Panoramica dell'API dati di vulnerabilità per Servizio Azure Kubernetes (AKS)

L'API dati di vulnerabilità del servizio Azure Kubernetes offre l'accesso di sola lettura a livello di codice alle vulnerabilità e alle esposizioni comuni rilevate nei componenti della piattaforma gestita dal servizio Azure Kubernetes. È destinato ai team di sicurezza, ai team di conformità e ai proprietari della piattaforma che necessitano di informazioni autorevoli sulle vulnerabilità nei componenti gestiti dal servizio Azure Kubernetes, inclusa la versione del servizio Azure Kubernetes che contiene la patch per ogni CVE. Per una panoramica concettuale del modo in cui questi componenti sono strutturati e aggiornati, vedere Controllo delle versioni dei componenti del servizio Azure Kubernetes.

Questo articolo di panoramica illustra lo scopo dell'API dati di vulnerabilità del servizio Azure Kubernetes, i tipi di dati CVE esposti e come usarlo per comprendere il comportamento di sicurezza dei componenti gestiti dal servizio Azure Kubernetes nel tempo.

Note

Questa API non fornisce una visualizzazione specifica del cluster delle vulnerabilità. Tiene traccia delle CVE in relazione alle release di AKS, alle versioni di Kubernetes e alle immagini dei nodi e identifica la release di AKS che contiene la patch per ogni CVE. A causa delle finestre di manutenzione pianificata e dell'implementazione in più fasi delle versioni del servizio Azure Kubernetes, i diversi cluster possono trovarsi in versioni diverse del servizio Azure Kubernetes in qualsiasi momento.

Struttura dell'API dei dati sulle vulnerabilità di AKS

L'API espone i dati delle vulnerabilità organizzati in tre categorie di componenti del servizio Azure Kubernetes:

  • Versioni della piattaforma AKS: CVE che interessano una specifica versione di rilascio di AKS e la versione di AKS che contiene la patch per ciascuna CVE. Questo include i componenti del piano di controllo di Kubernetes e le immagini dei contenitori per le funzionalità, i componenti aggiuntivi e le estensioni gestiti da AKS associati a tale versione.
  • Versioni di Kubernetes: CVE che interessano le immagini dei componenti di Kubernetes e le immagini dei contenitori per funzionalità, componenti aggiuntivi ed estensioni gestite da AKS associate a una specifica versione di Kubernetes.
  • Immagini dei nodi (dischi rigidi virtuali o VHD): CVE che interessano i pacchetti del sistema operativo e le immagini del contenitore memorizzate nella cache incluse in una specifica immagine del nodo AKS.

I dati vengono generati da report precedentemente analizzati e convalidati e riflettono lo stato di sicurezza dei componenti gestiti da AKS in specifici momenti di rilascio.

Importante

L'API dati di vulnerabilità del servizio Azure Kubernetes è solo informativa e segnala le vulnerabilità identificate negli artefatti gestiti dal servizio Azure Kubernetes, non le vulnerabilità presenti nei carichi di lavoro gestiti dal cliente.

L'API non esegue:

  • Analizzare i cluster dei clienti
  • Analizzare l'esposizione al runtime
  • Determinare se un CVE è sfruttabile nell'ambiente in uso. La sfruttabilità dipende dal comportamento del carico di lavoro, dall'esposizione alla rete e dai controlli di accesso su cui l'API non ha visibilità.
  • Indicare se una versione del servizio Azure Kubernetes con patch è stata implementata in un cluster specifico. La disponibilità delle patch in un determinato cluster dipende dalla versione corrente di AKS del cluster, dalla fase di distribuzione nell'area geografica e dalle finestre di manutenzione pianificata.

Per la valutazione della vulnerabilità dei cluster in esecuzione e dei carichi di lavoro dei clienti, usare strumenti come Microsoft Defender per contenitori o scanner di sicurezza dei contenitori di terze parti.

È possibile usare i dati sulle vulnerabilità per identificare le versioni del servizio Azure Kubernetes che includono patch per cve specifiche e quindi verificare se tali versioni sono in sospeso nei cluster a causa di finestre di manutenzione pianificata.

Accedere all'API

È possibile accedere all'API dati di vulnerabilità del servizio Azure Kubernetes usando uno dei metodi seguenti:

Tutti gli endpoint sono accessibili pubblicamente e di sola lettura. Non espongono informazioni specifiche del cliente. Usare il visualizzatore interattivo per l'esplorazione ad hoc e la revisione manuale. Usare l'API REST per l'automazione, la creazione di report e l'analisi su larga scala.

Come interpretare i dati CVE

L'API dei dati sulle vulnerabilità di AKS riporta i CVE rilevati negli artefatti gestiti da AKS in specifici momenti nel tempo. Ogni CVE in un report viene classificato come attivo o mitigato:

  • I CVE attivi indicano vulnerabilità rilevate nella versione dell'artefatto di AKS a cui si fa riferimento al momento della generazione del report.
  • Le CVE attenuate indicano vulnerabilità rilevate in una versione precedente dell'artefatto del servizio Azure Kubernetes di riferimento, ma non sono più presenti nella versione corrente, in genere perché il componente o il pacchetto del sistema operativo interessato è stato aggiornato.

Scegliere l'esperienza giusta

Le informazioni sulle vulnerabilità di AKS sono disponibili attraverso diverse esperienze, a seconda dell'ambito dell'attività:

Ambito Esperienza consigliata
Ricerca CVE occasionale o indagine ad hoc Usare lo stato CVE di AKS e i bollettini di sicurezza o il visualizzatore interattivo.
Analisi CVE specifica del cluster senza uno scanner di vulnerabilità Correla i dati di questa API con le versioni dei componenti gestiti da AKS in esecuzione nel tuo cluster. Puoi scoprire le versioni dei componenti in esecuzione nel tuo cluster tramite AKS Component Insights.
Analisi o automazione CVE su larga scala Negli scenari in cui è necessario elaborare centinaia o migliaia di CVE segnalate da uno scanner di sicurezza, usa direttamente l'API AKS Vulnerability Data. In questo modo è possibile recuperare a livello di codice i report sulle vulnerabilità per gli artefatti del servizio Azure Kubernetes in esecuzione, confrontare le CVE segnalate dallo scanner con le CVE presenti nei report degli artefatti e identificare quali CVE vengono corretti nelle versioni più recenti del servizio Azure Kubernetes, nelle versioni di Kubernetes o nelle immagini dei nodi.

Per indicazioni su come usare l'API per l'analisi bulk, i flussi di lavoro di correlazione e gli scenari di automazione, vedere Use the Servizio Azure Kubernetes (AKS) Vulnerability Data API.For guidance on how to use the API for bulk analysis, correlation workflow, and automation scenarios, see Use the Servizio Azure Kubernetes (AKS) Vulnerability Data API.

Casi d'uso comuni

Le sezioni seguenti illustrano scenari comuni in cui è possibile usare l'API dati di vulnerabilità del servizio Azure Kubernetes per supportare le attività di sicurezza e conformità, tra cui il controllo delle CVE per le versioni del servizio Azure Kubernetes, l'identificazione di CVE mitigati tra le versioni, la revisione delle versioni di Kubernetes e la valutazione delle vulnerabilità dell'immagine del nodo.

Verificare i CVE per una versione di AKS

Recupera i dati sulle vulnerabilità per una versione specifica della piattaforma AKS per esaminare i CVE risolti nei componenti di sistema gestiti da AKS.

Identifica le CVE mitigate tra le versioni del Servizio Azure Kubernetes

I report della versione del Servizio Azure Kubernetes includono informazioni sulle differenze che indicano quali CVE sono state mitigate rispetto alla versione precedente. Esaminare lo strumento di rilevamento delle versioni del servizio Azure Kubernetes per determinare quando una versione in corso raggiunge l'area e verificare che la finestra di manutenzione consenta l'aggiornamento.

Esaminare i CVE per una versione di Kubernetes

Recuperare le informazioni sulla vulnerabilità per una versione specifica di Kubernetes, incluse le cve che interessano:

  • Immagini dei componenti Kubernetes.
  • Funzionalità, componenti aggiuntivi ed estensioni gestiti da AKS associati a questa versione.

Ciò è utile quando si valutano gli aggiornamenti di Kubernetes o si confronta il comportamento di vulnerabilità tra le versioni supportate. Esaminare lo strumento di rilevamento delle versioni del servizio Azure Kubernetes per determinare quando una versione di Kubernetes raggiunge l'area e verificare che la finestra di manutenzione consenta l'aggiornamento.

Esamina le vulnerabilità dell'immagine del nodo (VHD)

I report delle immagini del nodo offrono visibilità sulle vulnerabilità che interessano:

  • Pacchetti del sistema operativo inclusi nell'immagine del nodo.
  • Immagini di container memorizzate nella cache nell'immagine del nodo.

Queste informazioni sono utili quando si pianificano gli aggiornamenti dell'immagine del nodo. Consultare il AKS Release Tracker per determinare quando una versione VHD diventa disponibile nella propria area geografica e verificare che la finestra di manutenzione consenta l'aggiornamento.

Contenuti correlati

  • Ultimo aggiornamento: