Visão geral da API de Dados de Vulnerabilidade para AKS (Serviço de Kubernetes do Azure)

A API de Dados de Vulnerabilidade do AKS oferece acesso programático e somente leitura a CVEs (Vulnerabilidades e Exposições Comuns) detectados em componentes de plataforma gerenciados pelo AKS. Ele destina-se a equipes de segurança, equipes de conformidade e proprietários de plataforma que precisam de informações autoritativas sobre vulnerabilidades em componentes gerenciados pelo AKS, incluindo qual versão do AKS contém o patch para cada CVE. Para obter uma visão geral conceitual de como esses componentes são estruturados e atualizados, consulte o controle de versão do componente do AKS.

Este artigo de visão geral explica a finalidade da API de Dados de Vulnerabilidade do AKS, os tipos de dados CVE expostos e como você pode usá-lo para entender a postura de segurança dos componentes gerenciados pelo AKS ao longo do tempo.

Note

Essa API não fornece uma exibição específica do cluster de vulnerabilidades. Acompanha os CVEs em relação aos lançamentos do AKS, às versões do Kubernetes e às imagens dos nós, e identifica o lançamento do AKS que contém a correção para cada CVE. Devido às janelas de manutenção planejadas e à distribuição em fases de versões do AKS, clusters diferentes podem estar em diferentes versões do AKS a qualquer momento.

Estrutura da API de Dados de Vulnerabilidade do AKS

A API apresenta dados de vulnerabilidade organizados por três categorias de componente do AKS:

Os dados são gerados a partir de relatórios pré-verificados e validados e refletem a postura de segurança dos componentes gerenciados pelo AKS em pontos de lançamento específicos no tempo.

Importante

A API de Dados de Vulnerabilidade do AKS é somente informativa e relata vulnerabilidades identificadas em artefatos gerenciados pelo AKS, não vulnerabilidades presentes em cargas de trabalho gerenciadas pelo cliente.

A API não faz o seguinte:

  • Verificar clusters de clientes
  • Analisar a exposição do tempo de execução
  • Determine se uma CVE é explorável em seu ambiente. A exploração depende do comportamento da carga de trabalho, da exposição de rede e dos controles de acesso nos quais a API não tem visibilidade.
  • Indique se uma versão do AKS corrigida foi distribuída para um cluster específico. A disponibilidade de patch em um determinado cluster depende da versão atual do AKS no cluster, da fase de implementação na região e das janelas de manutenção planejada.

Para a avaliação de vulnerabilidades de clusters em execução e cargas de trabalho do cliente, use ferramentas como Microsoft Defender for Containers ou scanners de segurança de contêineres de terceiros.

Você pode usar os dados de vulnerabilidade para identificar quais versões do AKS incluem patches para CVEs específicos e, em seguida, verificar se essas versões estão pendentes em seus clusters devido a janelas de manutenção planejadas.

Acessar a API

Você pode acessar a API de Dados de Vulnerabilidade do AKS usando um dos seguintes métodos:

Todos os pontos de extremidade são publicamente acessíveis e somente de leitura. Eles não expõem informações específicas do cliente. Use o visualizador interativo para exploração ad hoc e revisão manual. Use a API REST para automação, relatórios e análise em grande escala.

Como interpretar dados CVE

A API de Dados de Vulnerabilidade do AKS relata os CVEs detectados em artefatos gerenciados pelo AKS em pontos específicos no tempo. Cada CVE em um relatório é classificada como ativa ou atenuada:

  • CVEs ativos indicam vulnerabilidades detectadas na versão de artefato do AKS referenciada no momento em que o relatório foi gerado.
  • CVEs mitigados indicam vulnerabilidades detectadas em uma versão anterior do artefato do AKS referenciado, mas não estão mais presentes na versão atual, normalmente porque o componente afetado ou o pacote do sistema operacional foi atualizado.

Escolha a experiência certa

As informações de vulnerabilidade do AKS estão disponíveis por meio de várias experiências, dependendo do escopo da tarefa:

Scope Experiência recomendada
Pesquisa CVE única ou investigação ad hoc Use o status do CVE do AKS e boletins de segurança ou o visualizador interativo.
Análise CVE específica do cluster sem um verificador de vulnerabilidades Correlacionar os dados dessa API com as versões de componente gerenciadas pelo AKS em execução no cluster. Você pode descobrir as versões do componente implantadas em seu cluster usando o AKS Component Insights.
Análise ou automação CVE em larga escala Para cenários em que você precisa processar centenas ou milhares de CVEs relatados por um verificador de segurança, use a API de Dados de Vulnerabilidade do AKS diretamente. Isso permite que você recupere programaticamente relatórios de vulnerabilidade dos artefatos do AKS em execução, compare os CVEs informados pelo scanner com os CVEs presentes nos relatórios desses artefatos e identifique quais CVEs foram corrigidos em versões mais recentes do AKS, em versões do Kubernetes ou em imagens dos nós.

Para obter diretrizes sobre como usar a API para análise em massa, fluxos de trabalho de correlação e cenários de automação, consulte Use a API de Dados de Vulnerabilidade AKS (Serviço de Kubernetes do Azure).

Casos de uso comuns

As seções a seguir descrevem cenários comuns em que a API de Dados de Vulnerabilidade do AKS pode ser usada para dar suporte a atividades de segurança e conformidade, incluindo auditoria de CVEs para versões do AKS, identificação de CVEs atenuadas entre versões, revisão de CVEs para versões do Kubernetes e avaliação de vulnerabilidades de imagem de nó.

Auditar CVEs para uma versão do AKS

Obtenha os dados de vulnerabilidade de uma versão específica da plataforma AKS a fim de analisar os CVEs corrigidos em componentes de sistema gerenciados pelo AKS.

Identificar CVEs mitigados entre versões do AKS

Os relatórios de versão do AKS incluem as informações delta que indicam quais CVEs foram reduzidos em comparação com a versão anterior. Examine o Rastreador de Versão do AKS para determinar quando uma versão em andamento atinge sua região e confirme se a janela de manutenção permite a atualização.

Examinar os CVEs de uma versão do Kubernetes

Recupere informações de vulnerabilidade para uma versão específica do Kubernetes, incluindo CVEs que afetam:

  • Imagens dos componentes do Kubernetes.
  • Recursos, complementos e extensões gerenciados pelo AKS associados a essa versão.

Isso é útil ao avaliar atualizações do Kubernetes ou comparar a postura de vulnerabilidade entre versões com suporte. Examine o Rastreador de Versão do AKS para determinar quando uma versão do Kubernetes chega à sua região e confirme se a janela de manutenção permite a atualização.

Examinar as vulnerabilidades da imagem do nó (VHD)

Os relatórios de imagem do nó fornecem visibilidade das vulnerabilidades que afetam:

  • Pacotes do sistema operacional incluídos na imagem do nó.
  • Imagens de contêiner armazenadas em cache na imagem do nó.

Essas informações são úteis quando se planeja atualizações das imagens de nó. Examine o Rastreador de Versão do AKS para determinar quando uma versão do VHD atinge sua região e confirme se a janela de manutenção permite a atualização.

Conteúdo relacionado

  • Última atualização em