Imagesicherheit mit Vulnerability Advisor verwalten

Vulnerability Advisor wird als Teil von IBM Cloud® Container Registry bereitgestellt. Vulnerability Advisor überprüft den Sicherheitsstatus von Container-Images, die von IBM oder anderen Anbietern bereitgestellt oder die zum Registrynamensbereich Ihrer Organisation hinzugefügt werden.

Vulnerability Advisor bietet Sicherheitsmanagement für IBM Cloud Container Registry. Vulnerability Advisor generiert einen Sicherheitsstatusbericht, der Vorschläge für Korrekturen und bewährte Verfahren enthält.

Images, die zu einem Namensbereich hinzugefügt werden, werden automatisch von Vulnerability Advisor auf Sicherheitsprobleme und Sicherheitslücken überprüft. Werden Sicherheitsprobleme ermittelt, werden Anleitungen bereitgestellt, die das Beheben der gemeldeten Probleme erleichtern.

Wenn Vulnerability Advisor Probleme findet, führt dies zu dem Urteil, dass eine Bereitstellung des betreffenden Images nicht empfehlenswert ist. Wenn Sie sich entscheiden, das Image bereitzustellen, weisen alle Container, die auf der Basis des betreffenden Images bereitgestellt werden, bekannte Probleme auf, die möglicherweise für Angriffe auf den Container genutzt werden oder den Container auf andere Weise beeinträchtigen. Das Urteil wird entsprechend den von Ihnen angegebenen Ausnahmen angepasst.

Die Behebung der von Vulnerability Advisor gemeldeten Sicherheitsprobleme kann Ihnen dabei helfen, Ihre IBM Cloud-Infrastruktur zu sichern.

Die Verwendung von „ Portieris “, um die Bereitstellung von Images zu blockieren, bei denen Probleme durch „ Vulnerability Advisor “ festgestellt wurden, ist veraltet.

Informationen zu Vulnerability Advisor

Vulnerability Advisor stellt Funktionen für den Schutz von Images bereit.

Die folgenden Funktionen sind in Version 4 verfügbar:

Scannen von Images auf Probleme.
Erstellt einen Bewertungsbericht, der auf den für IBM Cloud Kubernetes Service spezifischen Sicherheitspraktiken basiert.
Liefert in seinen Berichten Anweisungen, wie ein gemeldetes verwundbares Paket zu beheben ist.
Wendet Ausnahmerichtlinien auf Berichte auf Konto-, Namensbereichs-, Repository- oder Tag-Ebene an, um kenntlich zu machen, wenn mit Flags versehene Probleme nicht auf Ihren Anwendungsfall zutreffen.

In der Spalte Sicherheitsstatus auf der Registerkarte Images des Container Registry-Dashboards wird die Anzahl der Probleme angezeigt, die jedem Image zugeordnet sind. Wenn Sie mehr zu den Problemen erfahren möchten, klicken Sie auf den Link in der Spalte Sicherheitsstatus.

Das Vulnerability Advisor-Dashboard enthält eine Übersicht und eine Beurteilung zu der Sicherheit eines Images. Weitere Informationen zu Vulnerability Advisor finden Sie im Abschnitt Sicherheitslückenbericht für Ihr Image überprüfen.

Verschlüsselte Bilder werden von Vulnerability Advisor nicht gescannt.

Datenschutz

Für das Scannen von Images und Containern in Ihrem Konto zur Ermittlung potenzieller Sicherheitsprobleme werden von Vulnerability Advisor die folgenden Informationen erfasst, gespeichert und verarbeitet:

Unformatierte Felder, einschließlich IDs, Beschreibungen und Imagenamen (Registry, Namensbereich, Repository-Name und Image-Tag)
Metadaten zu den Dateimodi und zur Erstellung von Zeitmarken für die Konfigurationsdateien
Inhalt der System- und Anwendungskonfigurationsdateien in Images und Containern
Installierte Pakete und Bibliotheken (einschließlich der entsprechenden Versionsinformationen)

Geben Sie keine personenbezogenen Daten in Feldern oder an Positionen an, die von Vulnerability Advisor verarbeitet werden. Die betreffenden Felder und Positionen sind in der vorhergehenden Liste aufgeführt.

Die auf der Ebene des Rechenzentrums aggregierten Prüfergebnisse werden verarbeitet, um anonymisierte Metriken für den Betrieb und die Verbesserung des Services zu erstellen.

In Version 4 wird das Image beim ersten Push an Container Registry indiziert, und dieser Indexbericht wird in der Datenbank gespeichert. Bei der Abfrage von Vulnerability Advisor wird der Bildindexbericht abgerufen und eine Schwachstellenbewertung erstellt. Diese Aktion wird bei jeder Abfrage von Vulnerability Advisor dynamisch durchgeführt. Daher gibt es kein vorgeneriertes Scan-Ergebnis, das gelöscht werden muss. Der Bildindexbericht wird jedoch innerhalb von 30 Tagen nach der Löschung des Bildes aus der Registrierung gelöscht.

Typen von Sicherheitslücken

Gefährdete Pakete

Vulnerability Advisor überprüft Images, die unterstützte Betriebssysteme verwenden, auf Pakete mit potenziellen Sicherheitslücken und stellt einen Link bereit, über den relevante Sicherheitshinweise zur jeweiligen Sicherheitslücke aufgerufen werden können.

Pakete, die bekannten Probleme im Hinblick auf Sicherheitslücken aufweisen, werden in den Scanergebnissen angezeigt. Die Liste der potenziellen Sicherheitslücken wird täglich anhand der veröffentlichten Sicherheitshinweise für die Docker-Imagetypen in der nachfolgenden Tabelle aktualisiert. In der Regel wird zum Bestehen der Sicherheitsprüfung bei einem potenziell gefährdeten Paket eine neue Version des Pakets benötigt, die eine Korrektur für die Sicherheitslücke enthält. Für ein Paket können mehrere Sicherheitslücken aufgelistet werden. In diesem Fall können durch ein einzelnes Update für das Paket unter Umständen auch mehrere Probleme behoben werden.

Vulnerability Advisor zeigt nur dann Schwachstellen an, wenn der Distributor eine Korrektur des Pakets veröffentlicht hat. Gemeldete Sicherheitslücken, die noch nicht behoben sind oder nicht behoben werden sollen, werden von Vulnerability Advisor nicht gemeldet. Wenn Vulnerability Advisor also keine Schwachstellen meldet, kann das Bild dennoch ein Risiko enthalten.

Bei der Version 4 wird das Bild beim ersten Mal indiziert, wenn es veröffentlicht wird. Danach wird die Schwachstellenbewertung jedes Mal berechnet, wenn der Vulnerability Advisor zu diesem Bild abgefragt wird. Bilder werden nur gescannt, wenn sie mit einem Tag versehen sind.

Die folgenden Tabellen zeigen die unterstützten Basis-Images von Docker, die von Vulnerability Advisor auf anfällige Pakete überprüft werden.

Vulnerability Advisor unterstützt nur Releases von Plattformen, die derzeit vom Anbieter dieser Plattform unterstützt werden.

Unterstützte Docker, die von Vulnerability Advisor 4 auf verwundbare Pakete geprüft werden
Docker-Basisimage	Unterstützte Versionen	Quelle der Sicherheitshinweise
Alpine	Alle stabilen Versionen mit Unterstützung der Herstellersicherheit. Edge wird ebenfalls unterstützt.	Alpine SecDB.
Debian	Alle stabilen Versionen mit Unterstützung der Herstellersicherheit. CVEs in Binärpaketen, die mit dem Quellpaket Debian in Verbindung stehen `linux`, wie z. B. `linux-libc-dev`, werden nicht gemeldet. Bei den meisten dieser Binärpakete handelt es sich um Kernel und Kernelmodule, die nicht in Container-Images ausgeführt werden.	Debian Sicherheitsfehler-Tracker.
GoogleContainerTools stromlos	Alle stabilen Versionen mit Unterstützung der Herstellersicherheit.	GoogleContainerTools stromlos
Red Hat® Enterprise Linux® (RHEL)	RHEL/UBI 7, RHEL/UBI 8 und RHEL/UBI 9	Red Hat Sicherheitsdaten-API.
Ubuntu	Alle stabilen Versionen mit Unterstützung der Herstellersicherheit.	Ubuntu CVE-Tracker.

Wenn Sie ein Image verwenden, das auf einer Betriebssystemdistribution aus der obigen Tabelle basiert, jedoch in einer Version, die vom Anbieter nicht unterstützt wird und für die keine Sicherheits-Feed-Daten verfügbar sind, z. B. Debian 10 oder früher, meldet No issuesVulnerability Advisor möglicherweise für Ihr Image.

Konfigurationsprobleme

Konfigurationsprobleme werden in Vulnerability Advisor Version 4 nicht unterstützt.

Einstellen der Version von Vulnerability Advisor

Um die Ergebnisse von Version 4 abzurufen, führen Sie den folgenden ibmcloud cr va-version-set befehl aus. Der einzig gültige Wert ist v4.

ibmcloud cr va-version-set v4

Alternativ können Sie eine Umgebungsvariable va_version setzen und die Version des Vulnerability Advisor angeben, die Sie verwenden möchten. Der einzig gültige Wert ist v4.

Wenn Sie versuchen, eine ungültige Version von Vulnerability Advisor festzulegen, erhalten Sie einen Fehler. Informationen hierzu finden Sie im Abschnitt Warum bekomme ich einen Fehler bezüglich einer ungültigen Version von Vulnerability Advisor, die angegeben wird?.

Sicherheitslückenbericht überprüfen

Vor dem Bereitstellen eines Images können Sie sich anhand des zugehörigen Vulnerability Advisor-Berichts über Details zu Paketen mit potenziellen Sicherheitslücken und zu nicht sicheren Container- oder App-Einstellungen informieren.

Darüber hinaus können Sie prüfen, ob das Image den Richtlinien Ihrer Organisation entspricht.

Wenn Sie festgestellte Probleme nicht beheben, können diese die Sicherheit der Container beeinträchtigen, die dieses Image verwenden. Wenn Sie die Durchsetzung in Ihrer Container-Laufzeitumgebung verwenden, können Sie möglicherweise daran gehindert werden, dieses Abbild bereitzustellen, es sei denn, alle Ausgaben werden von Ihrer Richtlinie ausgenommen.

Wenn das Image nicht den Anforderungen entspricht, die durch die Richtlinie Ihrer Organisation festgelegt sind, müssen Sie das Image so konfigurieren, dass diese Anforderungen erfüllt sind, bevor Sie es bereitstellen können. Weitere Informationen zum Anzeigen und Ändern der Organisationsrichtlinie finden Sie in Ausnahmerichtlinien für Organisationen festlegen.

Sicherheitslückenbericht über die IBM Cloud-Konsole überprüfen

Sie können die Sicherheit der Docker-Images, die in Ihren Namespaces unter Container Registry gespeichert sind, mithilfe der IBM Cloud-Konsole überprüfen.

Melden Sie sich bei IBM Cloud an.
Klicken Sie auf das Symbol Navigationsmenü und dann auf Container Registry.
Klicken Sie auf Images. Eine Liste der Images und der Sicherheitsstatus der einzelnen Images werden in der Tabelle Images angezeigt.
Zeigen Sie den Bericht für das aktuelle Image (mit dem Tag latest markiert) an, indem Sie auf die Zeile für das betreffende Image klicken. Die Registerkarte mit den Imagedetails wird geöffnet und enthält die Daten für dieses Image. Enthält das Repository kein Image mit dem Tag latest, wird das neueste Image verwendet.
Wenn in der Spalte Sicherheitsstatus auf Probleme hingewiesen wird und Sie mehr über diese Probleme erfahren möchten, klicken Sie auf die Registerkarte Probleme nach Typ. Die Tabelle Sicherheitslücken wird angezeigt.
- Tabelle mit Sicherheitslücken. Diese Tabelle enthält die Schwachstellen-ID für jedes Problem, den Status der Richtlinie für dieses Problem, die betroffenen Pakete sowie Informationen zur Behebung des Problems. Erweitern Sie die Zeile, um weitere Informationen zum jeweiligen Problem anzuzeigen. Eine Zusammenfassung dieses Problems wird angezeigt, die einen Link zum Sicherheitshinweis des Anbieters für das betreffende Problem enthält. Pakete, die bekannten Probleme im Hinblick auf Sicherheitslücken aufweisen, werden aufgeführt.
  
  Die Liste wird täglich anhand der veröffentlichten Sicherheitshinweise für die unter Typen von Sicherheitslücken aufgelisteten Docker-Imagetypen aktualisiert. In der Regel wird zum Bestehen der Sicherheitsprüfung bei einem potenziell gefährdeten Paket eine neue Version des Pakets benötigt, die eine Korrektur für die Sicherheitslücke enthält. Ein und dasselbe Paket kann mehrere Sicherheitslücken enthalten, und in diesem Fall können durch ein einziges Paket-Update mehrere Probleme behoben werden. Klicken Sie auf den Code des Sicherheitshinweises, um weitere Informationen zum Paket und Schritte zur Aktualisierung des Pakets anzuzeigen.
Führen Sie die im Bericht angegebenen Maßnahmen zum Beheben der einzelnen Probleme aus und erstellen Sie das Image neu.

Sicherheitslückenbericht über die Befehlszeilenschnittstelle überprüfen

Sie können die Sicherheit von Docker-Images, die in Ihren Namespaces unter IBM Cloud Container Registry gespeichert sind, mithilfe der Befehlszeilenschnittstelle (CLI) überprüfen.

Rufen Sie eine Liste der Images in Ihrem IBM Cloud-Konto auf. Eine Liste aller Images wird zurückgegeben, unabhängig vom Namensbereich, in dem sie gespeichert sind.
```
ibmcloud cr image-list
```
Überprüfen Sie den Status in der Spalte Sicherheitsstatus.
- No Issues: Es wurden keine Sicherheitsprobleme gefunden.
- <X> Issues Die potenziellen Sicherheitsprobleme oder Schwachstellen, die festgestellt wurden; wo <X> steht für die Anzahl der Probleme.
- Scanning: Das Image wird zurzeit gescannt und der abschließende Sicherheitslückenstatus liegt nicht vor.
- Unsupported OS Bei der Überprüfung wurde keine unterstützte Betriebssystemdistribution gefunden.
Um die Details zum Status anzuzeigen, rufen Sie den Bericht Vulnerability Advisor auf, indem Sie den folgenden Befehl ausführen. Dabei steht REGION für die Region, MY_NAMESPACE für Ihren Namensraum, MY_IMAGE für Ihr Bild und TAG für Ihren Tag.
```
ibmcloud cr va REGION.icr.io/MY_NAMESPACE/MY_IMAGE:TAG
```

Ausnahmerichtlinien für Organisationen festlegen

Bei der Verwaltung der Sicherheit einer IBM Cloud-Organisation können Sie mithilfe der Richtlinieneinstellungen bestimmen, ob für ein Problem eine Ausnahme besteht.

Sie können Container von jedem Image aus bereitstellen, unabhängig vom Sicherheitsstatus.

Weitere Informationen zu den erforderlichen Berechtigungen für die Arbeit mit Ausnahmen finden Sie unter Zugriffsrollen für die Konfiguration von IBM Cloud Container Registry.

Die Verwendung von „ Portieris “, um die Bereitstellung von Images zu blockieren, bei denen Probleme durch „ Vulnerability Advisor “ festgestellt wurden, ist veraltet.

Festlegen von Ausnahmeregelungen mithilfe der IBM Cloud-Konsole

Bei Verwendung der IBM Cloud-Konsole können Sie einen Namensbereich, ein Repository oder einen Tag als Geltungsbereich (Scope) der Ausnahmerichtlinie festlegen. Wenn Sie den Digest als Geltungsbereich verwenden möchten, müssen Sie die Befehlszeilenschnittstelle (Command Line Interface, CLI) verwenden. Eine entsprechende Beschreibung finden Sie in Ausnahmerichtlinien für Organisationen über die CLI festlegen).

Wenn Sie über die IBM Cloud-Konsole Ausnahmen von der Richtlinie festlegen möchten, führen Sie die folgenden Schritte aus:

Melden Sie sich bei IBM Cloud an. Sie müssen angemeldet sein, damit Vulnerability Advisor in der IBM Cloud-Konsole angezeigt wird.
Klicken Sie auf das Symbol Navigationsmenü und dann auf Container Registry.
Klicken Sie auf Einstellungen.
Klicken Sie im Abschnitt Ausnahmen für Sicherheitsrichtlinien auf Erstellen.
Wählen Sie den Problemtyp aus.
Geben Sie die Problem-ID ein.

Diese Informationen finden Sie im Sicherheitslückenbericht. Die Spalte Schwachstellen-ID enthält die ID, die für CVE- oder Sicherheitshinweise zu verwenden ist.
Wählen Sie den Registry-Namensbereich, das Repository, das Image und den Tag aus, für die die Ausnahme gelten soll.
Klicken Sie auf Erstellen.

Sie können Ausnahmen auch bearbeiten und entfernen, indem Sie den Mauszeiger über die betreffende Zeile bewegen und auf das Symbol Optionsliste öffnen und schließen klicken.

Ausnahmerichtlinien für Organisationen über die CLI festlegen

Bei Verwendung der CLI können Sie einen Namensbereich, ein Repository, Digest oder Tag als Geltungsbereich (Scope) der Ausnahmerichtlinie festlegen.

Wenn Sie über die CLI Ausnahmen von der Richtlinie festlegen möchten, können Sie die folgenden Befehle ausführen:

Zum Erstellen einer Ausnahme für ein Sicherheitsproblem führen Sie den Befehl ibmcloud cr exemption-add aus.
Zum Auflisten Ihrer Ausnahmen für Sicherheitsprobleme führen Sie den Befehl ibmcloud cr exemption-list aus.
Zum Auflisten der Sicherheitsproblemtypen, für die eine Ausnahme festgelegt werden kann, führen Sie den Befehl ibmcloud cr exemption-types aus.
Zum Löschen einer Ausnahme für ein Sicherheitsproblem führen Sie den Befehl ibmcloud cr exemption-rm aus.

Wenn Sie weitere Informationen zu Befehlen aufrufen möchten, können Sie die Option --help bei der Ausführung des jeweiligen Befehls verwenden.