Az Azure Kubernetes Service (AKS) biztonságirésadat-API-jának áttekintése

Az AKS sebezhetőségiadat-API programozott, csak olvasási hozzáférést biztosít az AKS által felügyelt platform-összetevőkben észlelt Common Vulnerabilities and Exposures (CVE-k) adataihoz. Biztonsági csapatoknak, megfelelőségi csapatoknak és platformtulajdonosoknak készült, akiknek mérvadó információra van szükségük az AKS által felügyelt összetevők biztonsági réseiről, beleértve azt is, hogy melyik AKS-kiadás tartalmazza az egyes CVE-k javításait. Az összetevők strukturálásának és frissítésének elméleti áttekintéséért tekintse meg az AKS-összetevők verziószámozását.

Ez az áttekintési cikk bemutatja az AKS biztonságirés-adat API célját, az általa közzétett CVE-adatok típusait, valamint azt, hogy hogyan használható az AKS által felügyelt összetevők biztonsági helyzetének időbeli megértése.

Note

Ez az API nem biztosít fürtspecifikus nézetet a sérülékenységekről. Nyomon követi az AKS-kiadásokhoz, Kubernetes-verziókhoz és csomópont-lemezképekhez kapcsolódó CVE-ket, és azonosítja azt az AKS-kiadást, amely az egyes CVE-k javítását tartalmazza. A tervezett karbantartási időszakok és az AKS-kiadások szakaszos bevezetése miatt a különböző fürtök egy adott időpontban különböző AKS-kiadásokon futhatnak.

Az AKS biztonságirés-adat API-struktúrája

Az API három AKS-összetevő-kategória szerint rendszerezett biztonságirés-adatokat jelenít meg:

Az adatok előre beolvasott, ellenőrzött jelentésekből jönnek létre, és tükrözik az AKS által felügyelt összetevők biztonsági helyzetét adott kiadási pontokon.

Important

Az AKS biztonságirés-adat API csak tájékoztató jellegű, és az AKS által felügyelt összetevőkben azonosított biztonsági réseket jelenti, nem pedig az ügyfél által felügyelt számítási feladatokban található biztonsági réseket.

Az API nem teszi a következőket:

  • Ügyfélcsoportok átvizsgálása
  • Futtatókörnyezet expozíciójának elemzése
  • Annak meghatározása, hogy a CVE kihasználható-e a környezetben. A kihasználhatóság a számítási feladatok viselkedésétől, a hálózati kitettségtől és a hozzáférés-vezérléstől függ, amelyekbe az API nem rendelkezik betekintéssel.
  • Jelezze, hogy egy javított AKS-verzió telepítésre került-e egy adott AKS-fürtre. Az adott fürtön a javítások elérhetősége a fürt aktuális AKS-kiadásától, a régiós bevezetési fázistól és a tervezett karbantartási időszakoktól függ.

A futó fürtök és az ügyfél-munkaterhelések sebezhetőségi felméréséhez használjon olyan eszközöket, mint a Microsoft Defender for Containers vagy külső féltől származó tárolóbiztonsági vizsgálóeszközök.

A sérülékenységi adatok segítségével megállapíthatja, hogy mely AKS-kiadások tartalmaznak javításokat konkrét CVE-khez, majd ellenőrizheti, hogy ezek a kiadások függőben vannak-e a fürtök esetében a tervezett karbantartási időszakok miatt.

Az API elérése

Az AKS Biztonságirés-adat API az alábbi módszerek egyikével érhető el:

Minden végpont nyilvánosan elérhető, és csak olvasható. Nem tesznek közzé ügyfélspecifikus információkat. Használja az interaktív megjelenítőt alkalmi feltáráshoz és manuális áttekintéshez. Használja a REST API-t automatizáláshoz, jelentéskészítéshez és nagy léptékű elemzéshez.

CVE-adatok értelmezése

Az AKS sebezhetőségiadat-API a meghatározott időpontokban az AKS által felügyelt artefaktumokban észlelt CVE-kről szolgáltat adatokat. A jelentés minden CVE-ét aktívként vagy enyhítettként soroljuk be:

  • Az aktív CVE-k a jelentés létrehozásakor a hivatkozott AKS-összetevő verziójában észlelt biztonsági réseket jelzik.
  • A csökkentett cve-k olyan biztonsági réseket jeleznek, amelyeket a hivatkozott AKS-összetevő egy korábbi verziójában észleltek, de már nem szerepelnek az aktuális verzióban, jellemzően az érintett összetevő vagy operációsrendszer-csomag frissítése miatt.

A megfelelő élmény kiválasztása

Az AKS biztonságirés-információi a tevékenység hatókörétől függően több szolgáltatáson keresztül érhetők el:

Scope Ajánlott élmény
Egyszeri CVE-keresés vagy eseti vizsgálat Használja az AKS CVE állapotát és biztonsági közleményeit vagy az interaktív megjelenítőt.
Fürtspecifikus CVE-elemzés biztonságirés-ellenőrző nélkül Az API adatainak korrelálása a fürtön futó AKS által felügyelt összetevőverziókkal. Az AKS Component Insights használatával felderítheti a fürtben üzembe helyezett összetevőverziókat.
Nagy léptékű CVE-elemzés vagy automatizálás Olyan helyzetekben, amikor biztonsági szkenner által jelentett több száz vagy több ezer CVE-t kell feldolgoznia, használja közvetlenül az AKS Biztonságirés-adatok API-t. Így programozott módon lekérheti a futtatott AKS-összetevők biztonságirés-jelentéseit, összehasonlíthatja a szkenner által jelentett CVE-ket az összetevőkről szóló jelentésekben található CVE-kkel, és azonosíthatja, hogy mely CVE-k szervizelhetők az újabb AKS-kiadásokban, a Kubernetes-verziókban vagy a csomópontrendszerképekben.

Az API tömeges elemzéshez, korrelációs munkafolyamatokhoz és automatizálási forgatókönyvekhez való használatáról a A biztonságirés-adatok Azure Kubernetes Service (AKS) API használata című témakörben talál útmutatást.

Gyakori használati esetek

Az alábbi szakaszok olyan gyakori forgatókönyveket vázolnak fel, amelyekben az AKS biztonságirés-adat API használható a biztonsági és megfelelőségi tevékenységek támogatására, beleértve az AKS-kiadásokhoz készült CVE-k naplózását, a kiadások közötti csökkentett CVE-k azonosítását, a Kubernetes-verziók cves-jeinek áttekintését és a csomópontok rendszerképeinek biztonsági réseinek felmérését.

Egy AKS-kiadás CVE-inek ellenőrzése

Az AKS által felügyelt rendszerösszetevőkben rögzített CVE-k áttekintéséhez kérje le egy adott AKS-platform kiadásának biztonságirés-adatait.

Az AKS-kiadások között enyhített CVE-k azonosítása

Az AKS kiadási jelentései különbözeti információkat tartalmaznak, amelyek jelzik, hogy mely CVE-k lettek enyhítve az előző kiadáshoz képest. Tekintse át az AKS kiadáskövetését annak megállapításához, hogy egy folyamatban lévő kiadás mikor éri el a régiót, és ellenőrizze, hogy a karbantartási időszak engedélyezi-e a frissítést.

A Kubernetes-verzió cves-einek áttekintése

Egy adott Kubernetes-verzióhoz tartozó sérülékenységi információk lekérése, beleértve az alábbiakat érintő CVE-ket:

  • A Kubernetes-összetevők konténerképei.
  • Az adott verzióhoz társított, AKS által felügyelt funkciók, kiegészítők és bővítmények.

Ez a Kubernetes-frissítések kiértékelésekor vagy a biztonságirés támogatott verziók közötti összehasonlításakor hasznos. Tekintse át az AKS kiadásfigyelőt annak megállapításához, hogy egy Kubernetes-verzió mikor éri el a régiót, és ellenőrizze, hogy a karbantartási időszak engedélyezi-e a frissítést.

Csomópontrendszerképek (VHD) biztonsági réseinek áttekintése

A csomópontrendszerkép-jelentések a következő biztonsági rések láthatóságát biztosítják:

  • A csomópont lemezképében szereplő operációsrendszer-csomagok.
  • A csomópontképben gyorsítótárazott konténerképek.

Ezek az információk a csomópontrendszerképek frissítésének tervezésekor hasznosak. Tekintse át az AKS kiadáskövetését annak megállapításához, hogy egy VHD-verzió mikor éri el a régiót, és ellenőrizze, hogy a karbantartási időszak engedélyezi-e a frissítést.

Kapcsolódó tartalom

  • Utolsó frissítés időpontja: