Общие сведения об API данных уязвимостей для Azure Kubernetes Service (AKS)

API данных об уязвимостях AKS предоставляет программный доступ только для чтения к общим уязвимостям и уязвимостям (CVEs), обнаруженным в компонентах платформы, управляемых AKS. Он предназначен для команд безопасности, команд соответствия требованиям и владельцев платформ, которым требуются достоверные сведения об уязвимостях в компонентах, управляемых AKS, включая выпуск AKS, содержащий исправление для каждого CVE. Общие сведения о структуре и обновлении этих компонентов см. в разделе "Управление версиями компонентов AKS".

В этой обзорной статье объясняются назначение API данных об уязвимостях AKS, типы данных CVE, которые он предоставляет, а также то, как с его помощью можно понять состояние безопасности компонентов, управляемых AKS, с течением времени.

Note

Этот API не предоставляет представление об уязвимостях, относящихся к кластеру. Он отслеживает CVEs для выпусков AKS, версий Kubernetes и образов узлов и определяет выпуск AKS, содержащий исправление для каждого CVE. Из-за запланированных окон обслуживания и поэтапного развертывания версий AKS разные кластеры могут в любой момент времени работать на разных версиях AKS.

Структура API данных уязвимостей AKS

API предоставляет данные уязвимостей, организованные тремя категориями компонентов AKS:

  • Выпуски платформы AKS: уязвимости CVE, влияющие на определенную версию выпуска AKS, и выпуск AKS, содержащий исправление для каждой CVE. В этом разделе рассматриваются компоненты плоскости управления Kubernetes и образы контейнеров для управляемых AKS функций, надстроек и расширений, относящихся к этому выпуску.
  • Версии Kubernetes: CVEs, влияющие на образы компонентов Kubernetes и образы контейнеров для управляемых AKS функций, надстроек и расширений, относящихся к определённой версии Kubernetes.
  • Образы узлов (виртуальные жёсткие диски (VHD)): CVE, затрагивающие пакеты операционной системы (ОС) и кэшированные образы контейнеров, включённые в конкретный образ узла AKS.

Данные создаются из предварительно отсканированных, проверенных отчетов и отражают состояние безопасности управляемых AKS компонентов в определенных точках времени выпуска.

Important

API данных об уязвимостях AKS является информационным и сообщает об уязвимостях, обнаруженных в артефактах, управляемых AKS, а не уязвимостях, присутствующих в рабочих нагрузках, управляемых клиентом.

API не может:

  • Сканирование кластеров клиентов
  • Анализировать уязвимости среды выполнения
  • Определите, является ли CVE эксплойтируемым в вашей среде. Возможность эксплуатации зависит от поведения рабочей нагрузки, доступности из сети и механизмов контроля доступа, которые недоступны API.
  • Укажите, развернут ли выпуск AKS с исправлением в конкретном кластере. Доступность обновлений для данного кластера зависит от текущей версии AKS, этапа развертывания в регионе и окон планового обслуживания.

Для оценки уязвимостей запущенных кластеров и клиентских рабочих нагрузок используйте такие средства, как Microsoft Defender для контейнеров или сторонние средства проверки безопасности контейнеров.

С помощью данных об уязвимостях можно определить, какие выпуски AKS содержат исправления для конкретных CVE, а затем проверить, не ожидают ли эти выпуски применения в ваших кластерах из-за запланированных окон обслуживания.

Доступ к API

Доступ к API данных уязвимостей AKS можно получить с помощью одного из следующих методов:

Все конечные точки общедоступны и доступны только для чтения. Они не предоставляют сведения, относящиеся к клиенту. Используйте интерактивное средство просмотра для нерегламентированного изучения и ручной проверки. Используйте REST API для автоматизации, создания отчетов и крупномасштабных анализов.

Интерпретация данных CVE

API данных об уязвимостях AKS предоставляет сведения о CVE, обнаруженных в артефактах, управляемых AKS, в определенные моменты времени. Каждый CVE в отчете классифицируется как активный или смягчается:

  • Активные CVE указывают на уязвимости, обнаруженные в указанной версии артефакта AKS на момент формирования отчета.
  • Устранённые CVE указывают на уязвимости, которые были обнаружены в предыдущей версии соответствующего артефакта AKS, но отсутствуют в текущей версии, как правило, потому, что затронутый компонент или пакет ОС был обновлён.

Выбор подходящего интерфейса

Сведения об уязвимостях AKS доступны с помощью нескольких интерфейсов в зависимости от области задачи:

Объем Рекомендуемый интерфейс
Разовый поиск CVE или специальное расследование Используйте статус CVE для AKS и бюллетени безопасности или интерактивное средство просмотра.
Анализ CVE для конкретного кластера без сканера уязвимостей Сопоставляйте данные из этого API с версиями компонентов, управляемыми AKS, работающими в кластере. Вы можете обнаружить версии компонентов, развернутые в кластере, с помощью akS Component Insights.
Крупномасштабный анализ или автоматизация CVE В сценариях, в которых необходимо обработать сотни или тысячи CVEs, сообщаемых сканером безопасности, используйте API данных уязвимостей AKS напрямую. Это позволяет программно получать отчеты об уязвимостях для используемых вами артефактов AKS, сравнивать CVE, обнаруженные сканером, с CVE, указанными в отчетах по этим артефактам, и определять, какие CVE устранены в более новых выпусках AKS, версиях Kubernetes или образах узлов.

Инструкции по использованию API для массового анализа, рабочих процессов корреляции и сценариев автоматизации см. в статье Использование API данных об уязвимостях Azure Kubernetes Service (AKS).

Распространенные варианты использования

В следующих разделах описаны распространенные сценарии, в которых API данных об уязвимостях AKS можно использовать для поддержки действий по обеспечению безопасности и соответствия требованиям, включая аудит CVEs для выпусков AKS, определение исправленных CVEs между выпусками, просмотр CVEs для версий Kubernetes и оценку уязвимостей образа узла.

Проверка уязвимостей CVE в выпуске AKS

Получите данные об уязвимостях для конкретного выпуска платформы AKS, чтобы просмотреть сведения о CVE, исправленных в системных компонентах под управлением AKS.

Определите CVE, исправленные между выпусками AKS

Отчеты о выпусках AKS содержат информацию об изменениях, указывающую, какие CVE были устранены по сравнению с предыдущим выпуском. Просмотрите средство отслеживания выпусков AKS , чтобы определить, когда текущий выпуск достигает вашего региона, и убедитесь, что период обслуживания разрешает обновление.

Просмотреть CVEs для версии Kubernetes

Получить сведения об уязвимостях для конкретной версии Kubernetes, включая CVE, затрагивающие:

  • Образы компонентов Kubernetes.
  • Управляемые AKS функции, надстройки и расширения, связанные с этой версией.

Это полезно при оценке обновлений Kubernetes или сравнении уязвимостей в поддерживаемых версиях. Просмотрите средство отслеживания выпусков AKS, чтобы определить, когда версия Kubernetes станет доступна в вашем регионе, и убедитесь, что ваше окно обслуживания допускает обновление.

Просмотр уязвимостей образа узла (VHD)

Отчеты об образах узлов позволяют выявить уязвимости, которые затрагивают следующее:

  • Пакеты ОС, включенные в образ узла.
  • Образы контейнеров, кэшированные в образе узла.

Эта информация полезна при планировании обновлений образа узла. Просмотрите средство отслеживания выпусков AKS , чтобы определить, когда версия VHD достигает вашего региона, и убедитесь, что период обслуживания разрешает обновление.

Связанный контент

  • Последнее обновление: