Přehled rozhraní API pro data o zranitelnostech pro Azure Kubernetes Service (AKS)

Rozhraní AKS Vulnerability Data API poskytuje programový přístup jen pro čtení k běžným ohrožením zabezpečení a expozicím zjištěným v komponentách platformy spravované službou AKS. Je určen pro týmy zabezpečení, týmy dodržování předpisů a vlastníky platforem, kteří potřebují spolehlivé informace o zranitelnostech v komponentách spravovaných službou AKS, včetně toho, které vydání AKS obsahuje opravu pro každé CVE. Koncepční přehled struktury a aktualizace těchto komponent najdete v tématu Správa verzí komponent AKS.

Tento článek s přehledem vysvětluje účel rozhraní API pro data ohrožení zabezpečení AKS, typy dat CVE, která zpřístupňuje, a jak ho můžete použít k pochopení stavu zabezpečení komponent spravovaných službou AKS v průběhu času.

Note

Toto rozhraní API neposkytuje zobrazení ohrožení zabezpečení specifické pro cluster. Sleduje CVE ve vztahu k vydáním AKS, verzím Kubernetes a imagím uzlů a identifikuje vydání AKS, které obsahuje opravu pro každé CVE. Vzhledem k plánovaným oknům údržby a postupnému zavádění verzí AKS mohou být různé clustery v kterémkoli daném okamžiku na různých verzích AKS.

Struktura rozhraní API pro data o zranitelnostech v AKS

Rozhraní API zobrazí data ohrožení zabezpečení uspořádaná třemi kategoriemi komponent AKS:

  • verze platformy AKS: CvEs, které mají vliv na konkrétní verzi verze AKS a verzi AKS, která obsahuje opravu pro jednotlivé CVE. Týká se to komponent řídicí roviny Kubernetes a imagí kontejnerů pro funkce spravované AKS , doplňky a rozšíření svázané s touto verzí.
  • Verze Kubernetes: CVE, které ovlivňují image komponent Kubernetes a kontejnerové image pro funkce, doplňky a rozšíření spravované službou AKS, související s konkrétní verzí Kubernetes.
  • Image uzlů (virtuální pevné disky neboli VHD): CVE, které ovlivňují balíčky operačního systému (OS) a kontejnerové image uložené v mezipaměti, které jsou součástí konkrétní image uzlu AKS.

Data jsou generována z předem naskenovaných a ověřených reportů a odrážejí stav zabezpečení komponent spravovaných službou AKS v konkrétních okamžicích vydání.

Important

Rozhraní AKS Vulnerability Data API je pouze informativní a hlásí ohrožení zabezpečení identifikovaná v artefaktech spravovaných službou AKS, nikoli ohrožení zabezpečení v úlohách spravovaných zákazníkem.

Rozhraní API neumožňuje:

  • Skenovat zákaznické clustery
  • Analýza expozice za běhu
  • Zjistěte, zda je CVE ve vašem prostředí zneužitelné. Možnost zneužití závisí na chování pracovních zátěží, vystavení sítě a řízení přístupu, do nichž rozhraní API nemá žádný vhled.
  • Určete, jestli se do konkrétního clusteru zavedla opravená verze AKS. Dostupnost oprav v daném clusteru závisí na aktuální verzi AKS clusteru, fázi zavádění oblastí a časových obdobích plánované údržby .

K posouzení ohrožení zabezpečení spuštěných clusterů a úloh zákazníků použijte nástroje, jako jsou Microsoft Defender pro kontejnery nebo kontroly zabezpečení kontejnerů třetích stran.

Pomocí dat o zranitelnostech můžete zjistit, které verze AKS obsahují opravy pro konkrétní CVE, a pak zkontrolovat, zda nasazení těchto verzí ve vašich clusterech nečeká kvůli plánovaným oknům údržby.

Přístup k rozhraní API

K rozhraní API pro data ohrožení zabezpečení AKS se dostanete pomocí jedné z následujících metod:

Všechny koncové body jsou veřejně přístupné a jen pro čtení. Nezpřístupňují informace specifické pro zákazníky. Interaktivní prohlížeč můžete použít k ad hoc zkoumání a ruční kontrole. Rozhraní REST API slouží k automatizaci, vytváření sestav a rozsáhlé analýze.

Jak interpretovat data CVE

Rozhraní API pro údaje o zranitelnostech AKS poskytuje informace o zranitelnostech CVE zjištěných v artefaktech spravovaných službou AKS v konkrétních okamžicích. Každá položka CVE v sestavě je klasifikována jako aktivní nebo zmírněná:

  • Aktivní CVE indikují chyby zabezpečení, která byla zjištěna v odkazované verzi artefaktu AKS v okamžiku vygenerování sestavy.
  • Zmírněné CVE označují zranitelnosti, které byly zjištěny v předchozí verzi příslušného artefaktu AKS, ale v aktuální verzi se již nevyskytují, obvykle proto, že dotčená komponenta nebo balíček operačního systému byly aktualizovány.

Volba správného prostředí

Informace o ohrožení zabezpečení AKS jsou dostupné prostřednictvím více prostředí v závislosti na rozsahu úlohy:

Scope Doporučené prostředí
Jednorázové vyhledávání CVE nebo jednorázové šetření Použijte stav CVE AKS a bezpečnostní bulletiny nebo interaktivní prohlížeč.
Analýza CVE pro konkrétní cluster bez skeneru zranitelností Korelujte data z tohoto rozhraní API s verzemi komponent spravovanými službou AKS spuštěnými ve vašem clusteru. Verze komponent nasazené ve vašem clusteru můžete zjistit pomocí AKS Component Insights.
Rozsáhlé analýzy nebo automatizace CVE Ve scénářích, ve kterých potřebujete zpracovat stovky nebo tisíce CVE hlášených skenerem zabezpečení, použijte přímo rozhraní API pro data ohrožení zabezpečení AKS. To vám umožní programově načítat zprávy o zranitelnostech pro artefakty AKS, které používáte, porovnávat CVE nahlášené skenerem s CVE uvedenými v těchto zprávách o artefaktech a určit, které CVE jsou opraveny v novějších verzích AKS, verzích Kubernetes nebo bitových kopiích uzlů.

Pokyny k použití rozhraní API pro hromadnou analýzu, pracovní postupy korelace a scénáře automatizace najdete v tématu Použít rozhraní API pro data ohrožení zabezpečení Azure Kubernetes Service (AKS).

Běžné případy použití

Následující části uvádějí běžné scénáře, ve kterých lze rozhraní AKS Vulnerability Data API použít na podporu činností v oblasti zabezpečení a dodržování předpisů, včetně auditu CVE pro verze AKS, identifikace CVE, jejichž dopady byly mezi verzemi zmírněny, kontroly CVE pro verze Kubernetes a posouzení zranitelností imagí uzlů.

Auditovat CVEs pro verzi AKS

Načtěte údaje o ohroženích zabezpečení pro konkrétní vydání platformy AKS, abyste mohli zkontrolovat CVE opravené v systémových komponentách spravovaných službou AKS.

Určete zranitelnosti CVE zmírněné mezi verzemi AKS

Zprávy o verzích AKS obsahují informace o rozdílech, které uvádějí, která CVE byla mitigována oproti předchozí verzi. Projděte si AKS Release Tracker, abyste zjistili, kdy právě zaváděné vydání dorazí do vašeho regionu, a ověřte, že vaše okno údržby tuto aktualizaci umožňuje.

Zkontrolovat CVE pro verzi Kubernetes

Načte informace o zranitelnostech pro konkrétní verzi Kubernetes, včetně identifikátorů CVE, které ji ovlivňují:

  • Image komponent Kubernetes
  • Funkce, doplňky a rozšíření spravované službou AKS přidružené k této verzi

To je užitečné při vyhodnocování upgradů Kubernetes nebo při porovnávání stavu ohrožení zabezpečení napříč podporovanými verzemi. Zkontrolujte nástroj AKS Release Tracker a zjistěte, kdy verze Kubernetes dosáhne vaší oblasti, a ověřte, že časové období údržby umožňuje upgrade.

Zkontrolovat zranitelnosti bitové kopie uzlu (VHD)

Přehledy image uzlů poskytují přehled o zranitelnostech, které ovlivňují:

  • Balíčky operačního systému zahrnuté v imagi uzlu
  • Obrazy kontejnerů uložené v mezipaměti v obrazu uzlu.

Tyto informace jsou užitečné při plánování upgradů imagí uzlů. Zkontrolujte AKS Release Tracker, abyste zjistili, kdy bude verze VHD dostupná ve vašem regionu, a ověřte, že vaše okno údržby umožňuje upgrade.

Související obsah

  • Poslední aktualizace v