Security Center:Afficher et gérer les risques détectés dans les images

Prérequis

Une analyse d'image a été effectuée. Pour plus d'informations, consultez la rubrique Configurer et exécuter des analyses de sécurité pour les images.

Contexte

La fonctionnalité d'analyse d'images de conteneur identifie les vulnérabilités système, les vulnérabilités applicatives, les risques de configuration de base, les échantillons malveillants et les fichiers sensibles au sein des images. Seules certaines vulnérabilités système peuvent être corrigées automatiquement. Pour les autres types de risques, nous vous recommandons d'utiliser les commandes de correction, les descriptions d'impact ou les chemins d'accès aux fichiers malveillants fournis par Security Center afin de traiter rapidement les risques de sécurité affectant vos images.

Consulter les statistiques de risque

Security Center vous permet de visualiser le nombre d'images classées selon leur niveau de risque (élevé, moyen ou faible), ainsi que le nombre d'images analysées et non analysées. Ces indicateurs facilitent l'identification rapide des images présentant des risques de sécurité.

1. Connectez-vous à console Security Center.

2. Dans le volet de navigation de gauche, sélectionnez Protection Configuration > Container Protection > Container Image Scan. Dans le coin supérieur gauche de la console, choisissez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

3. Dans la partie supérieure de la page Container Image Scan, consultez les statistiques suivantes.

   • Nombre d'images classées par niveau de risque (élevé, moyen ou faible)

     Cliquez sur le chiffre affiché sous High-risk Image, Medium-risk Image ou Low-risk Image pour accéder à la page Container et afficher les détails des ressources concernées.

   • Nombre d'images analysées et non analysées

     Cliquez sur le chiffre indiqué sous Scanned Images ou Unscanned Image pour afficher la liste des images dans le panneau Scanned Images ou Unscanned Images.

     Important

     Les images non analysées incluent celles qui n'ont jamais fait l'objet d'une analyse ainsi que celles dont l'analyse a échoué.

   • Quota Container Image Scan

     Si le quota restant est insuffisant, cliquez sur Add Authorization pour acheter davantage de quotas Container Image Scan depuis la page d'achat.

Afficher les résultats de l'analyse d'images

1. Connectez-vous à console Security Center.

2. Dans le volet de navigation de gauche, sélectionnez Protection Configuration > Container Protection > Container Image Scan. Dans le coin supérieur gauche de la console, choisissez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

3. Sur la page Container Image Scan, cliquez sur un onglet pour consulter les résultats de l'analyse.

   Risques de vulnérabilité des images

   Les onglets System Vulnerability et Application Vul(s) affichent la liste des vulnérabilités détectées. Vous pouvez effectuer les opérations suivantes :

   • Rechercher des vulnérabilités

     Sélectionnez Image Scan ou Container Runtime Image Scan dans la liste déroulante située au-dessus de la liste des vulnérabilités. Vous pouvez également filtrer par niveau de gravité (élevé, moyen ou faible) ou rechercher par ID d'instance, nom de dépôt, namespace, digest ou nom de vulnérabilité.

     Remarque

     La recherche floue est prise en charge pour les noms de dépôts et les noms de vulnérabilités.

   • Afficher les détails d'une vulnérabilité

     Cliquez sur View dans la colonne Actions correspondant à une vulnérabilité pour ouvrir sa page de détails. Depuis cette page, vous pouvez :

     • Consulter les informations de la bibliothèque de vulnérabilités Alibaba Cloud

       Cliquez sur un ID de vulnérabilité pour accéder à la bibliothèque de vulnérabilités Alibaba Cloud, où vous trouverez une description détaillée, les informations de base et les recommandations de correction.

     • Afficher les commandes de correction et les descriptions d'impact pour les vulnérabilités d'image

       Dans la liste des images ou conteneurs concernés, cliquez sur Details pour afficher les commandes de correction ainsi que les descriptions d'impact associées à la vulnérabilité de l'image.

       Remarque

       Si l'étiquette PAI apparaît à droite de Image Address/Version, cela signifie que l'image a été déployée via Platform for AI (PAI).

   Vérification de la configuration de base des images

   L'onglet Image Baseline Check présente les résultats de la vérification de la configuration de base des images. Les actions suivantes sont disponibles :

   • Rechercher des résultats de vérification de la configuration de base

     Utilisez le composant de recherche situé au-dessus de la liste pour filtrer les résultats par niveau de gravité (High Risk, Medium-risk Items, Low Risk), par nom de règle de configuration de base ou par catégorie.

   • Afficher les résultats de la vérification de la configuration de base des images

     La liste des résultats affiche, pour chaque règle, le Baseline Name/Category, l'Affected Image, la Last Scan Time, la First Scan Time ainsi que le Status de la correction.

   • Afficher les détails des résultats de vérification de la configuration de base des images

     Dans la liste des résultats, cliquez sur Details dans la colonne Actions pour ouvrir le panneau de détails. Vous y trouverez les ressources d'images et de conteneurs concernées, notamment l'adresse de l'image, sa version, les informations relatives au conteneur, la date de détection, la date de première détection et le nombre de risques de configuration de base répartis par niveau.

     • Cliquez sur Details dans la colonne Actions associée à une ressource d'image pour ouvrir le panneau Risk Item et consulter les éléments de contrôle des risques pour cette image.

     • Sélectionnez l'onglet Affected Image ou Affected Container, puis cliquez sur l'icône pour exporter la liste des risques concernant les images ou les conteneurs affectés.

   Échantillons d'images malveillantes

   Important

   Les échantillons d'images malveillantes peuvent compromettre votre système serveur en modifiant les attributs mémoire (passage de lecture/écriture à lecture/exécution) ou en altérant les paramètres de proxy réseau. Il est recommandé de traiter ces échantillons dès que possible.

   L'onglet Malicious Image Sample répertorie les échantillons d'images malveillantes détectés. Vous pouvez réaliser les actions suivantes :

   • Rechercher des échantillons d'images malveillantes

     Dans le coin supérieur gauche de la liste, sélectionnez le niveau de gravité : Urgent, Suspicious ou Notice. Vous pouvez également effectuer une recherche par ID d'instance, nom de dépôt, namespace, digest ou nom de l'échantillon malveillant.

   • Afficher la liste des échantillons d'images malveillantes

     La liste indique le nom de l'échantillon, le nombre d'images concernées, la date de première ou dernière analyse, ainsi que l'état du traitement.

   • Afficher les détails d'un échantillon d'image malveillante

     Cliquez sur Details dans la colonne d'opérations correspondant à un échantillon Malicious Image Sample pour consulter ses détails.

   Fichiers sensibles dans les images

   L'onglet Sensitive Image File affiche les fichiers sensibles détectés dans les images. Les options suivantes sont disponibles :

   • Rechercher des fichiers sensibles dans les images

     Dans le coin supérieur gauche de la liste, choisissez le niveau de gravité : élevé, moyen ou faible. Vous pouvez également filtrer par type d'alerte lié aux fichiers sensibles ou par type d'information sensible.

   • Afficher la liste des fichiers sensibles dans les images

     Cette liste présente les types d'alertes, les catégories d'informations sensibles, le nombre total d'images concernées, le nombre d'images non traitées, ainsi que les dates de première et dernière analyse.

   • Afficher les détails des fichiers sensibles dans les images

     Cliquez sur Details dans la colonne d'opérations d'un fichier sensible pour voir la liste des images concernées. Cliquez ensuite sur Details dans la colonne d'opérations d'une image concernée pour afficher la liste des fichiers contenant des informations sensibles.

   Risques liés aux commandes de construction d'images

   L'onglet Image Build Command Risks répertorie les risques détectés dans les commandes de construction d'images. Vous pouvez effectuer les opérations suivantes :

   • Rechercher des risques liés aux commandes de construction d'images

     Dans le coin supérieur gauche de la liste, sélectionnez le niveau de gravité : High Risk, Medium-risk Items ou Low Risk. Vous pouvez également rechercher par type ou catégorie de risque.

   • Afficher la liste des risques liés aux commandes de construction d'images

     La liste indique les types et catégories de risques, le nombre total d'images concernées, le nombre d'images non traitées, ainsi que les dates de première et dernière analyse.

   • Afficher les détails des risques liés aux commandes de construction d'images

     Cliquez sur Details dans la colonne d'opérations d'un risque pour afficher la liste des images concernées. Cliquez ensuite sur Details dans la colonne d'opérations d'une image concernée pour voir les risques détectés dans ses commandes de construction.

4. Facultatif : Sur la page Container Image Scan, cliquez sur l'onglet Image Vulnerability, Image Baseline Check ou Malicious Image Sample, puis cliquez sur l'icône située dans le coin supérieur droit de la liste pour exporter les résultats de l'analyse.

Gérer les risques détectés dans les images

Traitez les vulnérabilités et les risques en vous appuyant sur les détails fournis et les recommandations de correction.

• Image Vulnerability : Analysez et corrigez les vulnérabilités des images en suivant les détails et les recommandations de correction.

  Security Center propose une correction en un clic pour certaines vulnérabilités système des images. Lorsqu'une image concernée est mise à jour et que des packages correctifs sont disponibles, utilisez l'une des méthodes suivantes :

  Remarque

  Vous pouvez accéder à la page Asset Center > Container et sélectionner l'onglet Image pour consulter les détails du dépôt d'images. Pour plus d'informations, consultez la rubrique Afficher les informations sur les images.

  • Correction manuelle : Dans la liste des vulnérabilités système, repérez une vulnérabilité dont l'option Fix est mise en évidence dans la colonne Actions. Cliquez sur Fix. Dans la liste Affected Image, cliquez sur Fix dans la colonne d'opérations de l'image cible et suivez les instructions pour appliquer la correction.

  • Correction automatique : Configurez le cycle et le périmètre de correction. Pour plus d'informations, consultez la rubrique Correction des images.

• Image Baseline Check : Examinez et corrigez manuellement les risques de configuration de base des images en vous référant aux détails des résultats de vérification.

• Malicious Image Sample : Nous vous recommandons de traiter rapidement les échantillons malveillants présents dans les images en vous basant sur les détails fournis, tels que les chemins d'accès aux fichiers malveillants.

  Si vous confirmez que l'image concernée ne présente aucun risque, accédez au panneau de détails de l'échantillon malveillant, localisez l'image affectée, puis cliquez sur Handle dans la colonne Actions pour ajouter le type d'alerte à la liste d'autorisation. Une fois l'élément ajouté à la liste d'autorisation, le système ne signalera plus ce risque d'échantillon malveillant pour l'image concernée.

• Sensitive Image File et Image Build Command Risks : Évaluez les risques en fonction de votre contexte métier, supprimez ou corrigez les fichiers et commandes de construction susceptibles de présenter des failles de sécurité, puis recréez les images.

  Dans le panneau de détails d'un fichier sensible ou d'une commande de construction, cliquez sur Handle dans la colonne d'opérations et choisissez l'une des méthodes de traitement suivantes :

  • Add to Whitelist : Si vous confirmez que le fichier sensible ou la commande de construction ne présente aucun risque, ajoutez le type d'alerte à la liste d'autorisation. Le système cessera alors de détecter ce risque pour l'image concernée.

  • Ignore : Ignore l'alerte de risque actuelle. Lors d'une nouvelle analyse de l'image, si celle-ci correspond toujours à la politique de détection, une nouvelle alerte sera générée.

  • Mark as False Positive : Si vous confirmez qu'il s'agit d'un faux positif, signalez-le comme tel. Security Center améliorera ses capacités d'analyse grâce à votre retour.

Après avoir traité les risques détectés dans les images, rendez-vous sur la page Container Image Scan et cliquez sur Scan Now pour relancer l'analyse des images et mettre à jour les résultats.