Security Center:Configure and run image security scans

Pré-requisitos

• Você ativou o Container Image Scan e adquiriu autorizações suficientes para container image scan. Para mais informações, consulte Ativar o recurso de verificação de imagem de contêiner.

• Você adquiriu uma instância do Container Registry Enterprise Edition ou adicionou um repositório de imagens privado. Para mais informações, consulte Criar uma instância do Container Registry Enterprise Edition e Adicionar um repositório de imagens.

  Se sua instância Enterprise estiver configurada para uma VPC, a VPC deve atender a requisitos específicos de região e zona. Para ativar a verificação, selecione um vSwitch em uma região e zona compatíveis. Consulte Regiões e zonas compatíveis para obter a lista completa.

Contexto

Softwares de sistema base, middleware, aplicações web e bancos de dados em uma imagem podem conter vulnerabilidades, como trojans de mineração e backdoors, que comprometem seus ativos.

O Security Center verifica imagens em busca de vulnerabilidades de sistema, vulnerabilidades de aplicação, riscos de linha de base, amostras maliciosas, arquivos sensíveis e riscos nas instruções de build. Para mais informações, consulte Recursos de segurança de imagem.

Uso

• Repositórios verificáveis: Repositórios de imagens do Container Registry Enterprise Edition criados por você e Repositórios de imagens Harbor, Quay e GitLab adicionados ao Security Center.

• Escopo da verificação: Por padrão, as verificações de segurança de imagem abrangem todos os repositórios de imagens e itens de verificação. Configure o escopo da verificação, incluindo repositórios de imagens específicos, itens de verificação de linha de base, lista de permissões de vulnerabilidades, lista de permissões de tipos de arquivos sensíveis e lista de permissões de arquivos de risco. Para mais informações, consulte Etapa 1: Configurar o escopo da verificação de segurança de imagem.

• Método de verificação: Executar uma verificação de segurança de imagem imediata (verificação manual) e Configurar uma verificação de segurança de imagem periódica (verificação periódica).

  Tanto as verificações manuais quanto as periódicas utilizam o escopo de verificação configurado.

• Consumo de cota: O Security Center identifica uma imagem pelo digest. Se o digest de uma imagem permanecer inalterado, a primeira verificação consome uma autorização de cota. Verificações subsequentes de uma imagem com digest alterado consomem autorizações adicionais.

  Antes de executar uma verificação de segurança de imagem, garanta que você possui autorizações suficientes de Container Image Scan. Para mais informações, consulte Ativar o serviço Container Image Scan.

• Duração da verificação: Para garantir a estabilidade das tarefas de verificação, o Security Center define o tempo limite de cada tarefa de verificação de imagem como 4 horas. Esse valor não pode ser alterado. Uma tarefa de verificação expira após 4 horas e é interrompida, mesmo que não tenha concluído a verificação de todos os repositórios de imagens especificados.

  Nota

  Para melhorar a eficiência da verificação, especifique os repositórios de imagens alvo antes de iniciar. Para repositórios de imagens Harbor, configure também um Speed Limit. Para mais informações, consulte a seção Gerenciar repositórios de imagens neste tópico.

Etapa 1: Configurar o escopo da verificação de imagem

O escopo de verificação configurado aplica-se tanto a verificações manuais quanto periódicas.

1. Faça login no console do Security Center. No painel de navegação à esquerda, escolha Protection Configuration > Container Protection > Container Image Scan. No canto superior esquerdo do console, selecione a região onde estão localizados os ativos que você deseja proteger: Chinese Mainland ou Outside Chinese Mainland.

2. No canto superior direito da página Container Image Scan, clique em Scan Settings.

3. Clique em uma aba de recurso para configurar o escopo da tarefa de verificação de imagem.

   Parâmetros de verificação

   Parâmetro	Descrição
   Consumed Quota/Purchased Quota	Exibe a cota utilizada e adquirida para verificações de imagem de contêiner. Se sua cota estiver baixa, clique em Scale Out para adquirir mais.
   Scan Cycle	Selecione uma frequência para as verificações de imagem de contêiner. Este parâmetro aplica-se apenas a verificações periódicas.
   Scan Scope	Especifique os repositórios de imagens a serem verificados. Execute as seguintes etapas: Clique em Manage à direita de Scan Scope. Na caixa de diálogo Image Management, marque as caixas de seleção dos repositórios de imagens que deseja verificar. Por padrão, a opção Automatically Adds New Image Repositories for Scan está ativada no canto superior direito da lista de repositórios. Isso significa que, se novos repositórios de imagens forem adicionados, eles serão incluídos automaticamente no escopo de verificação periódica. Clique no interruptor para desativar esse recurso. Clique em Confirm.
   Scan Time Range	Selecione um intervalo de tempo para a verificação de vulnerabilidades de imagem. Importante O intervalo de tempo da verificação é determinado pela hora de atualização local de uma imagem. Se a hora de atualização não estiver disponível, a hora de criação local da imagem será usada. O intervalo de tempo determina se uma imagem é verificada. Por exemplo, se você definir o intervalo de tempo da verificação como Last 7 Days, o Security Center verificará imagens atualizadas nos últimos 7 dias. Se houver uma hora de atualização disponível, mas a imagem tiver sido atualizada há mais de 7 dias, a verificação será bem-sucedida, mas relatará que zero imagens foram verificadas. Se não houver hora de atualização disponível e a imagem tiver sido criada há mais de 7 dias, a imagem não será verificada.
   Vulnerability Retention Period	Especifique o período de retenção para os resultados das verificações periódicas de vulnerabilidades. O Security Center exclui automaticamente os resultados de verificação anteriores ao período de retenção.

   Repositórios de imagens

   Clique na aba Image Repository para visualizar a lista de instâncias verificáveis do Container Registry Enterprise Edition (tipo de repositório: acr) e repositórios de imagens privados conectados (tipos de repositório: harbor, quay, gitlab e outros).

   Nota

   • O Security Center sincroniza automaticamente as instâncias do Container Registry Enterprise Edition da sua conta Alibaba Cloud com a lista de repositórios de imagens. Não é possível remover instâncias do Container Registry Enterprise Edition dessa lista.

   • Clique em Task Management no canto superior direito da página Container Image Scan e acesse as abas Container Asset Synchronization e Synchronize Image Asset para visualizar o progresso e o status da sincronização de ativos.

   • Para verificar um repositório de imagens privado que não está na lista, clique em Add Image Repository para conectar seu repositório privado. Para mais informações, consulte Conectar um repositório de imagens.

   • Para remover um repositório de imagens privado da lista de verificação, clique em Remove na coluna Actions correspondente e, em seguida, clique em Confirm na mensagem de confirmação.

     Nota

     Os dois repositórios de imagens padrão (tipos de repositório: acr e defaultAcr) na lista não podem ser removidos.

   • Para um repositório de imagens harbor, clique em Edit na coluna Actions para configurar o Speed Limit da verificação de imagem e melhorar a eficiência. O limitador especifica o número de imagens que podem ser verificadas por hora. O valor padrão é 10.

     Por exemplo, suponha que um repositório de imagens harbor contenha 200 imagens. Com a configuração padrão do limitador, a verificação leva 20 horas para ser concluída. No entanto, o tempo limite global para cada tarefa de verificação é de 4 horas, o que significa que nem todas as imagens poderão ser verificadas. Se você definir o valor do limitador como 200, a verificação será concluída em apenas 1 hora. Configure esse parâmetro com base nos requisitos do seu negócio e nas condições da rede.

   Verificação de linha de base de imagem

   Configure os itens de verificação para a linha de base de imagem ao configurar as verificações de vulnerabilidades de imagem.

   1. No painel Scan Settings, clique na aba Baseline Configuration Management.

   2. Clique em Manage à direita de Scan Scope.

   3. No painel Baseline Check Scope, selecione as linhas de base que deseja verificar e clique em OK.

      Importante

      As verificações de linha de base AccessKey Stored in Plaintext e Password Leak no painel Baseline Check Scope correspondem a AccessKey Leak Detection e Password Leak Detection, respectivamente. Se você selecionar as linhas de base AccessKey Stored in Plaintext e Password Leak no painel Baseline Check Scope, os interruptores para AccessKey Leak Detection e Password Leak Detection em Baseline Configuration Management serão ativados automaticamente. Não é necessário configurá-los novamente. Use também os interruptores ao lado de AccessKey Leak Detection e Password Leak Detection para ativar ou desativar rapidamente essas duas linhas de base.

   Após concluir a configuração, o Security Center verifica as configurações de linha de base das suas imagens durante uma operação de Scan Now ou em uma verificação periódica agendada.

   Verificação de imagem em tempo de execução

   O recurso de verificação de imagem em tempo de execução de contêiner ajuda a detectar riscos de segurança no ambiente de execução dos seus contêineres.

   Importante

   O recurso de verificação de imagem em tempo de execução de contêiner suporta apenas verificações manuais, não suportando verificações periódicas.

   1. Faça login no console do Security Center. No painel de navegação à esquerda, escolha Protection Configuration > Container Protection > Container Image Scan. No canto superior esquerdo do console, selecione a região onde estão localizados os ativos que você deseja proteger: Chinese Mainland ou Outside Chinese Mainland.

   2. No canto superior direito da página, clique em Scan Settings.

   3. No painel Scan Settings, clique na aba Container Runtime Image Scan.

   4. Clique em Configure Scan Scope. Na caixa de diálogo exibida, selecione o cluster e as aplicações a serem verificados e clique em Confirm.

   5. Clique em Scan Now.

   Visualize o progresso da verificação na aba Container Runtime Image Scan no painel Tasks. Após a conclusão da verificação, visualize as vulnerabilidades detectadas na aba Image Vulnerability da página Container Image Scan.

   Verificação de arquivos sensíveis

   O recurso de verificação de arquivos sensíveis em imagens detecta dados sensíveis nos arquivos de imagem, incluindo tipos de arquivo comuns e personalizados. Exemplos de dados sensíveis incluem configurações de aplicação, certificados e chaves genéricas, credenciais de autenticação e credenciais de provedores de serviços em nuvem. Tratar prontamente os dados sensíveis detectados melhora a segurança do ambiente de execução da imagem.

   Importante

   Este recurso suporta apenas verificação estática de imagem, não realizando detecção em tempo de execução.

   1. No painel Scan Settings, clique na aba Sensitive File Scan Settings.

   2. Clique em Manage à direita de Scope.

   3. No painel Sensitive File Scan Settings, selecione os itens de verificação desejados.

   4. Ative ou desative o interruptor de detecção de arquivos sensíveis.

      Ao ativar este recurso, uma verificação de arquivos sensíveis também é executada durante uma operação de Scan Now ou em uma verificação periódica agendada.

   Lista de permissões de arquivos de risco

   Se você não quiser receber alertas sobre riscos relacionados a arquivos de imagem sensíveis, instruções de build de imagem ou amostras maliciosas de imagem, adicione os tipos de alerta correspondentes a uma lista de permissões. O sistema não detecta riscos incluídos na lista de permissões.

   Nota

   • A lista de permissões de arquivos de risco exibe os tipos de alerta e repositórios de imagens que foram adicionados à lista de permissões a partir das listas Malicious Image Sample, Sensitive Image File e Image Build Command Risks. Para mais informações, consulte Corrigir riscos de verificação de imagem.

   • É necessário executar uma verificação pelo menos uma vez antes de configurar a lista de permissões de arquivos de risco.

   1. No painel Scan Settings, clique na aba Configure Whitelist for At-risk Files.

   2. Configure a lista de permissões para arquivos de risco.

      • Edite uma regra de lista de permissões: Na aba Sensitive File, Container Build ou Malicious Sample, localize o tipo de alerta alvo, clique em Edit na coluna Actions e selecione um escopo de regra: All Image Repositories ou Current Image Repository Only (selecione os repositórios de imagens que deseja adicionar à lista de permissões).

      • Exclua uma regra de lista de permissões: Na aba Sensitive File, Container Build ou Malicious Sample, localize o tipo de alerta alvo e clique em Delete na coluna Actions para excluir a regra. Após a exclusão de uma regra da lista de permissões, o Security Center retoma a detecção dos riscos relacionados e a geração de alertas.

   Correção de imagem

   O Security Center suporta a correção automática de vulnerabilidades de sistema em repositórios de imagens do Container Registry Enterprise Edition. Ative a correção automática e configure parâmetros como o período e o escopo da correção.

   1. No painel Scan Settings, clique na aba Image Risk Fixing Configuration.

   2. Clique no interruptor Fixing Configuration para ativar ou desativar a correção automática.

   3. Ao ativar este recurso, configure o Fixing Period, o Fixing Scope (repositórios de imagens do Container Registry Enterprise Edition) e o Time Range (imagens atualizadas dentro do intervalo de tempo especificado são corrigidas).

      Importante

      O intervalo de tempo de correção é determinado pela hora de atualização de uma imagem. Se a hora de atualização não estiver disponível, a hora de criação da imagem será usada. O intervalo de tempo determina se uma imagem é corrigida. Por exemplo, se você definir o intervalo de tempo como Last 7 Days, o Security Center corrigirá imagens atualizadas nos últimos 7 dias. Imagens atualizadas há mais de 7 dias não serão corrigidas.

      Após executar a operação Scan Now ou após a execução de uma verificação periódica configurada, as vulnerabilidades de sistema na imagem alvo são identificadas e corrigidas regularmente com base no ciclo de correção definido.

      Clique em Task Management no canto superior direito da página Container Image Scan e acesse a aba Image Risk Fixing no painel Task Management para visualizar o status de correção das vulnerabilidades de sistema nas imagens.

   Lista de permissões de vulnerabilidades

   Se não for necessário verificar uma vulnerabilidade de imagem específica, adicione-a a uma lista de permissões. O sistema não detecta vulnerabilidades incluídas na lista de permissões.

   1. No painel Scan Settings, clique na aba Vulnerability Whitelist Settings.

   2. Configure a lista de permissões de vulnerabilidades.

      • Crie uma regra: Clique em Create Rule para adicionar regras personalizadas de lista de permissões para diferentes tipos de vulnerabilidade.

      • Edite uma regra: Localize a regra que deseja editar, clique em Edit na coluna Actions e modifique os Applied Assets, a Select Image e a Description da regra.

      • Exclua uma regra: Localize a regra que deseja excluir e clique em Delete na coluna Actions. Após a exclusão de uma regra, o Security Center retoma a detecção da vulnerabilidade correspondente e a geração de alertas.

4. Clique no ícone de fechar no canto superior direito do painel para fechar o painel Scan Settings.

Etapa 2: Executar uma verificação de imagem de contêiner

Após configurar o escopo da verificação, tanto as verificações manuais quanto as periódicas são executadas com base nas definições do painel Scan Settings.

Etapa 3: Visualizar o progresso e o status da verificação de imagem

1. No canto superior direito da página Container Image Scan, clique em Task Management.

2. No painel Task Management, clique na aba Image Scan.

3. Clique em Details na coluna Actions para visualizar o log de execução da tarefa.

   Por exemplo, para uma tarefa com falha, identifique a imagem problemática e a causa da falha.

Próximas etapas

Após executar uma verificação de segurança de imagem, visualize os resultados da verificação. Para mais informações, consulte Visualizar e corrigir riscos de imagem.

Apêndice