Docker Scout - Security Analysis แบบ Real-time

# ตรวจสอบ Docker CLI พร้อมใช้งาน
$ docker --version
Docker version 24.0.5, build ced0996

# ตรวจสอบ Docker Scout plugin
$ docker scout --version
Docker Scout version v1.7.0+docker1

# เข้าสู่ระบบ Docker Hub (จำเป็นสำหรับฟีเจอร์บางอย่าง)
$ docker login
# ป้อน Docker Hub username และ password

# สแกน image ที่มีอยู่ใน local (ชื่อ image:tag)
$ docker scout cves nginx:1.25

# สแกน image จาก Docker Hub
$ docker scout cves redis:7-alpine

# สแกน image ที่ build แล้วพร้อม tag ใหม่
$ docker build -t myapp:1.0 .
$ docker scout cves myapp:1.0

# สแกน image จาก registry อื่น
$ docker pull gcr.io/my-project/myapp:latest
$ docker scout cves gcr.io/my-project/myapp:latest

# สร้าง SBOM ในรูปแบบ JSON (CycloneDX)
$ docker scout sbom myapp:1.0 --format json > sbom.json

# สร้าง SBOM ในรูปแบบ SPDX (JSON)
$ docker scout sbom myapp:1.0 --format spdx-json > sbom.spdx.json

# สร้าง SBOM และแสดงเป็น text summary
$ docker scout sbom myapp:1.0

# สร้าง SBOM แบบ interactive (view ใน terminal)
$ docker scout sbom myapp:1.0 -i

# ตรวจสอบ provenance ของ image
$ docker scout provenance myapp:1.0

# ตรวจสอบ provenance และแสดงรายละเอียด
$ docker scout provenance myapp:1.0 --details

# ตรวจสอบ provenance พร้อม verification
$ docker scout provenance myapp:1.0 --verify

name: Docker Scout Security Scan

on:
  push:
    branches: [main, develop]
  pull_request:
    branches: [main]

jobs:
  security-scan:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout code
        uses: actions/checkout@v4

      - name: Set up Docker Buildx
        uses: docker/setup-buildx-action@v3

      - name: Login to Docker Hub
        uses: docker/login-action@v3
        with:
          username: ${{ secrets.DOCKER_USERNAME }}
          password: ${{ secrets.DOCKER_PASSWORD }}

      - name: Build Docker image
        uses: docker/build-push-action@v5
        with:
          context: .
          push: false
          tags: myapp:${{ github.sha }}

      - name: Run Docker Scout
        uses: docker/scout-action@v1
        with:
          command: cves
          image: myapp:${{ github.sha }}
          format: sarif
          output: docker-scout-results.sarif

      - name: Upload SARIF file
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: docker-scout-results.sarif

      - name: Fail build if critical vulnerabilities found
        run: |
          if docker scout cves myapp:${{ github.sha }} --fail-on=critical 2>&1 | grep -q "critical"; then
            echo "Critical vulnerabilities detected!"
            exit 1
          fi

stages:
  - build
  - security

variables:
  DOCKER image: myregistry/myapp
  DOCKER Tag: $CI_COMMIT_SHA

build:
  stage: build
  image: docker:24.0.5
  services:
    - docker:24.0.5-dind
  script:
    - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY
    - docker build -t $DOCKER image:$DOCKER Tag .
    - docker push $DOCKER image:$DOCKER Tag

security-scan:
  stage: security
  image: docker:24.0.5
  services:
    - docker:24.0.5-dind
  script:
    - docker login -u $CI_REGISTRY_USER -p $CI_REGISTRY_PASSWORD $CI_REGISTRY
    - docker pull $DOCKER image:$DOCKER Tag
    - docker scout cves $DOCKER image:$DOCKER Tag --fail-on=critical
    - docker scout sbom $DOCKER image:$DOCKER Tag --format json > sbom.json
  rules:
    - if: $CI_COMMIT_BRANCH == "main"
      when: always
    - when: manual