Gambaran umum API Data Kerentanan untuk Azure Kubernetes Service (AKS)

API Data Kerentanan AKS memberi Anda akses baca-saja secara terprogram ke Common Vulnerabilities and Exposures (CVE) yang terdeteksi pada komponen platform yang dikelola AKS. Ini ditujukan untuk tim keamanan, tim kepatuhan, dan pemilik platform yang membutuhkan informasi otoritatif tentang kerentanan dalam komponen yang dikelola AKS, termasuk rilis AKS mana yang berisi patch untuk setiap CVE. Untuk gambaran umum konseptual tentang bagaimana komponen ini disusun dan diperbarui, lihat Penerapan versi komponen AKS.

Artikel gambaran umum ini menjelaskan tujuan API Data Kerentanan AKS, jenis data CVE yang dieksposnya, dan bagaimana Anda dapat menggunakannya memahami postur keamanan komponen yang dikelola AKS dari waktu ke waktu.

Note

API ini tidak memberikan tampilan kerentanan khusus kluster. Ini melacak CVE terhadap rilis AKS, versi Kubernetes, dan gambar node, dan mengidentifikasi rilis AKS yang berisi patch untuk setiap CVE. Karena periode pemeliharaan terjadwal dan peluncuran bertahap rilis AKS, kluster yang berbeda dapat menjalankan rilis AKS yang berbeda pada waktu tertentu.

Struktur API Data Kerentanan AKS

API menampilkan data kerentanan yang diatur oleh tiga kategori komponen AKS:

  • AKS rilis platform: CVE yang memengaruhi versi rilis AKS tertentu dan rilis AKS yang berisi patch untuk setiap CVE. Ini mencakup komponen sarana kontrol Kube dan gambar kontainer untuk fitur, add-on, dan ekstensi yang dikelola AKS yang terkait dengan rilis tersebut.
  • Versi Kubernetes: CVE yang memengaruhi gambar komponen Kubernetes dan gambar kontainer untuk fitur, add-on, dan ekstensi yang dikelola AKS yang terkait dengan versi Kubernetes tertentu.
  • Node images (Virtual Hard Disks atau VHDs): CVE yang memengaruhi paket sistem operasi (OS) dan gambar kontainer cache yang disertakan dalam gambar simpul AKS tertentu.

Data dihasilkan dari laporan yang telah dipindai sebelumnya dan divalidasi dan mencerminkan postur keamanan komponen yang dikelola AKS pada titik rilis tertentu pada waktunya.

Important

API Data Kerentanan AKS hanya bersifat informasi dan melaporkan kerentanan yang diidentifikasi dalam artefak yang dikelola AKS, bukan kerentanan yang ada dalam beban kerja yang dikelola pelanggan.

API tidak dapat:

  • Memindai kluster pelanggan
  • Analisis eksposur waktu proses
  • Tentukan apakah CVE dapat dieksploitasi di lingkungan Anda. Kemungkinan eksploitasi bergantung pada perilaku beban kerja, tingkat keterpaparan jaringan, dan kontrol akses yang tidak dapat dilihat oleh API.
  • Menunjukkan apakah rilis AKS yang di-patch telah diluncurkan ke kluster tertentu. Ketersediaan patch pada kluster tertentu tergantung pada rilis AKS kluster saat ini, fase peluncuran wilayah, dan jendela pemeliharaan terencana .

Untuk penilaian kerentanan menjalankan kluster dan beban kerja pelanggan, gunakan alat seperti Microsoft Defender untuk Kontainer atau pemindai keamanan kontainer pihak ketiga.

Anda dapat menggunakan data kerentanan untuk mengidentifikasi rilis AKS mana yang mencakup patch untuk CVE tertentu, lalu memeriksa apakah rilis tersebut tertunda pada kluster Anda karena jendela pemeliharaan yang direncanakan.

Mengakses API

Anda dapat mengakses API Data Kerentanan AKS menggunakan salah satu metode berikut:

Semua endpoint dapat diakses secara publik dan bersifat hanya-baca. Mereka tidak mengekspos informasi khusus pelanggan. Gunakan penampil interaktif untuk eksplorasi ad-hoc dan tinjauan manual. Gunakan REST API untuk otomatisasi, pelaporan, dan analisis skala besar.

Cara menginterpretasikan data CVE

API Data Kerentanan AKS melaporkan CVE yang terdeteksi dalam artefak yang dikelola AKS pada titik waktu tertentu. Setiap CVE dalam laporan diklasifikasikan sebagai aktif atau dimitigasi:

  • CVE aktif menunjukkan kerentanan yang terdeteksi dalam versi artefak AKS yang direferensikan pada saat laporan dibuat.
  • CVE yang dimitigasi menunjukkan kerentanan yang terdeteksi dalam versi artefak AKS yang direferensikan sebelumnya tetapi tidak lagi ada dalam versi saat ini, biasanya karena komponen atau paket OS yang terpengaruh ditingkatkan.

Pilih pengalaman yang tepat

Informasi kerentanan AKS tersedia melalui beberapa pengalaman tergantung pada cakupan tugas:

Ruang lingkup Pengalaman yang direkomendasikan
Penelusuran CVE sekali atau investigasi ad hoc Gunakan status AKS CVE dan buletin keamanan atau penampil interaktif.
Analisis CVE khusus kluster tanpa pemindai kerentanan Menghubungkan data dari API ini dengan versi komponen yang dikelola AKS yang berjalan di kluster Anda. Anda dapat menemukan versi komponen yang disebarkan di kluster Anda menggunakan AKS Component Insights.
Analisis atau otomatisasi CVE skala besar Untuk skenario di mana Anda perlu memproses ratusan atau ribuan CVE yang dilaporkan oleh pemindai keamanan, gunakan API Data Kerentanan AKS secara langsung. Ini memungkinkan Anda untuk secara terprogram mengambil laporan kerentanan untuk artefak AKS yang Anda jalankan, membandingkan CVE yang dilaporkan pemindai dengan CVE yang ada dalam laporan artefak tersebut, dan mengidentifikasi CVE mana yang diperbaiki dalam rilis AKS yang lebih baru, versi Kubernetes, atau gambar simpul.

Untuk panduan tentang cara menggunakan API untuk analisis massal, alur kerja korelasi, dan skenario otomatisasi, lihat Gunakan API Data Kerentanan Azure Kubernetes Service (AKS).

Kasus penggunaan umum

Bagian berikut menguraikan skenario umum di mana API Data Kerentanan AKS dapat digunakan untuk mendukung aktivitas keamanan dan kepatuhan, termasuk mengaudit CVE untuk rilis AKS, mengidentifikasi CVE yang dimitigasi antara rilis, meninjau CVE untuk versi Kubernetes, dan menilai kerentanan gambar simpul.

Mengaudit CVE untuk rilis AKS

Ambil data kerentanan untuk rilis platform AKS tertentu untuk meninjau CVE yang diperbaiki dalam komponen sistem yang dikelola AKS.

Mengidentifikasi CVE yang dimitigasi di antara rilis AKS

Laporan rilis AKS menyertakan informasi delta yang menunjukkan CVE mana yang dimitigasi dibandingkan dengan rilis sebelumnya. Tinjau Pelacak Rilis AKS untuk menentukan kapan rilis yang sedang berlangsung mencapai wilayah Anda, dan konfirmasikan bahwa jendela pemeliharaan Anda mengizinkan peningkatan.

Meninjau CVE untuk versi Kubernetes

Ambil informasi kerentanan untuk versi Kubernetes tertentu, termasuk CVE yang memengaruhi:

  • Gambar komponen Kubernetes.
  • Fitur, add-on, dan ekstensi yang dikelola AKS yang terkait dengan versi tersebut.

Ini berguna saat mengevaluasi peningkatan Kubernetes atau membandingkan postur kerentanan di seluruh versi yang didukung. Tinjau Pelacak Rilis AKS untuk menentukan kapan versi Kubernetes mencapai wilayah Anda, dan konfirmasikan bahwa jendela pemeliharaan Anda mengizinkan peningkatan.

Meninjau kerentanan gambar simpul (VHD)

Laporan image node memberikan visibilitas terhadap kerentanan yang memengaruhi:

  • Paket OS yang disertakan dalam gambar simpul.
  • Gambar kontainer di-cache dalam gambar simpul.

Informasi ini berguna saat merencanakan peningkatan gambar simpul. Tinjau Pelacak Rilis AKS untuk menentukan kapan versi VHD mencapai wilayah Anda, dan konfirmasikan bahwa jendela pemeliharaan Anda mengizinkan peningkatan.

Konten terkait

  • Terakhir diperbarui pada