Questo documento descrive in che modo Google gestisce le vulnerabilità di sicurezza e le patch per Apigee Hybrid. Salvo dove diversamente indicato, Apigee include sia il piano di gestione sia il piano dati.
Responsabilità di applicazione delle patch condivisa
L'applicazione di patch è una responsabilità condivisa tra Google e il cliente. Apigee X e Apigee hybrid hanno responsabilità condivise diverse, dato che il piano dati per Apigee hybrid è interamente gestito dal cliente. Per informazioni sulle responsabilità condivise di Apigee hybrid, consulta Modello di responsabilità condivisa di Apigee hybrid.
Come vengono scoperte le vulnerabilità
Google adotta un approccio proattivo alla sicurezza dei sistemi software, utilizzando i principi di progettazione Secure by Default e implementando varie pratiche di rafforzamento della sicurezza.
Ad esempio, le applicazioni containerizzate supportano le varie funzionalità della piattaforma di gestione delle API Apigee. Il deployment delle applicazioni containerizzate viene eseguito su Kubernetes. Le immagini container sono basate su immagini di base minime (ad esempio, immagini di base distroless) per la massima sicurezza e prestazioni migliorate.
Tuttavia, anche i sistemi software progettati nel migliore dei modi possono presentare vulnerabilità. Per trovare queste vulnerabilità e applicare le patch prima che possano essere sfruttate, Google ha effettuato investimenti significativi su più fronti.
Scanner di sicurezza
Google identifica e corregge in modo proattivo le vulnerabilità su diversi tipi di immagini container:
- Container proprietari: immagini container create e distribuite da Google nell'ambito della piattaforma Apigee. Si tratta di applicazioni proprietarie di Google che alimentano la piattaforma di gestione delle API Apigee, incluse funzionalità di base come il routing del traffico, la gestione delle quote e la gestione delle chiavi.
- Container di terze parti: immagini container create dalla community open source, ma distribuite da Google nell'ambito della piattaforma Apigee. Si tratta per lo più di componenti open source utilizzati dalla piattaforma per attività operative comuni come il logging, il monitoraggio e la gestione dei certificati.
Google analizza i container utilizzando Container Analysis di Container Registry per rilevare vulnerabilità e patch mancanti nei container proprietari e di terze parti. Se sono disponibili correzioni, Google avvia il processo di applicazione delle patch e di rilascio. Queste scansioni vengono eseguite regolarmente (quando vengono pubblicate nuove immagini) e on demand (prima di una release) per massimizzare le possibilità di rilevare nuove vulnerabilità e pianificare tempestivamente la correzione o la mitigazione.
Ricerca sulla sicurezza
Oltre alla scansione automatizzata, Google rileva e corregge le vulnerabilità sconosciute agli scanner nei seguenti modi:
- Google esegue i propri audit di sicurezza e conformità, test di penetrazione di applicazioni e reti, test di segmentazione e rilevamento di vulnerabilità della sicurezza su tutti i componenti Apigee.
Team specializzati all'interno di Google e fornitori di sicurezza di terze parti affidabili conducono le proprie ricerche sugli attacchi. - Google collabora con altri partner del settore e del software open source che condividono vulnerabilità, ricerche sulla sicurezza e patch prima della divulgazione pubblica della vulnerabilità.
L'obiettivo di questa collaborazione è applicare patch a grandi parti dell'infrastruttura di internet prima che la vulnerabilità venga annunciata al pubblico. In alcuni casi, Google contribuisce alle vulnerabilità rilevate in questa community. Ad esempio, Project Zero di Google ha scoperto e reso pubbliche le vulnerabilità Spectre e Meltdown. Inoltre, il team di Google Cloud Security individua e corregge regolarmente le vulnerabilità nella macchina virtuale basata su kernel (KVM).
Vulnerability Reward Program
Google collabora attivamente con la community di ricerca sulla sicurezza attraverso diversi programmi di premi per la rilevazione di vulnerabilità. Un Vulnerability Reward Program dedicato di Google Cloud offre premi significativi, tra cui 133.337 $per la migliore vulnerabilità del cloud rilevata ogni anno. Il programma copre tutte le dipendenze software di Apigee.
OSS
La collaborazione di Google in materia di sicurezza avviene su molti livelli. A volte avviene formalmente tramite programmi in cui le organizzazioni si registrano per ricevere notifiche pre-release sulle vulnerabilità del software per prodotti come Kubernetes ed Envoy. La collaborazione avviene anche in modo informale grazie al nostro coinvolgimento in molti progetti open source, come il kernel Linux, i runtime dei container, la tecnologia di virtualizzazione e altri.
Sebbene le vulnerabilità meno gravi vengano scoperte e corrette al di fuori di questi processi, la maggior parte delle vulnerabilità di sicurezza critiche viene segnalata privatamente tramite uno dei canali elencati in precedenza. La segnalazione tempestiva dà a Google il tempo, prima che la vulnerabilità diventi pubblica, di ricercare in che modo influisce su Apigee, sviluppare patch o mitigazioni e preparare consigli e comunicazioni per i clienti. Quando possibile, Google applica patch a tutti i cluster (per Apigee X) prima della release pubblica della vulnerabilità. Per Apigee hybrid, le release delle patch vengono rese disponibili regolarmente per risolvere le vulnerabilità di sicurezza nelle immagini container e i clienti sono invitati a rimanere aggiornati con le ultime versioni delle patch.
Come vengono classificate le vulnerabilità
Apigee investe molto nel rafforzamento della sicurezza dell'intero stack, tra cui l'immagine di base, le librerie di terze parti e l'applicazione proprietaria, oltre a impostare valori predefiniti validi, configurazioni con sicurezza rafforzata e componenti gestiti. Insieme, queste iniziative contribuiscono a ridurre l'impatto e la probabilità di vulnerabilità.
Il team di sicurezza di Apigee classifica le vulnerabilità in base al sistema di valutazione delle vulnerabilità comuni (CVSS).
La tabella seguente descrive le categorie di gravità delle vulnerabilità:
| Gravità | Descrizione |
| Critico | Una vulnerabilità facilmente sfruttabile in tutti i cluster da un utente malintenzionato remoto non autenticato che porta alla compromissione completa del sistema. |
| Alta | Una vulnerabilità facilmente sfruttabile per molti cluster che comporta la perdita di riservatezza, integrità o disponibilità. |
| Media | Una vulnerabilità sfruttabile per alcuni cluster in cui la perdita di riservatezza, integrità o disponibilità è limitata da configurazioni comuni, difficoltà dell'exploit stesso, accesso richiesto o interazione dell'utente. |
| Bassa | Tutte le altre vulnerabilità. Lo sfruttamento è improbabile o le conseguenze dello sfruttamento sono limitate. |
Come vengono comunicate le vulnerabilità e le patch
L'obiettivo di Google è mitigare le vulnerabilità rilevate entro un periodo di tempo appropriato per i rischi che rappresentano. Apigee è incluso nell'ATO provvisorio FedRAMP di Google Cloud, che richiede che le vulnerabilità note vengano corrette entro periodi di tempo specifici in base al loro livello di gravità, come mostrato nella guida alla gestione delle prestazioni del monitoraggio continuo di FedRAMP. L'ATO provvisorio FedRAMP di Google Cloud non include i componenti del piano dati di Apigee hybrid (gestiti dal cliente), ma puntiamo agli stessi tempi di correzione per questi prodotti.
Vulnerabilità rilevate dalla scansione proattiva
Google rileva le vulnerabilità di sicurezza tramite la scansione proattiva dei file binari e dell'infrastruttura sottostante che ospita la piattaforma Apigee. Apigee rilascia regolarmente aggiornamenti delle patch per risolvere queste vulnerabilità in modo tempestivo, a seconda della gravità delle CVE sottostanti. L'applicazione di patch a una vulnerabilità comporta l'upgrade a una nuova versione di Apigee hybrid, ovvero un upgrade della versione secondaria o un upgrade della versione patch, a seconda della natura della vulnerabilità. Queste vulnerabilità vengono per lo più risolte nell'ambito delle release mensili delle patch per Apigee Hybrid e incluse nei regolari aggiornamenti software del nostro parco risorse gestito nel caso di Apigee X. Le patch di sicurezza vengono comunicate tramite le note di rilascio sia per Apigee X che per Apigee Hybrid.
La correzione di alcune vulnerabilità richiede solo un upgrade del control plane, eseguito automaticamente da Google su Apigee, mentre altre richiedono l'implementazione di nuovi file binari nel data plane. Nel caso di Apigee X, Google si occupa di implementare i nuovi binari nell'intero parco risorse. I clienti che eseguono Apigee Apigee hybrid devono applicare la release della patch ai propri cluster Apigee hybrid per implementare i file binari aggiornati.
Per mantenere i cluster aggiornati e protetti da vulnerabilità di ogni gravità, ti consigliamo di applicare l'ultima versione della patch per qualsiasi versione secondaria di Apigee hybrid. Per chi esegue Apigee hybrid su Anthos, Google consiglia di eseguire l'upgrade dei componenti Anthos almeno una volta al mese.
Vulnerabilità segnalate dai clienti
Con Apigee hybrid, i clienti ricevono i file binari di Apigee da eseguire nei loro data center o nelle loro piattaforme cloud preferite. Nell'ambito degli standard di sicurezza di un cliente per il lancio del software in produzione nei propri data center, è possibile eseguire una serie di test di sicurezza. Questi test potrebbero includere penetration test, scansione dei container, scansione del codice statico e così via. Questi test potrebbero segnalare possibili vulnerabilità nel software Apigee. Prima di attivare questi pacchetti nei propri data center, i clienti devono determinare se questi elementi segnalati sono sfruttabili e, di conseguenza, un rischio per la sicurezza.
Vulnerabilità con un exploit Proof of Concept
Se il cliente identifica una vulnerabilità sfruttabile e dispone di una proof of concept (POC) su come sfruttarla, deve segnalare il problema tramite il Vulnerability Reward Program di Google all'indirizzo goo.gle/vulnz. In questo modo, il problema viene segnalato al team di sicurezza di Google, che convaliderà la proof of concept e ne determinerà la gravità e il potenziale impatto. Il problema verrà quindi riassegnato ad Apigee. Il cliente potrebbe essere idoneo a ricevere un premio tramite il programma VRP.
Vulnerabilità identificata da uno strumento automatico
Se il cliente ha generato un report di possibili vulnerabilità nel prodotto Apigee in base alla scansione statica o a un altro strumento o tecnica, ma non ha alcuna proof of concept su come sfruttare i problemi, questi elementi possono essere segnalati all'assistenza tramite il portale di assistenza Google Cloud. Segnalando il problema all'assistenza, il cliente riceve un numero di ticket per il monitoraggio e può visualizzare gli aggiornamenti e le risposte alla segnalazione. Il team di assistenza assegnerà quindi i problemi segnalati internamente, a seconda dei casi.
Identificatori CVE
I clienti devono includere quante più informazioni possibili sulla vulnerabilità e, in particolare, l'identificatore CVE, il nome della libreria/del pacchetto, il nome dell'immagine container e così via per ogni elemento. I CVE ci consentono di sapere che stiamo esaminando la stessa vulnerabilità. Fornire solo una descrizione del problema o un altro numero di tracciamento proprietario non consente la correlazione del problema tra gli strumenti di rilevamento o i processi di segnalazione. Senza un CVE, Google potrebbe non essere in grado di rispondere all'elemento specifico.
Risposta
Per gli elementi segnalati all'assistenza con un punteggio di gravità critico o elevato, i clienti possono aspettarsi una risposta tramite il sistema di ticket di assistenza. Per gli elementi segnalati al VRP, consulta le regole e la documentazione fornite dal programma.