Оценки уязвимостей для AWS с Управление уязвимостями Microsoft Defender

Оценка уязвимостей для AWS, на основе Управление уязвимостями Microsoft Defender, — это встроенное решение, которое позволяет командам безопасности легко обнаруживать и устранять уязвимости в образах контейнеров Linux с нулевой конфигурацией для подключения и без развертывания датчиков.

В каждой учетной записи, в которой включена эта возможность, все образы, хранящиеся в ECR, которые соответствуют критериям триггеров сканирования, проверяются на наличие уязвимостей без дополнительной настройки пользователей или реестров. Рекомендации с отчетами об уязвимостях предоставляются для всех образов в ECR, а также образов, которые в настоящее время выполняются в EKS, которые были извлечены из реестра ECR или любого другого Defender для облака поддерживаемого реестра (ACR, GCR или GAR). Образы сканируются вскоре после добавления в реестр и повторно сканируются для новых уязвимостей каждые 24 часа.

Оценка уязвимостей контейнера, реализованная Управление уязвимостями Microsoft Defender, имеет следующие возможности:

• Сканирование пакетов ОС — оценка уязвимостей контейнера имеет возможность проверять уязвимости в пакетах, установленных диспетчером пакетов ОС в операционных системах Linux и Windows. Полный список поддерживаемых ОС и их версий.

• Языковые пакеты — только Linux — поддержка языковых пакетов и файлов, а также их зависимостей, установленных или скопированных без диспетчера пакетов ОС. Полный список поддерживаемых языков.

• Сведения об эксплойтируемости. Каждый отчет об уязвимостях выполняется поиск по базам данных эксплойтируемости, чтобы помочь нашим клиентам определить фактический риск, связанный с каждой сообщаемой уязвимостью.

• Отчеты. Оценка уязвимостей контейнеров для AWS с помощью Управление уязвимостями Microsoft Defender предоставляет отчеты об уязвимостях с помощью следующих рекомендаций:

Это новые рекомендации предварительной версии, которые сообщают об уязвимостях контейнера среды выполнения и уязвимостях образа реестра. Эти новые рекомендации не учитываются в отношении оценки безопасности во время предварительной версии. Модуль сканирования для этих новых рекомендаций совпадает с текущими рекомендациями по общедоступной версии и предоставляет те же результаты. Эти рекомендации лучше всего подходят для клиентов, использующих новое представление на основе рисков для рекомендаций и включенный план CSPM Defender.

Эти текущие рекомендации по общедоступной версии сообщают об уязвимостях в контейнерах, содержащихся в кластере Kubernetes, и на образах контейнеров, содержащихся в реестре контейнеров. Эти рекомендации лучше всего подходят для клиентов, использующих классическое представление рекомендаций и не включающих план CSPM Defender.

• Запрос сведений об уязвимостях с помощью Графа ресурсов Azure — возможность запрашивать сведения об уязвимостях с помощью Azure Resource Graph. Узнайте, как запрашивать рекомендации с помощью ARG.

• Результаты сканирования запросов с помощью REST API — узнайте, как запрашивать результаты сканирования с помощью REST API.

Триггеры сканирования

Триггеры для сканирования изображений:

• Одноразовая активация:

  • Каждый образ, отправленный в реестр контейнеров, активируется для проверки. В большинстве случаев сканирование завершается в течение нескольких часов, но в редких случаях может занять до 24 часов.
  • Каждый образ, извлекаемый из реестра, активируется для проверки в течение 24 часов.

• Активация непрерывного повторного сканирования — для обеспечения повторного сканирования образов, которые ранее были проверены на наличие уязвимостей, повторно сканируются, чтобы обновить отчеты об уязвимостях в случае публикации новой уязвимости.

  • Повторная проверка выполняется один раз в день:
    • Изображения, отправленные за последние 90 дней.
    • Изображения извлеклись за последние 30 дней.
    • Образы, работающие в кластерах Kubernetes, отслеживаемые Defender для облака (с помощью обнаружения без агента для Kubernetes или датчика Defender).

Как работает сканирование изображений?

Подробное описание процесса сканирования описано следующим образом:

• При включении оценки уязвимостей контейнера для AWS с помощью Управление уязвимостями Microsoft Defender вы авторизуете Defender для облака для сканирования образов контейнеров в реестрах эластичных контейнеров.

• Defender для облака автоматически обнаруживает все реестры контейнеров, репозитории и образы (созданные до или после включения этой возможности).

• Один раз в день и для новых образов, отправленных в реестр:

  • Все недавно обнаруженные изображения извлекаются, и для каждого образа создается инвентаризация. Инвентаризация изображений сохраняется, чтобы избежать дальнейшего извлечения изображений, если не требуется новых возможностей сканера.
  • С помощью инвентаризации отчеты об уязвимостях создаются для новых образов и обновляются для ранее сканированных образов, которые были отправлены за последние 90 дней в реестр или в настоящее время выполняются. Чтобы определить, запущен ли образ, Defender для облака использует обнаружение без агента для Kubernetes и инвентаризации, собранные с помощью датчика Defender, работающего на узлах EKS.
  • Отчеты об уязвимостях для образов контейнеров реестра предоставляются в качестве рекомендации.

• Для клиентов, использующих обнаружение без агента для Kubernetes или инвентаризации, собранных с помощью датчика Defender, работающего на узлах EKS, Defender для облака также создает рекомендацию по устранению уязвимостей для уязвимых образов, работающих в кластере EKS. Для клиентов, использующих только обнаружение без агента для Kubernetes, время обновления для инвентаризации в этой рекомендации составляет каждые семь часов. Кластеры, которые также работают с датчиком Defender, получают преимущества от двухчасовой частоты обновления инвентаризации. Результаты сканирования изображений обновляются на основе сканирования реестра в обоих случаях и поэтому обновляются только каждые 24 часа.

Если удалить образ из реестра, как долго до того, как будут удалены отчеты об уязвимостях на этом образе?

До удаления отчетов требуется 30 часов после удаления образа из ECR.

Следующие шаги

• Дополнительные сведения о планах Defender для облака Defender.
• Ознакомьтесь с общими вопросами о Defender для контейнеров.