Docker Image Scanning (Analyse de sécurité des images Docker)

Définition

Le scan d'images Docker est une pratique DevSecOps consistant à analyser les images de conteneurs pour détecter les vulnérabilités (CVEs) dans les packages système et les dépendances applicatives avant leur déploiement en production. Cette analyse doit être intégrée au plus tôt dans le pipeline CI/CD — idéalement à chaque build — plutôt qu'uniquement en pré-production. Des outils open-source comme Trivy (Aqua Security), Grype (Anchore) ou Clair analysent les couches de l'image contre des bases de CVE comme NVD, OSV et les bases des distributions Linux. Des solutions commerciales comme Snyk Container, Twistlock (Palo Alto Prisma Cloud) ou Sysdig Secure ajoutent la détection de mauvaises configurations (Dockerfile best practices), les secrets hardcodés, et la conformité CIS Docker Benchmark. Le workflow recommandé intègre le scan dans GitHub Actions ou GitLab CI, définit des seuils de blocage (CRITICAL CVEs = échec du build), et met en place une politique de mise à jour des images de base. Le registry scanning (Harbor, ECR scan on push) complète le scan en CI pour détecter les nouvelles vulnérabilités sur des images déjà déployées.