Security Center:Configure and run image security scans

Requisitos previos

• Habilitó Container Image Scan y compró suficientes autorizaciones de container image scan. Para obtener más información, consulte Enable the container image scan feature.

• Compró una instancia de Container Registry Enterprise Edition o agregó un repositorio de imágenes privado. Para obtener más información, consulte Create a Container Registry Enterprise Edition instance y Add an image repository.

  Si su instancia Enterprise está configurada para una VPC, dicha VPC debe cumplir con requisitos específicos de región y zona. Para habilitar el análisis, seleccione un vSwitch en una región y zona compatibles. Consulte la lista completa en Supported regions and zones.

Contexto

El software del sistema base, el middleware, las aplicaciones web y las bases de datos de una imagen pueden contener vulnerabilidades que comprometan sus activos, como troyanos de minería y puertas traseras.

Security Center analiza las imágenes en busca de vulnerabilidades del sistema, vulnerabilidades de aplicaciones, riesgos de línea base, muestras maliciosas, archivos confidenciales y riesgos en las instrucciones de compilación. Para obtener más información, consulte Image security features.

Uso

• Repositorios analizables: Container Registry Enterprise Edition image repositories that you created y Harbor, Quay, and GitLab image repositories that you added to Security Center.

• Alcance del análisis: De forma predeterminada, los análisis de seguridad de imágenes abarcan todos los repositorios de imágenes y los elementos de verificación. Puede configurar el alcance del análisis e incluir repositorios de imágenes específicos, elementos de verificación de línea base, una lista blanca de vulnerabilidades, una lista blanca de tipos de archivos confidenciales y una lista blanca de archivos en riesgo. Para obtener más información, consulte Step 1: Configure the image security scan scope.

• Método de análisis: Perform an immediate image security scan (manual scan) y Configure a periodic image security scan (periodic scan).

  Tanto los análisis manuales como los periódicos utilizan el alcance del análisis configurado.

• Consumo de cuota: Security Center identifica una imagen por su resumen (digest). Si el resumen de una imagen no cambia, el primer análisis consume una autorización de cuota. Los análisis posteriores de una imagen cuyo resumen cambió consumen autorizaciones adicionales.

  Antes de ejecutar un análisis de seguridad de imágenes, asegúrese de contar con suficientes autorizaciones de Container Image Scan. Para obtener más información, consulte Enable the Container Image Scan service.

• Duración del análisis: Para garantizar la estabilidad de las tareas de análisis, Security Center establece un tiempo de espera de 4 horas para cada tarea de análisis de imágenes. Este valor no se puede modificar. Una tarea de análisis caduca después de 4 horas y se detiene, incluso si no terminó de analizar todos los repositorios de imágenes especificados.

  Nota

  Para mejorar la eficiencia del análisis, especifique los repositorios de imágenes de destino antes de iniciarlo. En el caso de los repositorios de imágenes de Harbor, también puede configurar un Speed Limit. Para obtener más información, consulte la sección Gestionar repositorios de imágenes de este tema.

Paso 1: Configurar el alcance del análisis de imágenes

El alcance del análisis configurado aplica tanto para los análisis manuales como para los periódicos.

1. Inicie sesión en la consola de Security Center. En el panel de navegación izquierdo, elija Protection Configuration > Container Protection > Container Image Scan. En la esquina superior izquierda de la consola, seleccione la región donde se encuentran los activos que desea proteger: Chinese Mainland o Outside Chinese Mainland.

2. En la esquina superior derecha de la página Container Image Scan, haga clic en Scan Settings.

3. Haga clic en una pestaña de función para configurar el alcance de la tarea de análisis de imágenes.

   Parámetros de análisis

   Parámetro	Descripción
   Consumed Quota/Purchased Quota	Muestra la cuota utilizada y la cuota comprada para los análisis de imágenes de contenedor. Si su cuota es baja, haga clic en Scale Out para comprar más.
   Scan Cycle	Seleccione una frecuencia para los análisis de imágenes de contenedor. Este parámetro solo aplica a los análisis periódicos.
   Scan Scope	Especifique los repositorios de imágenes que desea analizar. Siga estos pasos: Haga clic en Management, a la derecha de Scan Scope. En el cuadro de diálogo Image Management, active las casillas de los repositorios de imágenes que desea analizar. De forma predeterminada, la opción Automatically Adds New Image Repositories for Scan está habilitada en la esquina superior derecha de la lista de repositorios. Esto significa que, si se agregan nuevos repositorios de imágenes, se incluyen automáticamente en el alcance del análisis para los análisis periódicos. Haga clic en el interruptor para deshabilitar esta función. Haga clic en Confirm.
   Scan Time Range	Seleccione un intervalo de tiempo para el análisis de vulnerabilidades de imágenes. Importante El intervalo de tiempo del análisis se determina según la hora de actualización local de una imagen. Si la hora de actualización no está disponible, se utiliza la hora de creación local de la imagen. Este intervalo define si una imagen se analiza o no. Por ejemplo, si establece el intervalo de tiempo del análisis en Last 7 Days, Security Center analiza las imágenes actualizadas durante los últimos 7 días. Si hay una hora de actualización disponible, pero la imagen se actualizó por última vez hace más de 7 días, el análisis finaliza correctamente, aunque reporta cero imágenes analizadas. Si no hay una hora de actualización disponible y la imagen se creó hace más de 7 días, la imagen no se analiza.
   Vulnerability Retention Period	Especifique el periodo de retención de los resultados de los análisis de vulnerabilidades periódicos. Security Center elimina automáticamente los resultados de análisis anteriores al periodo de retención.

   Repositorios de imágenes

   Haga clic en la pestaña Image Repository para consultar la lista de instancias de Container Registry Enterprise Edition analizables (tipo de repositorio: acr) y los repositorios de imágenes privados conectados (tipos de repositorio: harbor, quay, gitlab y otros).

   Nota

   • Security Center sincroniza automáticamente las instancias de Container Registry Enterprise Edition de su cuenta de Alibaba Cloud con la lista de repositorios de imágenes. No es posible quitar instancias de Container Registry Enterprise Edition de esta lista.

   • Haga clic en Task Management en la esquina superior derecha de la página Container Image Scan y vaya a las pestañas Container Asset Synchronization y Synchronize Image Asset para consultar el progreso y el estado de la sincronización de activos.

   • Para analizar un repositorio de imágenes privado que no aparece en la lista, haga clic en Add Image Repository y conecte su repositorio de imágenes privado. Para obtener más información, consulte Connect an image repository.

   • Para eliminar un repositorio de imágenes privado de la lista de análisis, haga clic en Remove en su columna Actions y luego haga clic en Confirm en el mensaje de confirmación.

     Nota

     Los dos repositorios de imágenes predeterminados de la lista (tipos de repositorio: acr y defaultAcr) no se pueden eliminar.

   • En un repositorio de imágenes de tipo harbor, haga clic en Edit en la columna Actions para configurar el Speed Limit del análisis de imágenes y mejorar su eficiencia. La limitación de velocidad define la cantidad de imágenes que se pueden analizar por hora. El valor predeterminado es 10.

     Por ejemplo, suponga que un repositorio de imágenes de harbor contiene 200 imágenes. Si utiliza la configuración de limitación de velocidad predeterminada, el análisis tarda 20 horas en completarse. Sin embargo, el tiempo de espera global de cada tarea de análisis es de 4 horas, lo que impide analizar todas las imágenes. Si establece el valor de limitación en 200, el análisis se completa en solo 1 hora. Configure este parámetro según sus necesidades de negocio y las condiciones de la red.

   Análisis de línea base de imágenes

   Al configurar los análisis de vulnerabilidades de imágenes, también puede definir los elementos de verificación para el análisis de línea base.

   1. En el panel Scan Settings, haga clic en la pestaña Baseline Configuration Management.

   2. Haga clic en Management, a la derecha de Scan Scope.

   3. En el panel Baseline Check Scope, seleccione las líneas base que desea verificar y haga clic en OK.

      Importante

      Las verificaciones de línea base AccessKey Stored in Plaintext y Password Leak del panel Baseline Check Scope corresponden a AccessKey Leak Detection y Password Leak Detection, respectivamente. Si selecciona las líneas base AccessKey Stored in Plaintext y Password Leak en el panel Baseline Check Scope, los interruptores de AccessKey Leak Detection y Password Leak Detection dentro de Baseline Configuration Management se habilitan automáticamente. No es necesario configurarlos de nuevo. También puede usar los interruptores junto a AccessKey Leak Detection y Password Leak Detection para habilitar o deshabilitar rápidamente estas dos líneas base.

   Una vez completada la configuración, Security Center verifica las configuraciones de línea base de sus imágenes durante una operación de Scan Now o en un análisis periódico programado.

   Análisis de imágenes en tiempo de ejecución

   La función de análisis de imágenes del entorno de ejecución de contenedores le ayuda a detectar riesgos de seguridad en dicho entorno.

   Importante

   El análisis de imágenes del entorno de ejecución de contenedores solo admite análisis manuales, no periódicos.

   1. Inicie sesión en la consola de Security Center. En el panel de navegación izquierdo, elija Protection Configuration > Container Protection > Container Image Scan. En la esquina superior izquierda de la consola, seleccione la región donde se encuentran los activos que desea proteger: Chinese Mainland o Outside Chinese Mainland.

   2. En la esquina superior derecha de la página, haga clic en Scan Settings.

   3. En el panel Scan Settings, haga clic en la pestaña Container Runtime Image Scan.

   4. Haga clic en Configure Scan Scope. En el cuadro de diálogo que aparece, seleccione el clúster y las aplicaciones que desea analizar, y luego haga clic en Confirm.

   5. Haga clic en Scan Now.

   Consulte el progreso del análisis en la pestaña Container Runtime Image Scan del panel Tasks. Cuando termine el análisis, revise las vulnerabilidades detectadas en la pestaña Image Vulnerability de la página Container Image Scan.

   Análisis de archivos confidenciales

   La función de análisis de archivos confidenciales en imágenes detecta datos sensibles dentro de sus archivos de imagen, tanto en tipos de archivo comunes como personalizados. Entre los ejemplos de datos confidenciales se incluyen configuraciones de aplicaciones, certificados y claves genéricos, credenciales de autenticación y credenciales de proveedores de servicios en la nube. Atender oportunamente los datos confidenciales detectados mejora la seguridad del entorno de ejecución de sus imágenes.

   Importante

   Esta función solo admite el análisis estático de imágenes, no la detección en tiempo de ejecución.

   1. En el panel Scan Settings, haga clic en la pestaña Sensitive File Scan Settings.

   2. Haga clic en Management, a la derecha de Scope.

   3. En el panel Sensitive File Scan Settings, seleccione los elementos de verificación que desea analizar.

   4. Active o desactive el interruptor de detección de archivos confidenciales.

      Si habilita esta función, también se ejecuta un análisis de archivos confidenciales durante una operación de Scan Now o en un análisis periódico programado.

   Lista blanca de archivos en riesgo

   Si no desea recibir alertas sobre riesgos relacionados con archivos de imagen confidenciales, instrucciones de compilación de imágenes o muestras de imágenes maliciosas, agregue los tipos de alerta correspondientes a una lista blanca. El sistema no detecta los riesgos incluidos en dicha lista.

   Nota

   • La lista blanca de archivos en riesgo muestra los tipos de alerta y los repositorios de imágenes agregados a la lista blanca desde las listas Malicious Image Sample, Sensitive Image File y Image Build Command Risks. Para obtener más información, consulte Remediate image scan risks.

   • Debe ejecutar un análisis como mínimo una vez antes de poder configurar la lista blanca de archivos en riesgo.

   1. En el panel Scan Settings, haga clic en la pestaña Configure Whitelist for At-risk Files.

   2. Configure la lista blanca de archivos en riesgo.

      • Edite una regla de lista blanca: en la pestaña Sensitive File, Container Build o Malicious Sample, busque el tipo de alerta de destino, haga clic en Edit en la columna Actions y seleccione un alcance de regla: All Image Repositories o Current Image Repository Only (seleccione los repositorios de imágenes que desea agregar a la lista blanca).

      • Elimine una regla de lista blanca: en la pestaña Sensitive File, Container Build o Malicious Sample, busque el tipo de alerta de destino y haga clic en Delete en la columna Actions para eliminar la regla. Después de eliminar una regla de la lista blanca, Security Center vuelve a detectar los riesgos relacionados y a generar alertas.

   Corrección de imágenes

   Security Center admite la corrección automática de vulnerabilidades del sistema en los repositorios de imágenes de Container Registry Enterprise Edition. Puede habilitar la corrección automática y configurar parámetros como el periodo y el alcance de corrección.

   1. En el panel Scan Settings, haga clic en la pestaña Image Risk Fixing Configuration.

   2. Haga clic en el interruptor Fixing Configuration para habilitar o deshabilitar la corrección automática.

   3. Si habilita esta función, puede configurar el Fixing Period, el Fixing Scope (repositorios de imágenes de Container Registry Enterprise Edition) y el Time Range (se corrigen las imágenes actualizadas dentro del intervalo de tiempo especificado).

      Importante

      El intervalo de tiempo de corrección se determina según la hora de actualización de una imagen. Si la hora de actualización no está disponible, se utiliza la hora de creación de la imagen. Este intervalo define si una imagen se corrige o no. Por ejemplo, si establece el intervalo de tiempo en Last 7 Days, Security Center corrige las imágenes actualizadas durante los últimos 7 días. Las imágenes actualizadas hace más de 7 días no se corrigen.

      Después de ejecutar la operación Scan Now o de que se ejecute un análisis periódico configurado, las vulnerabilidades del sistema en la imagen de destino se identifican y corrigen regularmente según el ciclo de remediación que estableció.

      Haga clic en Task Management en la esquina superior derecha de la página Container Image Scan y vaya a la pestaña Image Risk Fixing del panel Task Management para consultar el estado de corrección de las vulnerabilidades del sistema en las imágenes.

   Lista blanca de vulnerabilidades

   Si no necesita analizar una vulnerabilidad de imagen específica, agréguela a una lista blanca. El sistema no detecta las vulnerabilidades incluidas en dicha lista.

   1. En el panel Scan Settings, haga clic en la pestaña Vulnerability Whitelist Settings.

   2. Configure la lista blanca de vulnerabilidades.

      • Cree una regla: haga clic en Create Rule para agregar reglas de lista blanca personalizadas para distintos tipos de vulnerabilidades.

      • Edite una regla: busque la regla que desea editar, haga clic en Edit en la columna Actions y modifique los campos Applied Assets, Select Image y Description de la regla.

      • Elimine una regla: busque la regla que desea eliminar y haga clic en Delete en la columna Actions. Después de eliminar una regla, Security Center vuelve a detectar la vulnerabilidad correspondiente y a generar alertas.

4. Haga clic en el ícono de cierre en la esquina superior derecha del panel para cerrar el panel Scan Settings.

Paso 2: Ejecutar un análisis de imágenes de contenedor

Una vez configurado el alcance del análisis, tanto los análisis manuales como los periódicos se ejecutan según los ajustes del panel Scan Settings.

Paso 3: Consultar el progreso y el estado del análisis de imágenes

1. En la esquina superior derecha de la página Container Image Scan, haga clic en Task Management.

2. En el panel Task Management, haga clic en la pestaña Image Scan.

3. Haga clic en Details en la columna Actions para consultar el registro de ejecución de la tarea.

   Por ejemplo, en una tarea con errores, puede identificar la imagen problemática y la causa del fallo.

A continuación

Después de ejecutar un análisis de seguridad de imágenes, puede consultar los resultados. Para obtener más información, consulte View and handle detected image risks.

Apéndice