Descrição geral da API de Dados de Vulnerabilidades para o Azure Kubernetes Service (AKS)

A API de Dados de Vulnerabilidades do AKS dá-lhe acesso programático, apenas de leitura, às Vulnerabilidades e Exposições Comuns (CVEs) detetadas em componentes de plataforma geridos pelo AKS. Destina-se a equipas de segurança, equipas de conformidade e proprietários de plataformas que necessitem de informação autoritativa sobre vulnerabilidades em componentes geridos pelo AKS, incluindo qual a versão do AKS que contém o patch para cada CVE. Para uma visão conceptual de como estes componentes são estruturados e atualizados, veja AKS component versioning.

Este artigo de visão geral explica o propósito da API de Dados de Vulnerabilidades do AKS, os tipos de dados CVE que expõe e como pode utilizá-la para compreender a postura de segurança dos componentes geridos pelo AKS ao longo do tempo.

Note

Esta API não fornece uma visão específica do cluster sobre vulnerabilidades. Rastreia os CVEs face às versões do AKS, versões do Kubernetes e imagens dos nós, e identifica a versão do AKS que inclui a correção para cada CVE. Devido às janelas de manutenção planeada e à implementação faseada das versões do AKS, diferentes clusters podem estar em diferentes versões do AKS a qualquer momento.

Estrutura da API de Dados de Vulnerabilidades AKS

A API destaca dados de vulnerabilidades organizados por três categorias de componentes do AKS:

Os dados são gerados a partir de relatórios previamente analisados e validados e refletem a postura de segurança dos componentes geridos pelo AKS em momentos específicos de lançamento.

Importante

A API de Dados de Vulnerabilidades do AKS é apenas informativa e reporta vulnerabilidades identificadas em artefactos geridos pelo AKS, não vulnerabilidades presentes em cargas de trabalho geridas pelo cliente.

A API não permite:

  • Analisar clusters de clientes
  • Analisar a exposição em tempo de execução
  • Determina se um CVE é explorável no teu ambiente. A explorabilidade depende do comportamento da carga de trabalho, exposição da rede e controlos de acesso sobre os quais a API não tem visibilidade.
  • Indique se uma versão atualizada do AKS foi implementada para um cluster específico. A disponibilidade de patches num dado cluster depende da versão atual do AKS do cluster, da fase de implementação da região e das janelas de manutenção planeada .

Para avaliação de vulnerabilidades em clusters em execução e cargas de trabalho de clientes, utilize ferramentas como Microsoft Defender para Containers ou scanners de segurança de contentores de terceiros.

Pode usar os dados de vulnerabilidades para identificar quais as versões do AKS que incluem patches para CVEs específicos, e depois verificar se essas versões estão pendentes nos seus clusters devido a janelas de manutenção planeadas.

Aceder à API

Pode aceder à API de Dados de Vulnerabilidades do AKS usando um dos seguintes métodos:

Todos os endpoints são publicamente acessíveis e apenas de leitura. Não expõem informações específicas do cliente. Use o visualizador interativo para exploração ad hoc e revisão manual. Use a API REST para automação, relatórios e análise em grande escala.

Como interpretar dados CVE

A API de Dados de Vulnerabilidades do AKS reporta CVEs detetados em artefactos geridos pelo AKS em pontos específicos do tempo. Cada CVE num relatório é classificado como ativo ou mitigado:

  • CVEs ativos indicam vulnerabilidades que foram detetadas na versão do artefacto AKS referenciada no momento em que o relatório foi gerado.
  • CVEs mitigados indicam vulnerabilidades que foram detetadas numa versão anterior do artefacto AKS referenciado, mas que já não estão presentes na versão atual, normalmente porque o componente afetado ou pacote do sistema operativo foi atualizado.

Escolha a experiência certa

A informação sobre vulnerabilidades do AKS está disponível através de múltiplas experiências, dependendo do âmbito da tarefa:

Scope Experiência recomendada
Consulta isolada de CVE ou investigação ad hoc Utilize os boletins de estado CVE e segurança do AKS ou o visualizador interativo.
Análise de CVE específica do cluster sem analisador de vulnerabilidades Correlaciona os dados desta API com as versões dos componentes geridos por AKS a correr no teu cluster. Pode descobrir as versões dos componentes implementadas no seu cluster usando o AKS Component Insights.
Análise ou automação em grande escala de CVE Para cenários em que precisa de processar centenas ou milhares de CVEs reportados por um scanner de segurança, use diretamente a API de Dados de Vulnerabilidades do AKS. Isto permite-lhe recuperar programaticamente relatórios de vulnerabilidades para os artefactos AKS que está a executar, comparar CVEs reportados por scanners com os CVEs presentes nesses relatórios de artefactos e identificar quais CVEs são corrigidos em versões mais recentes do AKS, versões Kubernetes ou imagens de nós.

Para orientações sobre como usar a API para análise em massa, fluxos de correlação e cenários de automação, veja Use a API de Dados de Vulnerabilidade Azure Kubernetes Service (AKS).

Casos comuns de utilização

As secções seguintes descrevem cenários comuns em que a API de Dados de Vulnerabilidades do AKS pode ser usada para suportar atividades de segurança e conformidade, incluindo auditoria de CVEs para lançamentos AKS, identificação de CVEs mitigados entre versões, revisão de CVEs para versões do Kubernetes e avaliação de vulnerabilidades na imagem dos nós.

Auditoria de CVEs de uma versão do AKS

Obter dados de vulnerabilidades para uma versão específica da plataforma AKS para analisar os CVEs corrigidos em componentes do sistema geridos pelo AKS.

Identificar os CVEs mitigados entre as versões do AKS

Os relatórios de lançamento do AKS incluem informações delta que indicam quais CVEs foram mitigados em comparação com a versão anterior. Consulte o AKS Release Tracker para determinar quando uma versão em curso chega à sua região e confirme se a janela de manutenção permite a atualização.

Revise CVEs para uma versão do Kubernetes

Recuperar informações de vulnerabilidades para uma versão específica do Kubernetes, incluindo CVEs que afetem:

  • Imagens dos componentes do Kubernetes.
  • Funcionalidades, add-ons e extensões geridos pelo AKS associados a essa versão.

Isto é útil ao avaliar atualizações do Kubernetes ou comparar a postura de vulnerabilidades entre versões suportadas. Consulte o AKS Release Tracker para determinar quando uma versão do Kubernetes chega à sua região e confirme que a sua janela de manutenção permite a atualização.

Vulnerabilidades de imagem de nó (VHD) de revisão

Relatórios de imagem de nós fornecem visibilidade sobre vulnerabilidades que afetam:

  • Pacotes do sistema operativo incluídos na imagem do Node.
  • Imagens de contentores armazenadas em cache na imagem do nó.

Esta informação é útil ao planear atualizações da imagem dos nós. Consulte o AKS Release Tracker para determinar quando uma versão VHD chega à sua região e confirme se a janela de manutenção permite a atualização.

Conteúdo relacionado

  • Última atualização a