Évaluations des vulnérabilités pour Azure avec Gestion des vulnérabilités Microsoft Defender

L’évaluation des vulnérabilités pour Azure, avec la Gestion des vulnérabilités de Microsoft Defender, est une solution prête à l’emploi qui permet aux équipes de sécurité de découvrir et de corriger facilement des vulnérabilités dans des images conteneur, sans aucune configuration pour l’intégration ni aucun déploiement d’agents.

Dans chaque abonnement où cette fonctionnalité est activée, toutes les images stockées dans ACR qui répondent aux critères relatifs aux déclencheurs d’analyse sont analysées à la recherche de vulnérabilités, sans aucune configuration supplémentaire d’utilisateurs ou de registres. Des recommandations assorties de rapports de vulnérabilité sont fournies pour toutes les images dans ACR, ainsi que pour les images en cours d’exécution dans AKS qui ont été extraites d’un registre ACR ou de tout autre registre pris en charge par Defender pour le cloud (ECR, GCR ou GAR). Les images sont analysées peu de temps après leur ajout à un registre, puis réanalysées à la recherche de nouvelles vulnérabilités toutes les 24 heures.

L’évaluation des vulnérabilités des conteneurs optimisée par la Gestion des vulnérabilités de Microsoft Defender offre les fonctionnalités suivantes :

• Analyse des packages de système d’exploitation : l’évaluation des vulnérabilités des conteneurs permet d’analyser les vulnérabilités dans les packages installés par le gestionnaire de package de système d’exploitation dans les systèmes d’exploitation Linux et Windows. Consultez la liste complète du système d’exploitation pris en charge et de leurs versions.
• Packages spécifiques à la langue : Linux uniquement : prise en charge des packages et fichiers spécifiques à la langue, ainsi que de leurs dépendances installées ou copiées sans le gestionnaire de package de système d’exploitation. Consultez la liste complète des langues prises en charge.
• Analyse des images dans Azure Private Link : l’évaluation des vulnérabilités des conteneurs Azure offre la possibilité d’analyser des images dans des registres de conteneurs accessibles via Azure Private Links. Cette fonctionnalité nécessite l’accès aux services approuvés et l’authentification auprès du registre. Apprenez comment autoriser l’accès par des services approuvés.
• Informations sur l’exploitabilité : Chaque rapport de vulnérabilité fait l’objet d’une recherche dans les bases de données d’exploitabilité pour aider nos clients à déterminer le risque réel associé à chaque vulnérabilité signalée.
• Rapports : l’évaluation des vulnérabilités de conteneurs pour Azure avec la Gestion des vulnérabilités de Microsoft Defender fournit des rapports de vulnérabilité en utilisant les recommandations suivantes :

Voici les nouvelles recommandations en préversion qui signalent les vulnérabilités des conteneurs d’exécution et les vulnérabilités des images du registre. Ces nouvelles recommandations ne sont pas comptabilisées dans le cadre du niveau de sécurité lors de la préversion. Le moteur d’analyse de ces nouvelles recommandations est le même que les recommandations en disponibilité générale actuelles et fournit les mêmes résultats. Ces recommandations conviennent mieux aux clients qui utilisent la nouvelle vue basée sur les risques pour les recommandations et qui on le plan CSPM Defender activé.

Ces recommandations actuellement en disponibilité générale signalent les vulnérabilités dans les conteneurs contenus dans un cluster Kubernetes et sur les images conteneur contenues dans un registre de conteneurs. Ces recommandations conviennent mieux aux clients qui utilisent la vue classique pour les recommandations et dont le plan CSPM Defender n’est pas activé.

• Interroger les informations de vulnérabilité via Azure Resource Graph : possibilité d’interroger les informations de vulnérabilité via le Azure Resource Graph. Découvrez comment interroger des recommandations via ARG.
• Résultats de l’analyse de requête via l’API REST : Découvrez comment interroger les résultats de l’analyse via API REST.
• Prise en charge des exemptions : Découvrez comment créer des règles d’exemption pour un groupe d’administration, un groupe de ressources ou un abonnement.
• Support pour la désactivation des vulnérabilités – : découvrez comment désactiver des vulnérabilités sur des images.

Analysez des déclencheurs

Les déclencheurs d’une analyse d’image sont les suivants :

• Déclenchement unique :

  • Chaque image envoyée ou importée à un registre de conteneurs est déclenchée pour être analysée. Dans la plupart des cas, l’analyse est effectuée en quelques minutes, mais dans de rares cas, elle peut prendre jusqu’à une heure.
  • Chaque image tirée (pulled) d’un registre est déclenchée pour être analysée dans les 24 heures.

• Déclenchement d’une nouvelle analyse continue : une nouvelle analyse continue est nécessaire pour garantir que les images qui ont été précédemment analysées pour la recherche de vulnérabilités et sont réanalysées pour mettre à jour leurs rapports de vulnérabilité en cas de publication d’une nouvelle vulnérabilité.

  • Une nouvelle analyse est effectuée une fois par jour pour :
    • Images envoyées au cours des 90 derniers jours.
    • Images tirées (pulled) au cours des 30 derniers jours.
    • Images en cours d’exécution sur les clusters Kubernetes surveillés par Defender pour le cloud (via la Détection sans agent pour Kubernetes ou le capteur Defender).

Comment fonctionne l’analyse des images ?

Une description détaillée du processus d’analyse est la suivante :

• Lorsque vous activez l’évaluation des vulnérabilités de conteneurs pour Azure avec la Gestion des vulnérabilités de Microsoft Defender, vous autorisez Defender pour le cloud à analyser les images conteneur dans vos registres de conteneurs Azure.

• Defender pour le cloud découvre automatiquement tous les registres, référentiels et images de conteneurs (créés avant ou après l’activation de la capacité).

• Defender pour le cloud reçoit des notifications chaque fois qu’une nouvelle image est envoyée (push) à un registre de conteneurs Azure. La nouvelle image est ensuite immédiatement ajoutée au catalogue d’images que Defender pour le cloud gère et met en file d’attente une action pour analyser l’image immédiatement.

• Une fois par jour, et pour les nouvelles images envoyées à un registre :

  • Toutes les images nouvellement découvertes sont extraites et un inventaire est créé pour chaque image. L’inventaire des images est conservé pour éviter d’autres extractions d’images, sauf si cela est requis par les nouvelles fonctionnalités du scanneur.
  • À l’aide de l’inventaire, des rapports de vulnérabilité sont générés pour les nouvelles images et mis à jour pour les images précédemment analysées qui ont été envoyées à un registre au cours des 90 derniers jours ou qui sont en cours d’exécution. Pour déterminer si une image est en cours d’exécution, Defender pour le cloud utilise à la fois la Détection sans agent pour Kubernetes et l’inventaire collecté via le capteur Defender s’exécutant sur des nœuds AKS
  • Les rapports de vulnérabilité pour des images conteneurs de registre sont fournis à titre de recommandation.

• Pour les clients utilisant la Détection sans agent pour Kubernetes ou un inventaire collecté via le capteur Defender s’exécutant sur des nœuds AKS, Defender pour le cloud crée également une recommandation afin de corriger les vulnérabilités liées aux images vulnérables s’exécutant sur un cluster AKS. Pour les clients qui utilisent uniquement la Détection sans agent pour Kubernetes, l’heure d’actualisation de l’inventaire dans cette recommandation est une fois toutes les sept heures. Les clusters qui exécutent également le capteur Defender bénéficient d’un taux d’actualisation de l’inventaire de deux heures. Les résultats de l’analyse d’image sont mis à jour en fonction de l’analyse du registre dans les deux cas et ne sont donc actualisés que toutes les 24 heures.

Si je supprime une image de mon registre, le temps restant avant la suppression des rapports de vulnérabilités sur cette image ?

Azure Defender pour des registres de conteneurs avertit Defender pour le cloud lorsque des images sont supprimées et supprime l’évaluation des vulnérabilités pour des images supprimées dans un délai d’une heure. Dans de rares cas, il est possible que Defender pour le cloud ne soit pas averti de la suppression. Dans de tels cas, la suppression des vulnérabilités associées peut prendre jusqu’à trois jours.

Étapes suivantes

• En savoir plus sur les plans Defender pour le cloud.
• Consultez les questions courantes sur Defender pour les conteneurs.