Översikt över API för sårbarhetsdata för Azure Kubernetes Service (AKS)

API:et för sårbarhetsdata i AKS ger dig programmatisk, skrivskyddad åtkomst till vanliga sårbarheter och exponeringar (CVE) som identifierats i AKS-hanterade plattformskomponenter. Den är avsedd för säkerhetsteam, efterlevnadsteam och plattformsägare som behöver auktoritativ information om sårbarheter i AKS-hanterade komponenter, inklusive vilken AKS-version som innehåller korrigeringen för varje CVE. En konceptuell översikt över hur dessa komponenter är strukturerade och uppdaterade finns i AKS-komponentversioner.

Den här översiktsartikeln beskriver syftet med API:et för säkerhetsrisker i AKS, vilka typer av CVE-data som exponeras och hur du kan använda dem för att förstå säkerhetsstatusen för AKS-hanterade komponenter över tid.

Note

Det här API:et ger ingen klusterspecifik vy över säkerhetsrisker. Den spårar CVE:er mot AKS-versioner, Kubernetes-versioner och nodbilder och identifierar AKS-versionen som innehåller korrigeringen för varje CVE. På grund av planerade underhållsperioder och den stegvisa distributionen av AKS-versioner kan olika kluster finnas på olika AKS-versioner när som helst.

API-struktur för AKS-sårbarhetsdata

API:et innehåller sårbarhetsdata ordnade efter tre AKS-komponentkategorier:

  • AKS-plattformsversioner: CVE:er som påverkar en specifik version av AKS och AKS-versionen som innehåller korrigeringen för varje CVE. Detta omfattar Kubernetes-kontrollplanskomponenterna och containeravbilderna för AKS-hanterade funktioner, tillägg och utökningar som är kopplade till den versionen.
  • Kubernetes-versioner: CVE:er som påverkar Kubernetes-komponentavbildningar och containeravbildningar för AKS-hanterade funktioner, tillägg och tillägg som är associerade med en specifik Kubernetes-version.
  • Nodavbildningar (virtuella hårddiskar eller virtuella hårddiskar): CVE:er som påverkar operativsystempaket (OS) och cachelagrade containeravbildningar som ingår i en specifik AKS-nodavbildning.

Data genereras från förskannade, verifierade rapporter och återspeglar säkerhetsstatusen för AKS-hanterade komponenter vid specifika tidpunkter.

Viktigt!

API:et för sårbarhetsdata i AKS är endast informationsbaserat och rapporterar sårbarheter som identifieras i AKS-hanterade artefakter, inte sårbarheter som finns i kundhanterade arbetsbelastningar.

API:et gör inte följande:

  • Skanna kundkluster
  • Analysera exponering under körningstid
  • Avgör om en CVE är exploaterbar i din miljö. Exploateringsbarhet beror på arbetsbelastningsbeteende, nätverksexponering och åtkomstkontroller som API:et inte har någon insyn i.
  • Ange om en korrigerad AKS-version har distribuerats till ett specifikt kluster. Korrigeringstillgänglighet för ett visst kluster beror på klustrets aktuella AKS-version, regiondistributionsfas och planerade underhållsfönster .

För sårbarhetsbedömning av kluster som körs och kundarbetsbelastningar använder du verktyg som Microsoft Defender för containrar eller säkerhetsskannrar från tredje part.

Du kan använda sårbarhetsdata för att identifiera vilka AKS-versioner som innehåller korrigeringar för specifika CVE:er och sedan kontrollera om dessa versioner väntar på dina kluster på grund av planerade underhållsperioder.

Få åtkomst till API:et

Du kan komma åt API:et för sårbarhetsdata i AKS med någon av följande metoder:

Alla ändpunkter är offentligt tillgängliga och endast läsbara. De exponerar inte kundspecifik information. Använd det interaktiva visningsprogrammet för ad hoc-utforskning och manuell granskning. Använd REST-API:et för automatisering, rapportering och storskalig analys.

Så här tolkar du CVE-data

API:et för sårbarhetsdata i AKS rapporterar CVE:er som identifierats i AKS-hanterade artefakter vid specifika tidpunkter. Varje CVE i en rapport klassificeras som antingen aktiv eller minimerad:

  • Aktiva CVE:er anger sårbarheter som identifierades i den refererade AKS-artefaktversionen när rapporten genererades.
  • Minimerade CVE:er indikerar sårbarheter som identifierades i en tidigare version av den refererade AKS-artefakten men som inte längre finns i den aktuella versionen, vanligtvis på grund av att den berörda komponenten eller OS-paketet uppgraderades.

Välj rätt upplevelse

Information om AKS-säkerhetsrisker är tillgänglig via flera funktioner beroende på uppgiftens omfattning:

Scope Rekommenderad upplevelse
Engångs-CVE-sökning eller ad hoc-undersökning Använd AKS CVE-status och säkerhetsbulletiner eller det interaktiva visningsprogrammet.
Klusterspecifik CVE-analys utan sårbarhetsskanner Korrelera data från det här API:et med de AKS-hanterade komponentversionerna som körs i klustret. Du kan identifiera de komponentversioner som distribuerats i klustret med hjälp av AKS Component Insights.
Storskalig CVE-analys eller automatisering För scenarier där du behöver bearbeta hundratals eller tusentals CVE:er som rapporteras av en säkerhetsskanner använder du API:et för sårbarhetsdata i AKS direkt. På så sätt kan du programmatiskt hämta sårbarhetsrapporter för de AKS-artefakter som du kör, jämföra skannerrapporterade CVE:er med cv:erna som finns i dessa artefaktrapporter och identifiera vilka CVE:er som åtgärdas i nyare AKS-versioner, Kubernetes-versioner eller nodavbildningar.

Mer information om hur du använder API:et för massanalys, korrelationsarbetsflöden och automatiseringsscenarier finns i Använd Azure Kubernetes Service (AKS) SÅRBARHETsdata-API.

Vanliga användningsfall

I följande avsnitt beskrivs vanliga scenarier där API:et för sårbarhetsdata i AKS kan användas för att stödja säkerhets- och efterlevnadsaktiviteter, inklusive granskning av CVE:er för AKS-versioner, identifiering av minimerade CVE:er mellan versioner, granskning av CVE:er för Kubernetes-versioner och utvärdering av sårbarheter för nodavbildningar.

Granska CVE:er för en AKS-version

Hämta sårbarhetsdata för en specifik VERSION av AKS-plattformen för att granska CVE:er som har åtgärdats i AKS-hanterade systemkomponenter.

Identifiera CVE:er som minimerats mellan AKS-versioner

AKS-versionsrapporter innehåller deltainformation som anger vilka CVE:er som har åtgärdats jämfört med den tidigare versionen. Granska AKS Release Tracker för att avgöra när en pågående version når din region och bekräfta att underhållsfönstret tillåter uppgraderingen.

Granska CVE:er för en Kubernetes-version

Hämta sårbarhetsinformation för en specifik Kubernetes-version, inklusive CVE:er som påverkar:

  • Kubernetes-komponentbilder.
  • AKS-hanterade funktioner, insticksmoduler och tillägg som hör till den versionen.

Detta är användbart när du utvärderar Kubernetes-uppgraderingar eller jämför sårbarhetsstatus mellan versioner som stöds. Granska AKS Release Tracker för att avgöra när en Kubernetes-version når din region och bekräfta att underhållsfönstret tillåter uppgraderingen.

Granska sårbarheter för nodavbildning (VHD)

Nodavbildningsrapporter ger insyn i sårbarheter som påverkar:

  • OS-paket som ingår i nodavbildningen.
  • Containeravbildningar cachelagrade i nodavbildningen.

Den här informationen är användbar när du planerar nodbilduppgraderingar. Granska AKS Release Tracker för att avgöra när en VHD-version når din region och bekräfta att underhållsfönstret tillåter uppgraderingen.

Relaterat innehåll

  • Uppdaterades senast