Avaliação de vulnerabilidades para Azure através da plataforma Gerenciamento de Vulnerabilidades do Microsoft Defender

A avaliação de vulnerabilidades para o Azure, da plataforma de Gerenciamento de Vulnerabilidades do Microsoft Defender, é uma solução pronta para uso que capacita as equipes de segurança a descobrir e corrigir facilmente vulnerabilidades em imagens de contêineres, com configuração zero para integração e sem implantação de agentes.

Em todas as assinaturas em que essa funcionalidade está habilitada, todas as imagens armazenadas no ACR que atendem aos critérios para disparos de verificação são verificadas quanto a vulnerabilidades sem nenhuma configuração extra de usuários ou registros. Recomendações com relatórios de vulnerabilidade são fornecidas para todas as imagens no ACR, bem como para as imagens atualmente em execução no AKS que foram efetuadas a partir de um registro do ACR ou de qualquer outro registro com suporte do Defender para Nuvem (ECR, GCR ou GAR). As imagens são verificadas logo após serem adicionadas a um registro e verificadas novamente em busca de novas vulnerabilidades uma vez a cada 24 horas.

A avaliação de vulnerabilidades de contêiner do Gerenciamento de Vulnerabilidades do Microsoft Defender tem os seguintes recursos:

• Verificação de pacotes de SO: a avaliação de vulnerabilidades de contêiner tem a capacidade de verificação de vulnerabilidades em pacotes instalados pelo gerenciador de pacotes do Windows e do Linux. Confira a lista completa do sistema operacional compatível e suas versões.
• Pacotes específicos do idioma - Somente Linux - suporte para pacotes e arquivos específicos do idioma e suas dependências instaladas ou copiadas sem o gerenciador de pacotes do sistema operacional. Veja a lista completa de idiomas compatíveis.
• Verificação de imagem em Link Privado do Azure – A avaliação de vulnerabilidades de contêiner do Azure fornece a capacidade de verificar imagens nos registros de contêiner acessíveis por meio de Links Privados do Azure. Essa funcionalidade requer acesso a serviços confiáveis e autenticação com o registro. Saiba como permitir o acesso através de serviços confiáveis .
• Informações de exploração – cada relatório de vulnerabilidade é pesquisado por meio de bancos de dados de exploração para ajudar nossos clientes a determinar o risco real associado a cada vulnerabilidade relatada.
• Relatando: a avaliação de vulnerabilidades de contêineres para o Azure, da plataforma de Gerenciamento de Vulnerabilidades do Microsoft Defender, fornece relatórios de vulnerabilidade usando as seguintes recomendações:

Essas são as novas recomendações de visualização que relatam vulnerabilidades de contêiner de tempo de execução e vulnerabilidades de imagem de registro. Essas novas recomendações não contam para a pontuação de segurança durante a versão prévia. O mecanismo de varredura para essas novas recomendações é o mesmo das recomendações atuais do GA e fornece as mesmas descobertas. Essas recomendações seriam mais adequadas para clientes que usam a nova visualização baseada em risco para recomendações e têm o plano Defender CSPM habilitado.

Essas recomendações atuais do GA relatam vulnerabilidades em contêineres contidos em um cluster do Kubernetes e em imagens de contêineres contidas em um registro de contêiner. Essas recomendações seriam mais adequadas para clientes que usam a exibição clássica para recomendações e não têm o plano Defender CSPM habilitado.

• Consultar informações de vulnerabilidade usando o Azure Resource Graph – Capacidade de consultar informações de vulnerabilidade usando o Azure Resource Graph. Saiba como consultar recomendações por meio do ARG.
• Consultar os resultados da verificação por meio da API REST – Saiba como consultar os resultados da verificação por meio da API REST.
• Suporte para isenções – saiba como criar regras de isenção para um grupo de gerenciamento, um grupo de recursos ou uma assinatura.
• Suporte para desabilitar vulnerabilidades: aprenda a desabilitar vulnerabilidades em imagens.

Gatilhos de verificação

Os gatilhos para uma verificação de imagem são:

• Gatilho único:

  • Cada imagem enviada por push ou importada para um registro de contêiner é disparada para verificação. Na maioria dos casos, a verificação é concluída em alguns minutos, mas, em casos raros, pode levar até uma hora.
  • Cada imagem extraída de um registro é disparada para ser verificada dentro de 24 horas.

• Gatilho de novo exame contínuo :o novo exame contínuo é necessário para garantir que as imagens verificadas anteriormente em busca de vulnerabilidades sejam verificadas novamente para atualizar os relatórios de vulnerabilidade, caso uma nova vulnerabilidade seja publicada.

  • O novo exame é realizado uma vez por dia para:
    • Imagens enviadas por push nos últimos 90 dias.
    • Imagens extraídas nos últimos 30 dias.
    • Imagens atualmente em execução nos clusters do Kubernetes monitorados pelo Defender para Nuvem (por meio da Descoberta sem agente para Kubernetes ou do sensor do Defender).

Como funciona a verificação de imagem?

Uma descrição detalhada do processo é a seguinte:

• Ao habilitar a avaliação de vulnerabilidades de contêineres para o Azure da plataforma de Gerenciamento de Vulnerabilidades do Microsoft Defender, você permite que o Defender para Nuvem verifique as imagens de contêineres em seus Registros de Contêineres da Microsoft.

• O Defender para Nuvem descobre automaticamente todos os registros, repositórios e imagens de contêineres (criados antes ou depois de habilitar o plano).

• O Defender para Nuvem recebe notificações sempre que uma nova imagem é enviada por push para um Registro de Contêiner do Azure. Em seguida, a nova imagem é adicionada imediatamente ao catálogo de imagens mantidas pelo Defender para Nuvem e enfileira uma ação para examinar a imagem imediatamente.

• Uma vez por dia e para novas imagens enviadas por push para um registro:

  • É efetuado pull de todas as imagens recém-descobertas, e um inventário é criado para cada imagem. O inventário de imagens é mantido para evitar pulls de imagem adicionais, a menos que isso seja exigido por novos recursos de scanner.​
  • Usando o inventário, os relatórios de vulnerabilidade são gerados para novas imagens e atualizados para imagens verificadas anteriormente que foram enviadas por push nos últimos 90 dias para um registro ou estão em execução no momento. Para determinar se uma imagem está atualmente em execução, o Defender para Nuvem usa tanto a Descoberta sem agente para Kubernetes quanto o inventário coletado por meio do sensor do Defender em execução nos nós do AKS
  • Os relatórios de vulnerabilidade para imagens de contêiner do registro são fornecidos como uma recomendação.

• Para os clientes que usam a Descoberta sem agente para Kubernetes ou o inventário coletado por meio do sensor do Defender em execução nos nós do AKS, o Defender para Nuvem também cria uma recomendação para corrigir as vulnerabilidades de imagens vulneráveis em execução em um cluster do AKS. Para clientes que usam apenas Descoberta sem agente para Kubernetes, o tempo de atualização para inventário nessa recomendação é de uma vez a cada sete horas. Os clusters que também estão executando o sensor do Defender se beneficiam de uma frequência de atualização de inventário a cada duas horas. Os resultados da verificação de imagem são atualizados com base na verificação do registro em ambos os casos e, portanto, atualizados apenas a cada 24 horas.

Se eu remover uma imagem do meu registro, quanto tempo até que os relatórios de vulnerabilidades nessa imagem sejam removidos?

Os Registros de Contêiner do Azure notificam o Defender para Nuvem quando as imagens são excluídas e removem a avaliação de vulnerabilidade para imagens excluídas dentro de uma hora. Em alguns casos raros, o Defender para Nuvem pode não ser notificado sobre a exclusão, mas a exclusão das vulnerabilidades associadas nesses casos pode levar até três dias.

Próximas etapas

• Saiba mais sobre o Defender para Nuvem Planos do Defender.
• Confira as perguntas comuns sobre o Defender para contêineres.