Container Image Scanning

イメージスキャンとは、コンテナイメージ内の既知の脆弱性（OS パッケージ、言語の依存ライブラリ、設定）を検出し、デプロイ前にリスクを阻止する仕組みである。

目的

CI/CD 内でイメージの脆弱性を自動検出し、安全でないイメージのデプロイを防ぐ。

メカニズム

イメージの各レイヤーにわたってパッケージと依存関係を走査し、CVE データベース（NVD/OSV）と照合する。スキャナには Trivy、Grype、Snyk がある。CI ゲートでは、重大な脆弱性が閾値を超えた場合に失敗扱いにする。SBOM（ソフトウェア部品表）が依存関係を追跡する。

ユースケース

脆弱性マネジメント
CI ゲート
サプライチェーンセキュリティ

関連用語

Container Image Registry

コンテナイメージレジストリはコンテナイメージを保存・配布する。バージョンタグ、レイヤーキャッシュ、アクセス制御をサポートする。

CVE（Common Vulnerabilities and Exposures）は、公開されたセキュリティ脆弱性に一意の識別子（CVE-YYYY-NNNN）を付与する仕組みで、MITRE が管理する。

References