Vue d’ensemble de l’API de données de vulnérabilité pour Azure Kubernetes Service (AKS)

L’API De données de vulnérabilité AKS vous donne un accès en lecture seule programmatique aux vulnérabilités et aux expositions courantes détectées dans les composants de la plateforme managée par AKS. Elle est destinée aux équipes de sécurité, aux équipes de conformité et aux propriétaires de plateforme qui ont besoin d’informations faisant autorité sur les vulnérabilités dans les composants gérés par AKS, y compris la version AKS contenant le correctif pour chaque CVE. Pour obtenir une vue d’ensemble conceptuelle de la façon dont ces composants sont structurés et mis à jour, consultez le contrôle de version des composants AKS.

Cet article de vue d’ensemble explique l’objectif de l’API de données de vulnérabilité AKS, les types de données CVE qu’il expose et comment vous pouvez l’utiliser pour comprendre la posture de sécurité des composants gérés par AKS au fil du temps.

Note

Cette API ne fournit pas de vue des vulnérabilités spécifique à un cluster. Il suit les CVE pour les versions d’AKS, les versions de Kubernetes et les images de nœuds, et identifie la version d’AKS qui contient le correctif pour chaque CVE. En raison des fenêtres de maintenance planifiée et du déploiement par phases des versions AKS, différents clusters peuvent se trouver sur différentes versions AKS à tout moment donné.

Structure de l’API de données de vulnérabilité AKS

L’API expose les données de vulnérabilité organisées par trois catégories de composants AKS :

Les données sont générées à partir de rapports pré-analysés, validés et reflètent la posture de sécurité des composants gérés par AKS à des points de publication spécifiques dans le temps.

Important

L’API de données de vulnérabilité AKS est informationnelle uniquement et signale les vulnérabilités identifiées dans les artefacts gérés par AKS, et non les vulnérabilités présentes dans les charges de travail gérées par le client.

L’API ne permet pas de :

  • Analyser les clusters clients
  • Analyser l’exposition de l’environnement d’exécution
  • Déterminez si un CVE est exploitable dans votre environnement. L’exploitabilité dépend du comportement de la charge de travail, de l’exposition du réseau et des contrôles d’accès auxquels l’API n’a aucune visibilité.
  • Indiquez si une version AKS corrigée a été déployée sur un cluster spécifique. La disponibilité des correctifs sur un cluster donné dépend de la version actuelle d’AKS, de la phase de déploiement de région et des fenêtres de maintenance planifiée du cluster.

Pour l’évaluation des vulnérabilités des clusters en cours d’exécution et des charges de travail client, utilisez des outils tels que Microsoft Defender pour conteneurs ou des scanneurs de sécurité de conteneurs tiers.

Vous pouvez utiliser les données de vulnérabilité pour identifier les versions AKS qui incluent des correctifs pour des cvEs spécifiques, puis vérifier si ces versions sont en attente sur vos clusters en raison de fenêtres de maintenance planifiée.

Accéder à l’API

Vous pouvez accéder à l’API de données de vulnérabilité AKS à l’aide de l’une des méthodes suivantes :

Tous les points de terminaison sont accessibles publiquement et en lecture seule. Ils n’exposent pas d’informations spécifiques au client. Utilisez la visionneuse interactive pour l’exploration ad hoc et la révision manuelle. Utilisez l’API REST pour l’automatisation, la création de rapports et l’analyse à grande échelle.

Comment interpréter les données CVE

L’API de données de vulnérabilité AKS signale les CVEs détectées dans les artefacts gérés par AKS à des moments spécifiques. Chaque CVE d’un rapport est classé comme actif ou atténué :

  • Les CVEs actives indiquent des vulnérabilités qui ont été détectées dans la version d’artefact AKS référencée au moment où le rapport a été généré.
  • Les CVE corrigées indiquent des vulnérabilités qui ont été détectées dans une version précédente de l’artefact AKS concerné, mais qui ne sont plus présentes dans la version actuelle, généralement parce que le composant affecté ou le paquet du système d’exploitation a été mis à niveau.

Choisir l’expérience appropriée

Les informations sur les vulnérabilités AKS sont disponibles via plusieurs expériences en fonction de l’étendue de la tâche :

Étendue Expérience recommandée
Recherche CVE ponctuelle ou investigation ad hoc Utilisez l’état AKS CVE et les bulletins de sécurité ou la visionneuse interactive.
Analyse CVE spécifique au cluster sans scanneur de vulnérabilités Mettre en corrélation les données de cette API avec les versions du composant managé AKS s’exécutant sur votre cluster. Vous pouvez découvrir les versions des composants déployées dans votre cluster à l’aide d’AKS Component Insights.
Analyse ou automatisation CVE à grande échelle Pour les scénarios où vous devez traiter des centaines ou des milliers de CVE signalés par un scanneur de sécurité, utilisez directement l’API de données de vulnérabilité AKS. Cela vous permet de récupérer par programmation des rapports sur les vulnérabilités des artefacts AKS que vous utilisez, de comparer les CVE signalées par l’analyseur avec les CVE présentes dans ces rapports d’artefacts et d’identifier les CVE corrigées dans des versions plus récentes d’AKS, de Kubernetes ou dans les images de nœud.

Pour obtenir des conseils sur l’utilisation de l’API pour l’analyse en bloc, les flux de travail de corrélation et les scénarios d’automatisation, consultez Utilisez l’API de données de vulnérabilité Azure Kubernetes Service (AKS).

Cas d’utilisation courants

Les sections suivantes décrivent les scénarios courants dans lesquels l’API de données de vulnérabilité AKS peut être utilisée pour prendre en charge les activités de sécurité et de conformité, notamment l’audit des CVE pour les versions AKS, l’identification des CVEs atténuées entre les versions, l’examen des CVEs pour les versions de Kubernetes et l’évaluation des vulnérabilités des images de nœud.

Examiner les CVE d’une version d’AKS

Récupérez les données sur les vulnérabilités d’une version spécifique de la plateforme AKS afin d’examiner les CVE corrigées dans les composants système gérés par AKS.

Identifier les CVE ayant fait l’objet de mesures d’atténuation entre les versions d’AKS

Les rapports de publication AKS incluent des informations delta qui indiquent quelles CVE ont été atténuées par rapport à la version précédente. Passez en revue akS Release Tracker pour déterminer quand une version en cours atteint votre région et vérifiez que votre fenêtre de maintenance autorise la mise à niveau.

Passer en revue les CVE pour une version kubernetes

Récupérez les informations sur les vulnérabilités pour une version spécifique de Kubernetes, y compris les CVE affectant :

  • Images des composants Kubernetes.
  • Fonctionnalités gérées par AKS, modules complémentaires et extensions associés à cette version.

Cela est utile lors de l’évaluation des mises à niveau de Kubernetes ou de la comparaison du niveau d’exposition aux vulnérabilités entre les différentes versions prises en charge. Passez en revue akS Release Tracker pour déterminer quand une version de Kubernetes atteint votre région et vérifiez que votre fenêtre de maintenance autorise la mise à niveau.

Examiner les vulnérabilités de l’image de nœud (VHD)

Les rapports d’images de nœud fournissent une visibilité sur les vulnérabilités affectant :

  • Packages de système d’exploitation inclus dans l’image de nœud.
  • Images de conteneur mises en cache dans l’image du nœud.

Ces informations sont utiles lors de la planification des mises à niveau d’images de nœud. Consultez le AKS Release Tracker pour déterminer quand une version de VHD est disponible dans votre région, et vérifiez que votre fenêtre de maintenance permet la mise à niveau.

Contenu connexe

  • Dernière mise à jour :