Azure Kubernetes Service (AKS) için Güvenlik Açığı Verileri API'sine genel bakış

AKS Güvenlik Açığı Veri API'si, AKS tarafından yönetilen platform bileşenlerinde algılanan Ortak Güvenlik Açıkları ve Açığa Çıkarmalar'a (CVEs) programlı, salt okunur erişim sağlar. Aks tarafından yönetilen bileşenlerdeki güvenlik açıkları hakkında her CVE için düzeltme eki içeren AKS sürümü de dahil olmak üzere yetkili bilgilere ihtiyaç duyan güvenlik ekipleri, uyumluluk ekipleri ve platform sahiplerine yöneliktir. Bu bileşenlerin nasıl yapılandırıldığına ve güncelleştirildiğinden kavramsal bir genel bakış için bkz. AKS bileşeni sürüm oluşturma.

Bu genel bakış makalesinde AKS Güvenlik Açığı Veri API'sinin amacı, kullanıma saladığı CVE veri türleri ve aks tarafından yönetilen bileşenlerin zaman içindeki güvenlik duruşunu nasıl anlayabileceğiniz açıklanmaktadır.

Note

Bu API, güvenlik açıklarının kümeye özgü bir görünümünü sağlamaz. AKS sürümlerine, Kubernetes sürümlerine ve düğüm görüntülerine karşı CVE'leri izler ve her CVE için düzeltme ekini içeren AKS sürümünü tanımlar. Planlı bakım pencereleri ve AKS sürümlerinin aşamalı dağıtımı nedeniyle, farklı kümeler herhangi bir zamanda farklı AKS sürümlerinde olabilir.

AKS Güvenlik Açığı Veri API'si yapısı

API, güvenlik açığı verilerini üç AKS bileşeni kategorisine göre düzenlenmiş olarak ortaya çıkar:

Veriler önceden taranmış, doğrulanmış raporlardan oluşturulur ve AKS tarafından yönetilen bileşenlerin belirli sürüm noktalarında güvenlik duruşunu yansıtır.

Important

AKS Güvenlik Açığı Veri API'si yalnızca bilgilendirme amaçlıdır ve aks tarafından yönetilen yapıtlarda tanımlanan güvenlik açıklarını bildirir, müşteri tarafından yönetilen iş yüklerinde güvenlik açıkları yoktur.

API şunları yapmaz:

  • Müşteri kümelerini tarama
  • Çalışma zamanı maruziyetini analiz edin
  • Ortamınızda CVE'nin kötüye kullanılabilir olup olmadığını belirleyin. İstismar edilebilirlik, iş yükünün davranışına, ağ maruziyetine ve API’nin görünürlüğüne girmeyen erişim denetimlerine bağlıdır.
  • Düzeltme eki uygulanmış bir AKS sürümünün belirli bir kümeye dağıtılıp dağıtılmadığını belirtin. Belirli bir kümede düzeltme eki kullanılabilirliği, kümenin geçerli AKS sürümüne, bölge dağıtım aşamasına ve planlı bakım pencerelerine bağlıdır.

Çalışan kümelerin ve müşteri iş yüklerinin güvenlik açığı değerlendirmesi için Microsoft Defender for Containers gibi araçları veya üçüncü taraf kapsayıcı güvenlik tarayıcılarını kullanın.

Güvenlik açığı verilerini kullanarak belirli CVE'ler için düzeltme ekleri içeren AKS sürümlerini belirleyebilir ve ardından planlı bakım pencerelerinden dolayı bu sürümlerin kümelerinizde beklemede olup olmadığını kontrol edebilirsiniz.

API'ye erişme

AKS Güvenlik Açığı Veri API'sine aşağıdaki yöntemlerden birini kullanarak erişebilirsiniz:

Tüm uç noktalar genel olarak erişilebilir ve salt okunur durumdadır. Müşteriye özel bilgileri açığa çıkarmazlar. Geçici keşif ve el ile gözden geçirme için etkileşimli görüntüleyiciyi kullanın. Otomasyon, raporlama ve büyük ölçekli analiz için REST API'yi kullanın.

CVE verilerini yorumlama

AKS Güvenlik Açığı Verileri API'si, AKS tarafından yönetilen artefaktlarda tespit edilen CVE'leri belirli zaman noktalarında raporlar. Rapordaki her CVE etkin veya azaltılmış olarak sınıflandırılır:

  • Etkin CVE'ler , raporun oluşturulduğu sırada başvuruda bulunan AKS yapıtı sürümünde algılanan güvenlik açıklarını gösterir.
  • Azaltılmış CVE'ler , başvurulan AKS yapıtının önceki bir sürümünde algılanan ancak genellikle etkilenen bileşen veya işletim sistemi paketi yükseltildiği için artık geçerli sürümde bulunmayan güvenlik açıklarını gösterir.

Doğru deneyimi seçin

AKS güvenlik açığı bilgileri, görevin kapsamına bağlı olarak birden çok deneyim aracılığıyla sağlanır:

Scope Önerilen deneyim
Tek seferlik CVE araması veya geçici araştırma AKS CVE durumunu ve güvenlik bültenlerini veya etkileşimli görüntüleyiciyi kullanın.
Güvenlik açığı tarayıcısı olmadan kümeye özgü CVE analizi Bu API'den alınan verileri kümenizde çalışan AKS tarafından yönetilen bileşen sürümleriyle ilişkilendirin. AKS Component Insights'ı kullanarak kümenizde dağıtılan bileşen sürümlerini keşfedebilirsiniz.
Büyük ölçekli CVE analizi veya otomasyonu Bir güvenlik tarayıcısı tarafından bildirilen yüzlerce veya binlerce CVE'yi işlemeniz gereken senaryolar için aks Güvenlik Açığı Veri API'sini doğrudan kullanın. Bu, çalıştırdığınız AKS yapıtları için program aracılığıyla güvenlik açığı raporlarını almanıza, tarayıcı tarafından bildirilen CV'leri bu yapıt raporlarında bulunan CV'lerle karşılaştırmanıza ve daha yeni AKS sürümlerinde, Kubernetes sürümlerinde veya düğüm görüntülerinde hangi CVE'lerin düzeltilmiş olduğunu belirlemenize olanak tanır.

API'yi toplu analiz, bağıntı iş akışları ve otomasyon senaryoları için kullanma yönergeleri için bkz. Azure Kubernetes Service (AKS) Güvenlik Açığı Veri API'sini kullanma.

Yaygın kullanım örnekleri

Aşağıdaki bölümlerde AKS Güvenlik Açığı Veri API'sinin AKS sürümleri için CVE'leri denetleme, sürümler arasında azaltılmış CVE'leri tanımlama, Kubernetes sürümleri için CVE'leri gözden geçirme ve düğüm görüntüsü güvenlik açıklarını değerlendirme gibi güvenlik ve uyumluluk etkinliklerini desteklemek için kullanabildiği yaygın senaryolar özetlenmektedir.

AKS sürümü için CVE'leri denetleme

AKS tarafından yönetilen sistem bileşenlerinde düzeltilen CVE'leri gözden geçirmek için belirli bir AKS platform sürümüne ait güvenlik açığı verilerini alın.

AKS sürümleri arasında azaltılan CVE'leri belirleme

AKS yayın raporları, önceki sürüme kıyasla hangi CVE'lerin azaltıldığını gösteren delta bilgilerini içerir. Devam eden bir sürümün bölgenize ne zaman ulaştığını belirlemek için AKS Yayın İzleyicisi'ni gözden geçirin ve bakım pencerenizin yükseltmeye izin verdiğinden emin olun.

Kubernetes sürümü için CVE'leri gözden geçirme

Aşağıdakileri etkileyen CVE'ler de dahil olmak üzere belirli bir Kubernetes sürümü için güvenlik açığı bilgilerini alın:

  • Kubernetes bileşen görüntüleri.
  • AKS tarafından yönetilen özellikler, eklentiler ve bu sürümle ilişkili uzantılar.

Bu, Kubernetes yükseltmelerini değerlendirirken veya desteklenen sürümlerde güvenlik açığı duruşunu karşılaştırırken kullanışlıdır. Bir Kubernetes sürümünün bölgenize ne zaman ulaştığını belirlemek için AKS Yayın İzleyicisi'ni gözden geçirin ve bakım pencerenizin yükseltmeye izin verdiğinden emin olun.

Düğüm görüntüsü (VHD) güvenlik açıklarını gözden geçirin

Düğüm görüntüsü raporları, aşağıdakileri etkileyen güvenlik açıklarına görünürlük sağlar:

  • Node imajına dahil edilen işletim sistemi paketleri.
  • Düğüm görüntüsünde önbelleğe alınan kapsayıcı görüntüleri.

Bu bilgiler düğüm görüntüsü yükseltmelerini planlarken kullanışlıdır. Bir VHD sürümünün bölgenize ne zaman ulaştığını belirlemek için AKS Yayın İzleyicisi'ni gözden geçirin ve bakım pencerenizin yükseltmeye izin verdiğinden emin olun.

İlgili içerik

  • Son güncelleştirme: