בדף הזה מתוארת סריקת נקודות החולשה בעומסי העבודה, תכונה של לוח הבקרה של מצב האבטחה ב-Google Kubernetes Engine (GKE). התכונה הזו עוזרת לשפר את האבטחה של הפריסות, על ידי סריקה אוטומטית של נקודות חולשה בקובצי האימג' של הקונטיינרים ובחבילות השפה במהלך זמן הריצה. במרכז הבקרה של מצב האבטחה אפשר לראות את בעיות הפגיעוּת שזוהו ואת הפעולות המומלצות.
הדף הזה מיועד למומחי אבטחה, והוא כולל מידע שיעזור לכם לקבל החלטות מושכלות ופרטים על השימוש בסריקת נקודות חולשה בעומסי עבודה כשמטמיעים פתרון של צד ראשון לזיהוי נקודות חולשה ב- Google Cloud. למידע נוסף על תפקידים נפוצים ומשימות לדוגמה שאנחנו מתייחסים אליהם בתוכן של Google Cloud , קראו את המאמר תפקידים ומשימות נפוצים של משתמשי GKE.
לפני שאתם קוראים את הדף הזה, חשוב שתבינו איך לוח הבקרה של מצב האבטחה משתלב באסטרטגיית האבטחה שלכם. תוכלו לקרוא על כך במאמר שימוש כחלק מאסטרטגיית אבטחה רחבה.
סוגים של בדיקת נקודות חולשה
סריקת נקודות חולשה בעומסי עבודה כוללת את היכולות הבאות:
- סריקת נקודות חולשה במערכת ההפעלה (OS) של קונטיינר
- בדיקת נקודות חולשה בחבילות שפה
אם נמצאה נקודת חולשה בקובצי האימג' של הקונטיינרים או בחבילות השפה, GKE מציג את התוצאות במרכז הבקרה של מצב האבטחה במסוף Google Cloud . בנוסף, GKE מוסיף רשומות ל-Cloud Logging לצורכי ביקורת ומעקב.
בדיקת נקודות חולשה במערכת ההפעלה של הקונטיינר
GKE סורק באופן רציף קובצי אימג' של קונטיינרים שפועלים באשכולות GKE רשומים. GKE משתמש בנתוני נקודות חולשה ממסדי נתונים ציבוריים של CVE, כמו NIST. התמונות יכולות להגיע מכל מאגר תמונות. גרסת מערכת ההפעלה צריכה לתמוך בסריקה. כאן אפשר למצוא רשימה של מערכות ההפעלה הנתמכות.
להוראות, ראו הפעלת סריקת נקודות חולשה במערכת ההפעלה של קונטיינרים.
בדיקת נקודות חולשה בחבילות שפה
GKE סורק באופן קבוע קונטיינרים כדי לאתר נקודות חולשה ידועות בחבילות שפה, כמו חבילות Go או Maven. אנחנו מקבלים נתונים על נקודות חולשה ממקורות ציבוריים כמו GitHub Advisory Database. הסורק הוא הסורק של Artifact Analysis, שאפשר להטמיע בנפרד כדי להגן על המאגרים של Artifact Registry. בלוח הבקרה של מצב האבטחה, קובצי האימג' של הקונטיינרים יכולים להגיע מכל מאגר תמונות, כי GKE סורק את קובצי האימג' בזמן שעומסי העבודה פועלים. למידע על סריקה באמצעות Artifact Analysis, קראו את המאמר סוגי סריקה.
ב-GKE מתבצעת סריקה רציפה של חבילות השפה, במקום סריקה רק מתי שנוח או כשמתבצעים שינויים בקובצי האימג' של הקונטיינרים בתהליכי העבודה. סריקה רציפה מבטיחה שתקבלו התראות על נקודות חולשה חדשות ברגע שיהיו תיקונים זמינים, וכך תקצר את הזמן עד לגילוי ולתיקון.
GKE סורק את חבילות השפה הבאות:
- המשך
- Maven
- JavaScript
- Python
במרכז הבקרה של מצב האבטחה מוצגות רק נקודות חולשה שמשויך אליהן מספר CVE.
הפעלת סריקת נקודות חולשה ב-GKE
כדי להפעיל סריקת נקודות חולשה באשכולות GKE:
| רמה | יכולות מופעלות | דרישות לגבי גרסת GKE |
|---|---|---|
Standardstandard |
בדיקת נקודות חולשה במערכת ההפעלה של הקונטיינר |
|
תובנות מתקדמות לגבי נקודות חולשהenterprise |
|
|
הוראות להפעלה מופיעות במאמר סריקה אוטומטית של עומסי עבודה לאיתור נקודות חולשה ידועות.
תמחור
למידע על מחירים, קראו את המאמר התמחור של מרכז הבקרה של מצב האבטחה ב-GKE.
אילו פעולות GKE מציע?
לכל נקודת חולשה בלוח הבקרה של מצב האבטחה יש מידע מפורט, כמו:
- תיאור מלא של נקודת החולשה, כולל ההשפעה הפוטנציאלית, נתיבי ההתקפה ורמת החומרה.
- חבילות קבועות ומספרי גרסאות.
- קישורים לרשומות הרלוונטיות במסדי נתונים ציבוריים של CVE.
אם אין CVE תואם עם פעולה להפחתת הסיכון, GKE לא מציג את נקודת החולשה.
מידע על הממשק של לוח הבקרה של מצב האבטחה
מגבלות
- ב-GKE אין תמיכה בסריקה של חבילות קנייניות והתלויות שלהן.
- ב-GKE מוצגות רק תוצאות של נקודות חולשה שיש להן תיקון זמין ומספר CVE זמין בלוח הבקרה של מצב האבטחה. אם תסרקו את אותם קובצי אימג' של קונטיינרים ב-Container Registry, יכול להיות שיוצגו לכם יותר תוצאות, כמו נקודות חולשה שאין להן תיקון זמין.
- כדי לבצע בדיקת נקודות חולשה בעומסי עבודה, GKE משתמש בזיכרון הבא בכל צומת עובד:
- סריקת מערכת הפעלה של קונטיינר: 50 MiB
- תובנות מתקדמות לגבי נקודות חולשה: 100 MiB
- ב-GKE יש מגבלות על הגודל של כל קובץ שמכיל נתוני חבילה באימג'ים. GKE לא יסרוק קבצים שחורגים ממגבלת הגודל.
- סריקת מערכת הפעלה של קונטיינר: 30 MiB
- תובנות מתקדמות לגבי נקודות חולשה: 60 MiB
- אין תמיכה בקונטיינרים של Windows Server.
- אפשר לבצע בדיקת נקודות חולשה בעומסי עבודה רק באשכולות עם פחות מ-1,000 צמתים.
- GKE לא סורק צמתים שמשתמשים בארכיטקטורת Arm, כמו סוג המכונה T2A.
בלוח הבקרה של מצב האבטחה אפשר להציג עד 150,000 ממצאים פעילים של סריקת נקודות חולשה בעומסי עבודה לכל אשכול. אם מספר הממצאים באשכול חורג מהמקסימום, מרכז הבקרה של מצב האבטחה מפסיק להציג ממצאים של נקודות חולשה באשכול הזה.
כדי לפתור את הבעיה, השתמשו במנגנון סריקה ברמת המרשם כדי לזהות נקודות חולשה בתמונות ולהחיל תיקונים. לחלופין, באשכול חדש, פורסים את עומסי העבודה בקבוצות כדי לזהות ולצמצם נקודות חולשה. כשיש פחות מ-150,000 ממצאים של נקודות חולשה, הממצאים של האשכול מתחילים להופיע בלוח הבקרה של מצב האבטחה.
בכל אשכול, מסד הנתונים של מצב האבטחה של GKE עוקב אחרי כל אובייקטי עומס העבודה ברמה העליונה ב-Kubernetes API. לדוגמה, פריסה שמנהלת 20 רפליקות נחשבת לאובייקט אחד. גם Pod סטטי הוא אובייקט יחיד.
מסד הנתונים יכול לעבד עד 5,000 פעולות של מחיקה ויצירה של אובייקטים בטרנזקציה אחת. לדוגמה, מחיקת פריסה היא פעולה אחת, ויצירה מחדש של Pod סטטי היא שתי פעולות (מחיקה ויצירה). אם מספר הפעולות חורג מ-5,000, לוח הבקרה של מצב האבטחה מפסיק להציג ממצאים לאותו אשכול.
אם מרכז הבקרה לא מתעדכן, ולאחרונה שיניתם את מספר עומסי העבודה ברמה העליונה באשכול, אתם יכולים ליצור בקשת תמיכה ב-Cloud Customer Care כדי לאפס את מצב מסד הנתונים.