine dans le profil du propriétaire - le compte DockerHub qui a publié l'image possède un domaine de votre périmètre dans son profil public (par exemple, dans l'e-mail public du compte). La correspondance est établie sur les métadonnées du compte ayant publié, de sorte que l'éditeur n'a pas besoin d'être l'un de vos développeurs surveillés. Dans le dashboard, ces incidents apparaissent sous la raison de rattachement By dev from perimeter.
Contexte de l'incident
Les incidents DockerHub diffèrent des incidents GitHub par le contexte qu'ils fournissent. Au lieu d'un auteur de commit et d'un commit, vous voyez :
- le compte propriétaire de l'image (utilisateur ou organisation),
- l'image et le dépôt,
- la couche dans laquelle le secret a été trouvé.
Pour les détections datées de janvier 2025 et après, la date d'occurrence est précise - elle reflète le moment où le secret a réellement été exposé sur DockerHub.
Pour les détections plus anciennes, traitez la date avec prudence : elle peut refléter le remplissage historique de GitGuardian plutôt que l'exposition d'origine.
Limitations
- Pas de vérification de présence. GitGuardian ne vérifie pas encore si un secret est toujours exposé publiquement sur DockerHub, de sorte que ces détections portent un statut de présence Unknown plutôt qu'un statut vérifié.
- Les contenus de fichiers volumineux sont ignorés. Les contenus de fichiers supérieurs à ~10 Mo au sein d'une image sont exclus, de sorte qu'une fraction du contenu de l'image n'est pas scannée.
- Les couches d'images volumineuses sont ignorées. Les très grandes couches d'images ne sont pas téléchargées, de sorte que les secrets qu'elles contiennent ne sont pas détectés.
