Overzicht van de API voor gegevens over beveiligingsproblemen voor Azure Kubernetes Service (AKS)

De AKS-API voor gegevens over beveiligingsproblemen biedt u programmatische, alleen-lezentoegang tot veelvoorkomende beveiligingsproblemen en blootstellingen (CVE's) die zijn gedetecteerd in door AKS beheerde platformonderdelen. Het is bedoeld voor beveiligingsteams, complianceteams en platformeigenaren die gezaghebbende informatie nodig hebben over beveiligingsproblemen in door AKS beheerde onderdelen, waaronder welke AKS-release de patch voor elke CVE bevat. Zie versiebeheer van AKS-onderdelen voor een conceptueel overzicht van hoe deze onderdelen zijn gestructureerd en bijgewerkt.

In dit overzichtsartikel wordt het doel uitgelegd van de AKS Vulnerability Data-API, de typen CVE-gegevens die worden weergegeven en hoe u deze kunt gebruiken om de beveiligingspostuur van door AKS beheerde onderdelen in de loop van de tijd te begrijpen.

Note

Deze API biedt geen clusterspecifieke weergave van beveiligingsproblemen. Het houdt CVE's bij ten opzichte van AKS-releases, Kubernetes-versies en node-installatiekopieën, en identificeert de AKS-release die de patch voor elke CVE bevat. Vanwege geplande onderhoudsvensters en de gefaseerde implementatie van AKS-releases kunnen verschillende clusters zich op elk gewenst moment in verschillende AKS-releases bevinden.

AKS Vulnerability Data API-structuur

De API geeft gegevens over beveiligingsproblemen weer die zijn ingedeeld in drie AKS-onderdeelcategorieën:

  • AKS-platformreleases: CV's die van invloed zijn op een specifieke AKS-releaseversie en de AKS-release die de patch voor elke CVE bevat. Dit omvat de onderdelen van het Kubernetes-besturingsvlak en de containerinstallatiekopieën voor door AKS beheerde functies, invoegtoepassingen en extensies die aan die release zijn gekoppeld.
  • Kubernetes-versies: CV's die van invloed zijn op installatiekopieën van Kubernetes-onderdelen en de containerinstallatiekopieën voor door AKS beheerde functies, invoegtoepassingen en extensies die zijn gekoppeld aan een specifieke Kubernetes-versie.
  • Node-images (virtuele harde schijven of VHD's): CVE's die van invloed zijn op besturingssysteempakketten (OS-pakketten) en containerimages in de cache die zijn opgenomen in een specifieke AKS-node-image.

De gegevens worden gegenereerd op basis van vooraf gescande, gevalideerde rapporten en weerspiegelen de beveiligingspostuur van door AKS beheerde onderdelen op specifieke releasepunten in de tijd.

Important

De AKS Vulnerability Data-API is alleen informatief en rapporteert beveiligingsproblemen die worden geïdentificeerd in door AKS beheerde artefacten, niet beveiligingsproblemen die aanwezig zijn in door de klant beheerde workloads.

De API doet het volgende niet:

  • Klantclusters scannen
  • Runtimeblootstelling analyseren
  • Bepaal of een CVE exploiteerbaar is in uw omgeving. Exploitabiliteit is afhankelijk van workloadgedrag, netwerkblootstelling en toegangsbeheer waarmee de API geen zichtbaarheid heeft.
  • Geef aan of een gepatchte AKS-release is geïmplementeerd in een specifiek cluster. De beschikbaarheid van patches op een bepaald cluster is afhankelijk van de huidige AKS-release van het cluster, de implementatiefase van de regio en de geplande onderhoudsvensters .

Gebruik hulpprogramma's zoals Microsoft Defender voor containers of beveiligingsscanners van derden voor evaluatie van beveiligingsproblemen van clusters en workloads van klanten.

U kunt de gegevens over kwetsbaarheden gebruiken om vast te stellen welke AKS-releases patches voor specifieke CVE’s bevatten, en vervolgens controleren of die releases vanwege geplande onderhoudsvensters nog niet zijn toegepast op uw clusters.

Toegang tot de API

U hebt toegang tot de AKS-API voor gegevens over beveiligingsproblemen met behulp van een van de volgende methoden:

Alle eindpunten zijn openbaar toegankelijk en hebben alleen-leestoegang. Ze stellen geen klantspecifieke informatie beschikbaar. Gebruik de interactieve viewer voor ad-hocverkenning en handmatige controle. Gebruik de REST API voor automatisering, rapportage en grootschalige analyse.

CVE-gegevens interpreteren

De AKS Vulnerability Data API rapporteert CVE’s die de API op specifieke momenten detecteert in door AKS beheerde artefacten. Elke CVE in een rapport wordt geclassificeerd als actief of beperkt:

  • Actieve CVE's geven beveiligingsproblemen aan die zijn gedetecteerd in de versie van het AKS-artefact waarnaar wordt verwezen op het moment dat het rapport is gegenereerd.
  • Opgeloste CVE's geven beveiligingsproblemen aan die zijn gedetecteerd in een eerdere versie van het AKS-artefact waarnaar wordt verwezen, maar die niet meer aanwezig zijn in de huidige versie, meestal omdat het betreffende onderdeel of besturingssysteempakket is bijgewerkt.

De juiste ervaring kiezen

Informatie over AKS-beveiligingsproblemen is beschikbaar via meerdere ervaringen, afhankelijk van het bereik van de taak:

Scope Aanbevolen ervaring
Eenmalige CVE-zoekactie of ad-hoconderzoek Gebruik de AKS CVE-status en beveiligingsbulletins of de interactieve viewer.
Clusterspecifieke CVE-analyse zonder scanner voor beveiligingsproblemen Correleer de gegevens van deze API met de door AKS beheerde onderdeelversies die worden uitgevoerd op uw cluster. U kunt de onderdeelversies detecteren die in uw cluster zijn geïmplementeerd met behulp van AKS Component Insights.
Grootschalige CVE-analyse of automatisering Voor scenario's waarin u honderden of duizenden CV's moet verwerken die zijn gerapporteerd door een beveiligingsscanner, gebruikt u de AKS-API voor gegevens over beveiligingsproblemen rechtstreeks. Hiermee kunt u programmatisch kwetsbaarheidsrapporten ophalen voor de AKS-artefacten die u gebruikt, door scanners gerapporteerde CVE's vergelijken met de CVE's in die artefactrapporten en bepalen welke CVE's zijn verholpen in nieuwere AKS-releases, Kubernetes-versies of node-installatiekopieën.

Zie Gebruik de AZURE KUBERNETES SERVICE (AKS) Data-API voor beveiligingsproblemen voor hulp bij het gebruik van de API voor bulkanalyse, correlatiewerkstromen en automatiseringsscenario's.

Veelvoorkomende gebruiksvoorbeelden

In de volgende secties worden veelvoorkomende scenario's beschreven waarin de AKS Vulnerability Data API kan worden gebruikt ter ondersteuning van beveiligings- en nalevingsactiviteiten, waaronder het controleren van CVE's voor AKS-releases, het identificeren van gemitigeerde CVE's tussen releases, het beoordelen van CVE's voor Kubernetes-versies en het beoordelen van kwetsbaarheden in node-installatiekopieën.

CVE's controleren voor een AKS-release

Haal gegevens over beveiligingsproblemen op voor een specifieke AKS-platformrelease om CVE's te bekijken die zijn verholpen in door AKS beheerde systeemonderdelen.

CVE's identificeren die tussen AKS-releases zijn gemitigeerd

De release-rapporten van AKS bevatten delta-informatie die aangeeft welke CVE's ten opzichte van de vorige release zijn verholpen. Controleer de AKS Release Tracker om te bepalen wanneer een actieve release uw regio bereikt en controleer of uw onderhoudsvenster de upgrade toestaat.

CVE’s voor een Kubernetes-versie controleren

Informatie over beveiligingsproblemen ophalen voor een specifieke Kubernetes-versie, inclusief CV's die van invloed zijn op:

  • Installatiekopieën van Kubernetes-onderdelen.
  • Door AKS beheerde functies, invoegtoepassingen en extensies die aan die versie zijn gekoppeld.

Dit is handig bij het evalueren van Kubernetes-upgrades of het vergelijken van de beveiligingsstatus tussen ondersteunde versies. Controleer de AKS Release Tracker om te bepalen wanneer een Kubernetes-versie uw regio bereikt en controleer of het onderhoudsvenster de upgrade toestaat.

VHD-beveiligingsproblemen (knooppuntinstallatiekopieën) controleren

Node-imagerapporten geven inzicht in beveiligingsproblemen die van invloed zijn op:

  • Besturingssysteempakketten die in de node-image zijn opgenomen.
  • Containerimages die zijn gecachet in de node-image.

Deze informatie is nuttig bij het plannen van upgrades van node-images. Controleer de AKS Release Tracker om te bepalen wanneer een VHD-versie uw regio bereikt en controleer of het onderhoudsvenster de upgrade toestaat.

Verwante inhoud

  • Laatst bijgewerkt om