EXTENDIENDO DE CLAIR MEDIANTE LA INCORPORACIÓN DE NUEVOS DETECTORES DE RECURSOS, Y LA INTEGRACIÓN DEL ANÁLISIS DE IMÁGENES SINGULARITY

Abstract

Clair es una herramienta de so ware que describe paquetes en contenedores de virtualización, realizando un análisis de sus vulnerabilidades. Actualmente, Clair no cuenta con la habilidad de describir paquetes pip o node, ni analizar sistemas de archivos que no se encuentren comprimidos y separados en capas. Singularity es una plataforma de virtualización en ascenso, orientada a la academia y proyectos HPC, cuyos registros(shub, library) almacenan solamente imágenes .simg y .sif. La can dad de contenedores que incluyen las librerías mencionadas, y el impacto que tendría integrar el análisis de imágenes Singularity, son las mo vaciones de esta memoria. Este trabajo se enfoca en la modificación y extensión de Clair. Se generaron nuevos drivers detectores para describir paquetes de los repositorios PyPI y npm. Se integró el análisis de imágenes Singularity del shub y library. Se verificaron los cambios con pruebas en imágenes de variados pos de proyectos, analizando la relevancia de las modificaciones en los resultados. Estos avances aportan a los usuarios de Clair que han expresado su interés en la falta de esta información, quienes pueden estar interesados tanto en la seguridad de sus aplicaciones como en obtener mas fieles representaciones de sus entornos de ejecución.Clair is a tool that detects resources within virtualiza on containers, performing an analysis of their vulnerabili es. Clair cannot iden fy pip or npm packages, nor can it analyze filesystems that aren’t archived and separated in Layers. Singularity is a rising container tecnology, focused on CS and HPC projects, whose registries(shub, library) only store .simg and .sif files. The amount of containers that include the men oned libraries, and the potencial impact of integra ng the analysis of Singularity images, are the essen al mo va ons for this thesis. This work focuses on the modifica on and extension of Clair. New drivers where developed to describe libraries and modules installed through the package repositories PyPI & npm. The analysis of shub and library images was succesfully integrated. Results were verified through trials on several images related to varied types of projects, analizing in depth the relevance of the modifica ons made. This advances will provide a solu on to all users who vocalized their interest in having such informa on, wether they where interested in the vulnerability analysis of their applica ons, or obtaining more faithful representa ons of their execu on environments.