Anchore Engine

devsecops

Définition

Anchore Engine est une plateforme open-source d'analyse de sécurité des images de conteneurs, utilisée pour appliquer des politiques personnalisées avant déploiement en production. Elle décompose une image Docker ou OCI en couches, extrait la liste des paquets installés et la compare aux bases CVE (NVD, distributions Linux) pour générer un rapport de vulnérabilités. Son moteur de politiques permet de définir des règles précises : seuil de sévérité CVE toléré, interdiction de paquets ou licences spécifiques, détection de secrets embarqués (clés API, mots de passe), vérification des configurations Dockerfile (utilisateur root, ports exposés). Intégré en pipeline CI/CD via des plugins Jenkins, GitLab CI ou GitHub Actions, Anchore Engine bloque automatiquement la promotion d'une image non conforme, matérialisant une approche shift-left de la sécurité applicative. Il génère également des SBOM au format SPDX ou CycloneDX, facilitant la traçabilité des composants logiciels exigée par des cadres comme l'Executive Order américain sur la cybersécurité ou NIS2. Anchore propose aussi une version commerciale, Anchore Enterprise, avec tableaux de bord et gestion multi-registre. Concurrents directs : Trivy, Grype, Clair. Positionné au cœur des pratiques DevSecOps, l'outil répond à l'exigence croissante de sécuriser la chaîne d'approvisionnement logicielle des environnements conteneurisés.

Description

Anchore Engine analyse les images conteneurs couche par couche en extrayant les packages (RPM, DEB, Python, npm) et en les croisant avec la NVD, RHSA et CVE-DB. Les politiques personnalisées définissent des règles de blocage selon les seuils CVE (CRITICAL, HIGH), la présence de secrets ou de packages interdits.

Mise en œuvre

Intégration CI/CD via anchore-cli image add image:tag && anchore-cli evaluate check image:tag --policy mypolicy. Le service Anchore Engine tourne en conteneur Docker Compose avec PostgreSQL pour persister les analyses.

Points clés

Politiques as-code versionnées en JSON dans le dépôt
Gate de déploiement : build échoue si évaluation = FAIL
Intégration native Jenkins, GitLab CI et GitHub Actions

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis