AKS 취약성 데이터 API를 사용하면 AKS 관리형 플랫폼 구성 요소에서 검색된 CVE(Common Vulnerabilities and Exposures)에 프로그래밍 방식으로 읽기 전용으로 액세스할 수 있습니다. 각 CVE에 대한 패치를 포함하는 AKS 릴리스를 포함하여 AKS 관리 구성 요소의 취약성에 대한 신뢰할 수 있는 정보가 필요한 보안 팀, 규정 준수 팀 및 플랫폼 소유자를 위한 것입니다. 이러한 구성 요소의 구조화 및 업데이트 방법에 대한 개념적 개요는 AKS 구성 요소 버전 관리 항목을 참조하세요.
이 개요 문서에서는 AKS 취약성 데이터 API의 목적, 노출하는 CVE 데이터 형식 및 이를 사용하여 시간이 지남에 따라 AKS 관리형 구성 요소의 보안 상태를 이해하는 방법을 설명합니다.
메모
이 API는 클러스터별 취약성 보기를 제공하지 않습니다. AKS 릴리스, Kubernetes 버전 및 노드 이미지에 대한 CVE를 추적하고 각 CVE에 대한 패치가 포함된 AKS 릴리스를 식별합니다. 계획된 유지 관리 기간 및 AKS 릴리스의 단계적 출시로 인해 지정된 시간에 서로 다른 AKS 릴리스에 서로 다른 클러스터가 있을 수 있습니다.
AKS 취약성 데이터 API 구조
API는 세 가지 AKS 구성 요소 범주로 구성된 취약성 데이터를 표시합니다.
- AKS 플랫폼 릴리스: 특정 AKS 릴리스 버전 및 각 CVE에 대한 패치가 포함된 AKS 릴리스에 영향을 주는 CVE입니다. 여기에는 Kubernetes 컨트롤 플레인 구성 요소와 AKS 관리 기능, 추가 기능 및 해당 릴리스와 연결된 확장에 대한 컨테이너 이미지가 포함됩니다.
- Kubernetes 버전: 특정 Kubernetes 버전과 연결된 AKS 관리 기능, 추가 기능 및 확장 에 대한 Kubernetes 구성 요소 이미지 및 컨테이너 이미지에 영향을 주는 CVE입니다.
- Node 이미지(가상 하드 디스크 또는 VHD): OS(운영 체제) 패키지 및 특정 AKS 노드 이미지 포함된 캐시된 컨테이너 이미지에 영향을 주는 CVE입니다.
데이터는 미리 검사되고 유효성이 검사된 보고서에서 생성되며 특정 릴리스 지점에서 AKS 관리 구성 요소의 보안 상태를 반영합니다.
Important
AKS 취약성 데이터 API는 정보 전용이며 고객 관리형 워크로드에 있는 취약성이 아니라 AKS 관리 아티팩트에서 식별된 취약성을 보고합니다.
API는 다음을 수행하지 않습니다.
- 고객 클러스터 검사
- 런타임 노출 분석
- 사용자 환경에서 CVE를 악용할 수 있는지 여부를 확인합니다. 악용 가능성은 API에서 볼 수 없는 워크로드 동작, 네트워크 노출 및 액세스 제어에 따라 달라집니다.
- 패치된 AKS 릴리스가 특정 클러스터에 롤아웃되었는지 여부를 나타냅니다. 지정된 클러스터의 패치 가용성은 클러스터의 현재 AKS 릴리스, 지역 출시 단계 및 계획된 유지 관리 기간에 따라 달라집니다.
클러스터 및 고객 워크로드를 실행하는 취약성 평가의 경우 컨테이너용 Microsoft Defender 또는 타사 컨테이너 보안 스캐너와 같은 도구를 사용합니다.
취약성 데이터를 사용하여 특정 CVE에 대한 패치가 포함된 AKS 릴리스를 식별한 다음 계획된 유지 관리 기간으로 인해 해당 릴리스가 클러스터에서 보류 중인지 확인할 수 있습니다.
API 액세스
다음 방법 중 하나를 사용하여 AKS 취약성 데이터 API에 액세스할 수 있습니다.
- REST API 기본 URL: https://cve-api.prod-aks.azure.com
- 대화형 뷰어: https://cve-api.prod-aks.azure.com/viewer/index.html
모든 엔드포인트는 공개적으로 액세스할 수 있으며 읽기 전용입니다. 고객별 정보는 노출하지 않습니다. 임시 탐색 및 수동 검토에 대화형 뷰어를 사용합니다. 자동화, 보고 및 대규모 분석에 REST API를 사용합니다.
CVE 데이터를 해석하는 방법
AKS 취약성 데이터 API는 특정 시점에 AKS 관리 아티팩트에서 검색된 CVE를 보고합니다. 보고서의 각 CVE는 활성 또는 완화됨으로 분류 됩니다.
- 활성 CVE는 보고서가 생성될 때 참조된 AKS 아티팩트 버전에서 검색된 취약성을 나타냅니다.
- 완화된 CVE 는 이전 버전의 참조된 AKS 아티팩트에서 검색되었지만 현재 버전에 더 이상 존재하지 않는 취약성을 나타냅니다. 일반적으로 영향을 받는 구성 요소 또는 OS 패키지가 업그레이드되었기 때문입니다.
올바른 환경 선택
AKS 취약성 정보는 작업의 범위에 따라 여러 환경을 통해 사용할 수 있습니다.
| Scope | 권장 환경 |
|---|---|
| 일회성 CVE 조회 또는 임시 조사 | AKS CVE 상태 및 보안 게시판 또는 대화형 뷰어를 사용합니다. |
| 취약성 스캐너가 없는 클러스터별 CVE 분석 | 이 API의 데이터를 클러스터에서 실행되는 AKS 관리 구성 요소 버전과 상호 연결합니다. AKS 구성 요소 인사이트를 사용하여 클러스터에 배포된 구성 요소 버전을 검색할 수 있습니다. |
| 대규모 CVE 분석 또는 자동화 | 보안 스캐너에서 보고한 수백 또는 수천 개의 CVE를 처리해야 하는 시나리오의 경우 AKS 취약성 데이터 API를 직접 사용합니다. 이를 통해 실행 중인 AKS 아티팩트에 대한 취약성 보고서를 프로그래밍 방식으로 검색하고, 스캐너에서 보고한 CVE를 해당 아티팩트 보고서에 있는 CVE와 비교하고, 최신 AKS 릴리스, Kubernetes 버전 또는 노드 이미지에서 수정되는 CVE를 식별할 수 있습니다. |
대량 분석, 상관 관계 워크플로 및 자동화 시나리오에 API를 사용하는 방법에 대한 지침은 AKS(Azure Kubernetes Service) 취약성 데이터 API 사용을 참조하세요.
일반적인 사용 사례
다음 섹션에서는 AKS 취약성 데이터 API를 사용하여 AKS 릴리스에 대한 CVE 감사, 릴리스 간 완화된 CVE 식별, Kubernetes 버전에 대한 CVE 검토, 노드 이미지 취약성 평가 등 보안 및 규정 준수 활동을 지원할 수 있는 일반적인 시나리오를 간략하게 설명합니다.
AKS 릴리스의 CVE 감사
특정 AKS 플랫폼 릴리스에 대한 취약성 데이터를 검색하여 AKS 관리 시스템 구성 요소에서 고정된 CVE를 검토합니다.
AKS 릴리스 간에 완화된 CVE 식별
AKS 릴리스 보고서에는 이전 릴리스에 비해 완화된 CVE를 나타내는 델타 정보가 포함됩니다. AKS 릴리스 추적기를 검토하여 진행 중인 릴리스가 해당 지역에 도달하는 시기를 확인하고 유지 관리 기간에서 업그레이드를 허용하는지 확인합니다.
Kubernetes 버전에 대한 CVE 검토
영향을 주는 CVE를 포함하여 특정 Kubernetes 버전에 대한 취약성 정보를 검색합니다.
- Kubernetes 구성 요소 이미지.
- 해당 버전과 연결된 AKS 관리 기능, 추가 기능 및 확장.
이는 Kubernetes 업그레이드를 평가하거나 지원되는 버전 간에 취약성 상태를 비교할 때 유용합니다. AKS 릴리스 추적기를 검토하여 Kubernetes 버전이 해당 지역에 도달하는 시기를 확인하고 유지 관리 기간에서 업그레이드를 허용하는지 확인합니다.
노드 이미지(VHD)의 취약성 검토
노드 이미지 보고서는 영향을 주는 취약성에 대한 가시성을 제공합니다.
- 노드 이미지에 포함된 OS 패키지입니다.
- 노드 이미지에 캐시된 컨테이너 이미지입니다.
이 정보는 노드 이미지 업그레이드를 계획할 때 유용합니다. AKS 릴리스 추적기를 검토하여 VHD 버전이 해당 지역에 도달하는 시기를 확인하고 유지 관리 기간에서 업그레이드를 허용하는지 확인합니다.
관련 콘텐츠
- 자세한 엔드포인트 설명서, 요청 형식, 응답 스키마 및 예제는 AKS(Azure Kubernetes Service) 취약성 데이터 API 사용 참조하세요.
- 워크로드 및 런타임 취약성 평가의 경우 컨테이너용 Microsoft Defender 또는 타사 스캐너를 계속 사용합니다.