Introducción a la API de datos de vulnerabilidades para Azure Kubernetes Service (AKS)

La API de datos de vulnerabilidades de AKS le proporciona acceso de solo lectura de forma programática a las vulnerabilidades y exposiciones comunes (CVE) detectadas en los componentes de la plataforma administrados por AKS. Está pensado para equipos de seguridad, equipos de cumplimiento y propietarios de plataformas que necesitan información fiable sobre las vulnerabilidades en componentes administrados por AKS, incluida la versión de AKS que contiene el parche para cada CVE. Para obtener información general conceptual sobre cómo se estructuran y actualizan estos componentes, consulte Control de versiones de componentes de AKS.

En este artículo de información general se explica el propósito de la API de datos de vulnerabilidades de AKS, los tipos de datos CVE que expone y cómo se puede usar para comprender la posición de seguridad de los componentes administrados por AKS a lo largo del tiempo.

Nota:

Esta API no proporciona una vista específica del clúster de vulnerabilidades. Hace un seguimiento de los CVE en los lanzamientos de AKS, las versiones de Kubernetes y las imágenes de nodos, e identifica el lanzamiento de AKS que contiene el parche para cada CVE. Debido a las ventanas de mantenimiento planeado y al lanzamiento por fases de las versiones de AKS, los distintos clústeres pueden estar en diferentes versiones de AKS en cualquier momento dado.

Estructura de LA API de datos de vulnerabilidades de AKS

La API expone los datos de vulnerabilidad organizados por tres categorías de componentes de AKS:

Los datos se generan a partir de informes previamente escaneados y validados y reflejan la postura de seguridad de los componentes gestionados por AKS en momentos concretos de cada versión.

Importante

La API de datos de vulnerabilidades de AKS es solo informativo e informa de vulnerabilidades identificadas en artefactos administrados por AKS, no vulnerabilidades presentes en cargas de trabajo administradas por el cliente.

La API no puede:

  • Examen de clústeres de clientes
  • Análisis de la exposición en tiempo de ejecución
  • Determine si un CVE se puede aprovechar en su entorno. La posibilidad de explotación depende del comportamiento de la carga de trabajo, la exposición a la red y los controles de acceso sobre los que la API no tiene visibilidad.
  • Indica si una versión de AKS revisada se ha implementado en un clúster específico. La disponibilidad de revisiones en un clúster determinado depende de la versión actual de AKS, la fase de implementación de regiones y las ventanas de mantenimiento planeado del clúster.

Para la evaluación de vulnerabilidades de ejecución de clústeres y cargas de trabajo de clientes, use herramientas como Microsoft Defender para contenedores o analizadores de seguridad de contenedores de terceros.

Puede usar los datos de vulnerabilidad para identificar qué versiones de AKS incluyen correcciones para CVE específicos y, a continuación, comprobar si esas versiones están pendientes en sus clústeres debido a las ventanas de mantenimiento programadas.

Acceso a la API

Puede acceder a la API de datos de vulnerabilidades de AKS mediante uno de los métodos siguientes:

Todos los puntos de conexión son accesibles públicamente y de solo lectura. No exponen información específica del cliente. Use el visor interactivo para la exploración ad hoc y la revisión manual. Use la API REST para la automatización, los informes y el análisis a gran escala.

Interpretación de los datos de CVE

La API de datos de vulnerabilidades de AKS informa de los CVE detectados en artefactos administrados por AKS en momentos concretos. Cada CVE de un informe se clasifica como activo o mitigado:

  • Los CVE activos indican vulnerabilidades que fueron detectadas en la versión del artefacto de AKS a la que se hace referencia en el momento en que se generó el informe.
  • Los CV mitigados indican vulnerabilidades detectadas en una versión anterior del artefacto de AKS al que se hace referencia, pero que ya no están presentes en la versión actual, normalmente porque se actualizó el componente o el paquete del sistema operativo afectados.

Elección de la experiencia correcta

La información de vulnerabilidades de AKS está disponible a través de varias experiencias en función del ámbito de la tarea:

Ámbito Experiencia recomendada
Consulta puntual de CVE o investigación ad hoc Use el estado de CVE de AKS y los boletines de seguridad, o el visor interactivo.
Análisis de CVE específico del clúster sin un analizador de vulnerabilidades Correlacionar los datos de esta API con las versiones de componentes administrados por AKS que se ejecutan en el clúster. Puede detectar las versiones de componente implementadas en el clúster mediante AKS Component Insights.
Análisis o automatización de CVE a gran escala En escenarios en los que necesita procesar cientos o miles de CVE notificados por un analizador de seguridad, use la API de datos de vulnerabilidades de AKS directamente. Esto permite recuperar mediante programación informes de vulnerabilidades de los artefactos de AKS que está ejecutando, comparar los CVE notificados por el analizador con los CVE presentes en esos informes de artefactos e identificar qué CVE se han corregido en versiones más recientes de AKS, versiones de Kubernetes o imágenes de los nodos.

Para obtener instrucciones sobre cómo usar la API para el análisis masivo, los flujos de trabajo de correlación y los escenarios de automatización, consulte Use the Azure Kubernetes Service (AKS) Vulnerability Data API.

Casos de uso comunes

En las secciones siguientes se describen escenarios comunes en los que la API de datos de vulnerabilidades de AKS puede usarse para respaldar actividades de seguridad y cumplimiento, incluida la auditoría de CVE para las versiones de AKS, la identificación de las CVE mitigadas entre versiones, la revisión de las CVE para las versiones de Kubernetes y la evaluación de vulnerabilidades de las imágenes de nodo.

Auditar CVE para una versión de AKS

Recupere los datos de vulnerabilidad de una versión específica de la plataforma de AKS para revisar los CVEs fijos en los componentes del sistema administrados por AKS.

Identificar los CVE mitigados entre las versiones de AKS

Los informes de versión de AKS incluyen información diferencial que indica qué CVE se mitigaron en comparación con la versión anterior. Revise el rastreador de versiones de AKS para determinar cuándo una versión en curso llega a su región y confirme que la ventana de mantenimiento permite la actualización.

Revisar las CVE para una versión de Kubernetes

Recupera información sobre vulnerabilidades de una versión específica de Kubernetes, incluida la lista de CVE que afectan a:

  • Imágenes de componentes de Kubernetes.
  • Características administradas por AKS, complementos y extensiones asociadas a esa versión.

Esto resulta útil al evaluar las actualizaciones de Kubernetes o comparar la posición de vulnerabilidad entre las versiones admitidas. Revise el rastreador de versiones de AKS para determinar cuándo una versión de Kubernetes llega a su región y confirme que la ventana de mantenimiento permite la actualización.

Revisión de vulnerabilidades de la imagen de nodo (VHD)

Los informes de imágenes de nodo proporcionan visibilidad de las vulnerabilidades que afectan a:

  • Paquetes del sistema operativo incluidos en la imagen del nodo.
  • Imágenes de contenedor almacenadas en caché en la imagen del nodo.

Esta información es útil al planear las actualizaciones de imágenes de nodo. Revise el rastreador de versiones de AKS para determinar cuándo una versión de VHD llega a su región y confirme que la ventana de mantenimiento permite la actualización.

Contenido relacionado

  • Se actualizó por última vez el