同一镜像在不同AWS账号ECR基础扫描结果差异原因咨询

• 扫描配置差异检查

  • 核对两个账号ECR仓库的扫描规则：是否都采用相同的扫描类型（基础/增强），CVE数据源的更新频率是否一致，stage账号有没有设置大量漏洞忽略规则
  • 确认扫描触发逻辑：dev是不是镜像推送后自动扫描，stage是不是手动扫描且执行时间更早，导致使用的CVE库版本不同
  • 检查是否有严重性等级自定义：stage账号有没有通过规则把高风险漏洞的等级调低

• 镜像一致性验证

  • 对比两个账号镜像的digest值：确保复制后的镜像和dev中的完全一致，没有出现复制损坏或被替换的情况
  • 确认镜像标签唯一性：stage账号里该标签对应的确实是从dev复制的镜像，没有被其他新镜像覆盖

• 账号环境与权限差异

  • 检查ECR扫描权限：stage账号的扫描角色是否有足够权限获取完整CVE数据，有没有权限限制导致漏扫
  • 确认AWS区域：两个账号是否在同一个区域，不同区域的CVE库更新可能存在延迟，影响扫描结果
  • 查看第三方扫描集成：dev有没有额外集成其他扫描工具，stage未集成的话也会导致结果差异

• 扫描时间与CVE库版本

  • 对比扫描时间：如果dev的扫描时间比stage晚，CVE库可能已经更新，新增了更多漏洞记录
  • 确认CVE库版本：不同时间的CVE库包含的漏洞数量不同，这是扫描结果差异的常见原因

内容的提问来源于stack exchange，提问作者MikeW