在容器安全方面，有很多使用开源工具阻止安全灾难的故事，例如前不久发生的特斯拉 Kubernetes 集群入侵事件。容器的安全性一直是一件很棘手的事情，因此如何巧妙使用开源工具就成为一件重要的事情。
如果你已经花了大量精力找到了最佳的应用程序安全性测试工具，并确保你的应用程序尽可能安全，那么你肯定不希望运行它的容器是不够安全的。幸运的是，除了商业版的容器安全产品可供选择之外，还有许多开源项目也很不错。其中有许多项目侧重于审计、跟踪公共漏洞和通用披露数据库（CVE）以及由 CIS 网络安全智能系统、国家漏洞数据库和其他机构建立的安全基准。这些工具会对容器镜像进行扫描，并将扫描后的结果与这些已知的漏洞清单进行交叉比对。
通过使用自动化容器审计或者容器安全流程，可以帮助团队在项目早期捕获问题，从而为企业带来巨大的好处。
目前市面上有很多开源容器安全工具，这里列出了一些最值得推荐的、最成熟的、拥有广大用户群体的工具。
Docker Bench 是一个根据安全基准对 Docker 容器进行审计的脚本。
该工具面向的是使用 Docker 社区版本进行容器管理的开发者，Docker Bench for Security 是一个根据通用的安全最佳实践设计的开源脚本，用于对 Docker 容器进行安全审计。
Docker Bench 的测试基于行业的 CIS 基准，可以自动完成繁琐的手工漏洞测试过程。
Docker 安全主管 Diogo Mónica 将其描述为“一个测试容器的容器”。你可以按照如下操作对容器进行初始化：
- docker run -it –net host –pid host –userns host –cap-add audit_control -e DOCKER_CONTENT_TRUST=$DOCKER_CONTENT_TRUST -v /var/lib:/var/lib -v /var/run/docker.sock:/var/run/docker.sock -v /usr/lib/systemd:/usr/lib/systemd -v /etc:/etc –label docker_bench_security docker/docker-bench-security
运行结果会将每个安全配置基准的日志分为普通信息、警告信息以及通过信息。你可以直接在 Docker 容器中运行这个工具，也可以通过 Docker Compose 来克隆或者直接在你的 Docker 宿主机上运行这个脚本。
这个工具有一个缺点，它的输出结果在机器可读性上有所欠缺。社区有许多工具包实现了对 Docker Bench 的改进，比如，Docker Bench Test、drydock 以及 Actuary。
