Container Image Layers and Container Image Scanning Explained – неплохая статья для новичков и тех, кто хочет разобраться с тем как устроены слои в docker image, а также как работают сканеры образов.

Если говорить верхнеуровнево, то как правило, такие сканеры работают примерно по одному и тому же принципу:

1) Выкачивают образы из registry
2) Анализируют каждый слой образа – извлекают tar-файлы и проверяют наличие пакетов по заранее известным путям
3) Объединяют результаты анализа
4) Сканируют найденные пакеты на уязвимости