Avaliações de vulnerabilidade para a AWS com o Gerenciamento de Vulnerabilidades do Microsoft Defender
A avaliação de vulnerabilidades da AWS, alimentada pelo Gerenciamento de Vulnerabilidades do Microsoft Defender, é uma solução pronta para uso que permite que as equipes de segurança descubram e corrijam com facilidade as vulnerabilidades em imagens de contêiner do Linux, com zero de configuração na integração e sem implantação de nenhum sensor.
Observação
Esse recurso dá suporte à verificação de imagens somente no ECR. As imagens armazenadas em outros registros de contêiner devem ser importadas para o ECR para cobertura. Saiba como Importar imagens de contêiner para um registro de contêiner
Em todas as contas em que a habilitação desse recurso é concluída, todas as imagens armazenadas no ECR que atendem aos critérios de gatilhos de verificação são examinadas em busca de vulnerabilidades sem nenhuma configuração extra de usuários ou registros. Recomendações com relatórios de vulnerabilidade são fornecidas para todas as imagens no ECR, bem como imagens atualmente em execução no EKS que tenham sido extraídas de um registro do ECR ou qualquer outro registro com suporte do Defender para Nuvem (ACR, GCR ou GAR). As imagens são verificadas logo após serem adicionadas a um registro e verificadas novamente em busca de novas vulnerabilidades uma vez a cada 24 horas.
A avaliação de vulnerabilidades de contêiner do Gerenciamento de Vulnerabilidades do Microsoft Defender tem os seguintes recursos:
Verificação de pacotes do sistema operacional – a avaliação de vulnerabilidades de contêineres tem a capacidade de verificar vulnerabilidades em pacotes instalados pelo gerenciador de pacotes do sistema operacional nos sistemas operacionais Linux e Windows. Confira a lista completa do sistema operacional compatível e suas versões.
Pacotes específicos do idioma - Somente Linux - suporte para pacotes e arquivos específicos do idioma e suas dependências instaladas ou copiadas sem o gerenciador de pacotes do sistema operacional. Veja a lista completa de idiomas compatíveis.
Informações de exploração – cada relatório de vulnerabilidade é pesquisado por meio de bancos de dados de exploração para ajudar nossos clientes a determinar o risco real associado a cada vulnerabilidade relatada.
Relatório: a Avaliação de Vulnerabilidade de Contêiner para AWS da plataforma Gerenciamento de Vulnerabilidades do Microsoft Defender fornece relatórios de vulnerabilidade usando as seguintes recomendações:
Essas são as novas recomendações, que reportam vulnerabilidades de contêiner no runtime e vulnerabilidades de imagens do Registro. Estão atualmente em versão prévia, mas se destinam a substituir as recomendações anteriores. Essas novas recomendações não contam para a pontuação de segurança durante a versão prévia. O mecanismo de verificação para ambos os conjuntos de recomendações é o mesmo.
| Recomendação | Descrição | Chave de avaliação |
|---|---|---|
| [Versão Prévia] As imagens de contêineres no Registro da AWS devem ter as descobertas de vulnerabilidade resolvidas | O Defender para Nuvem verifica suas imagens do Registro em busca de vulnerabilidades conhecidas (CVEs) e fornece descobertas detalhadas para cada imagem digitalizada. A verificação e correção das vulnerabilidades das imagens de contêiner no Registro ajudam a manter uma cadeia de fornecimento de software segura e confiável, reduzem o risco de incidentes de segurança e garantem a conformidade com os padrões do setor. | 2a139383-ec7e-462a-90ac-b1b60e87d576 |
| [Versão Prévia] Os contêineres em execução na AWS devem ter as descobertas de vulnerabilidade resolvidas | O Defender para Nuvem cria um inventário de todas as cargas de trabalho de contêineres atualmente em execução nos seus clusters do Kubernetes e fornece relatórios de vulnerabilidades para essas cargas de trabalho ao equiparar as imagens que estão sendo usadas e os relatórios de vulnerabilidade criados para as imagens do Registro. A verificação e a correção das vulnerabilidades de cargas de trabalho de contêiner são críticas para garantir uma cadeia de fornecimento de software consistente e segura, reduzir o risco de incidentes de segurança e garantir a conformidade com os padrões do setor. | d5d1e526-363a-4223-b860-f4b6e710859f |
Essas são as recomendações mais antigas que estão atualmente em um caminho de desativação:
| Recomendação | Descrição | Chave de avaliação |
|---|---|---|
| As imagens de contêiner de registro do AWS em execução devem ter as vulnerabilidade descobertas resolvidas (pela plataforma de Gerenciamento de Vulnerabilidades do Microsoft Defender) | Examina as imagens de contêineres dos registros do AWS em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado das vulnerabilidades para cada imagem. A resolução de vulnerabilidades pode melhorar muito sua postura de segurança, garantindo que as imagens sejam seguras para uso antes da implantação. | c27441ae-775c-45be-8ffa-655de37362ce |
| As imagens de contêiner do AWS em execução devem ter as vulnerabilidade descobertas resolvidas (pela plataforma de Gerenciamento de Vulnerabilidades do Microsoft Defender) | A avaliação de vulnerabilidade das imagens de contêiner examina seu registro em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado de vulnerabilidades para cada imagem. Essa recomendação fornece visibilidade para as imagens vulneráveis atualmente em execução nos seus clusters de Kubernetes do Elastic. Corrigir vulnerabilidades em imagens de contêiner que estão em execução no momento é fundamental para aprimorar sua postura de segurança, reduzindo de forma significativa a superfície de ataque das suas cargas de trabalho conteinerizadas. | 682b2595-d045-4cff-b5aa-46624eb2dd8f |
Consultar informações de vulnerabilidade usando o Azure Resource Graph – Capacidade de consultar informações de vulnerabilidade usando o Azure Resource Graph. Saiba como consultar recomendações por meio do ARG.
Consultar os resultados da verificação por meio da API REST – Saiba como consultar os resultados da verificação por meio da API REST.
Gatilhos de verificação
Os gatilhos para uma verificação de imagem são:
Gatilho único:
- Cada imagem enviada para um registro de contêiner é disparada para ser verificada. Na maioria dos casos, a verificação é concluída em algumas horas, mas, em casos raros, pode levar até 24 horas.
- Cada imagem extraída de um registro é disparada para ser verificada dentro de 24 horas.
Gatilho de novo exame contínuo :o novo exame contínuo é necessário para garantir que as imagens verificadas anteriormente em busca de vulnerabilidades sejam verificadas novamente para atualizar os relatórios de vulnerabilidade, caso uma nova vulnerabilidade seja publicada.
- O novo exame é realizado uma vez por dia para:
- Imagens enviadas por push nos últimos 90 dias.
- Imagens extraídas nos últimos 30 dias.
- Imagens atualmente em execução nos clusters do Kubernetes monitorados pelo Defender para Nuvem (por meio da Descoberta sem agente para Kubernetes ou do sensor do Defender).
- O novo exame é realizado uma vez por dia para:
Como funciona a verificação de imagem?
Uma descrição detalhada do processo é a seguinte:
Ao habilitar a avaliação de vulnerabilidade de contêiner para AWS da plataforma Gerenciamento de Vulnerabilidade do Microsoft Defender, você autoriza o Defender para Nuvem a verificar as imagens de contêineres nos registros do Elastic Container.
O Defender para Nuvem descobre automaticamente todos os registros, repositórios e imagens de contêineres (criados antes ou depois de habilitar o plano).
Uma vez por dia e para novas imagens enviadas por push para um registro:
- É efetuado pull de todas as imagens recém-descobertas, e um inventário é criado para cada imagem. O inventário de imagens é mantido para evitar pulls de imagem adicionais, a menos que isso seja exigido por novos recursos de scanner.
- Usando o inventário, os relatórios de vulnerabilidade são gerados para novas imagens e atualizados para imagens verificadas anteriormente que foram enviadas por push nos últimos 90 dias para um registro ou estão em execução no momento. Para determinar se uma imagem está atualmente em execução, o Defender para Nuvem usa tanto a Descoberta sem agente para Kubernetes quanto o inventário coletado por meio do sensor do Defender em execução nos nós do EKS
- Os relatórios de vulnerabilidade para imagens de contêiner do registro são fornecidos como uma recomendação.
Para os clientes que usam a Descoberta sem agente do Kubernetes ou o inventário coletado por meio do sensor do Defender em execução nos nós do EKS, o Defender para Nuvem também cria uma recomendação para corrigir as vulnerabilidades de imagens vulneráveis em execução em um cluster do EKS. Para clientes que usam apenas Descoberta sem agente para Kubernetes, o tempo de atualização para inventário nessa recomendação é de uma vez a cada sete horas. Os clusters que também estão executando o sensor do Defender se beneficiam de uma frequência de atualização de inventário a cada duas horas. Os resultados da verificação de imagem são atualizados com base na verificação do registro em ambos os casos e, portanto, atualizados apenas a cada 24 horas.
Observação
Para o Defender para Registros de Contêineres (preterido), as imagens são verificadas uma vez no envio, na extração e novamente verificadas apenas uma vez por semana.
Se eu remover uma imagem do meu registro, quanto tempo até que os relatórios de vulnerabilidades nessa imagem sejam removidos?
São necessárias 30 horas depois que uma imagem é excluída do ECR para que os relatórios sejam removidos.
Próximas etapas
- Saiba mais sobre o Defender para Nuvem Planos do Defender.
- Confira as perguntas comuns sobre o Defender para contêineres.