Security Center:Visualizar e tratar riscos detectados em imagens

Pré-requisitos

Uma verificação de imagem foi executada. Para mais informações, consulte Configure and run image security scans.

Informações básicas

O recurso de verificação de imagens de contêiner detecta vulnerabilidades de sistema, vulnerabilidades de aplicação, riscos de linha de base, amostras maliciosas e arquivos sensíveis nas imagens. Apenas algumas vulnerabilidades de sistema podem ser corrigidas automaticamente. Para outros tipos de risco, utilize os comandos de correção, as descrições de impacto ou os caminhos de arquivos maliciosos fornecidos pelo Security Center para tratar os riscos de segurança nas imagens rapidamente.

Visualizar estatísticas de riscos

O Security Center permite visualizar a quantidade de imagens com níveis de risco alto, médio e baixo, além do número de imagens verificadas e não verificadas. Esses dados facilitam a identificação rápida de imagens com riscos de segurança.

1. Faça login no Security Center console.

2. No painel de navegação à esquerda, escolha Protection Configuration > Container Protection > Container Image Scan. No canto superior esquerdo do console, selecione a região onde está localizado o ativo a ser protegido: Chinese Mainland ou Outside Chinese Mainland.

3. Na seção superior da página Container Image Scan, visualize as seguintes estatísticas:

   • Quantidade de imagens por nível de risco (alto, médio e baixo)

     Clique em no número abaixo de High-risk Image, Medium-risk Image ou Low-risk Image para acessar a página Container e visualizar os detalhes dos ativos afetados.

   • Total de imagens verificadas e não verificadas

     Clique em no número abaixo de Scanned Images ou Unscanned Image para visualizar a lista de imagens no painel Scanned Images ou Unscanned Images.

     Importante

     Imagens não verificadas incluem aquelas que ainda não passaram por verificação e as que falharam durante o processo.

   • Cota de Container Image Scan

     Se a cota restante for insuficiente, clique em Add Authorization para adquirir mais cotas de Container Image Scan na página de compra.

Visualizar resultados da verificação de imagens

1. Faça login no Security Center console.

2. No painel de navegação à esquerda, escolha Protection Configuration > Container Protection > Container Image Scan. No canto superior esquerdo do console, selecione a região onde está localizado o ativo a ser protegido: Chinese Mainland ou Outside Chinese Mainland.

3. Na página Container Image Scan, clique em uma aba para visualizar os resultados da verificação de imagens.

   Riscos de vulnerabilidades em imagens

   Nas abas System Vulnerability e Application Vul(s), visualize as listas de vulnerabilidades detectadas. É possível executar as seguintes operações:

   • Pesquisar vulnerabilidades

     Na lista suspensa acima da lista de vulnerabilidades, selecione Image Scan ou Container Runtime Image Scan. Filtre também pelo nível de gravidade (alta, média ou baixa) ou pesquise por ID da instância, nome do repositório, namespace, digest ou nome da vulnerabilidade.

     Nota

     A pesquisa aproximada é compatível com nomes de repositórios e nomes de vulnerabilidades.

   • Visualizar detalhes da vulnerabilidade

     Na coluna Actions de uma vulnerabilidade, clique em View para abrir a página de detalhes. Nessa página, execute as seguintes operações:

     • Consultar a biblioteca de vulnerabilidades da Alibaba Cloud

       Clique em um ID de vulnerabilidade para acessar a biblioteca de vulnerabilidades da Alibaba Cloud, onde são exibidas informações detalhadas, incluindo descrição, dados básicos e recomendações de correção.

     • Ver comandos de correção e descrições de impacto para vulnerabilidades de imagem

       Na lista de imagens ou contêineres afetados, clique em Details para visualizar os comandos de correção e as descrições de impacto da vulnerabilidade na imagem.

       Nota

       Se um rótulo PAI aparecer à direita de Image Address/Version, a imagem foi implantada por meio do Platform for AI (PAI).

   Verificação de linha de base de imagem

   Na aba Image Baseline Check, visualize os resultados da verificação de linha de base das imagens. Execute as seguintes ações:

   • Filtrar resultados de verificação de linha de base

     Utilize o componente de pesquisa acima da lista para buscar resultados por gravidade (High Risk, Medium-risk Items, Low Risk), nome da linha de base ou categoria da linha de base.

   • Analisar resultados da verificação de linha de base

     Na lista de resultados, verifique o Baseline Name/Category, a Affected Image, o Last Scan Time, o First Scan Time e o Status de correção da linha de base para cada item.

   • Examinar detalhes dos resultados de verificação

     Na lista de resultados, clique em Details na coluna Actions para abrir o painel de detalhes. Nele, constam os ativos de imagem e contêiner afetados, incluindo endereço da imagem, versão, informações do contêiner, hora da detecção, primeira hora de detecção e a quantidade de riscos de linha de base por nível.

     • Para um ativo de imagem específico, clique em Details na coluna Actions para abrir o painel Risk Item e visualizar os itens de verificação de risco dessa imagem.

     • Acesse a aba Affected Image ou Affected Container e clique em no ícone para exportar a lista de riscos das imagens ou contêineres afetados.

   Amostras maliciosas de imagem

   Importante

   Amostras maliciosas podem comprometer o sistema do servidor ao alterar atributos de memória de leitura e escrita para leitura e execução, ou ao modificar configurações de proxy de rede. Recomendamos tratar essas amostras o mais rápido possível.

   Na aba Malicious Image Sample, visualize as amostras maliciosas detectadas. As opções abaixo estão disponíveis:

   • Localizar amostras maliciosas

     No canto superior esquerdo da lista, selecione o nível de gravidade: Urgent, Suspicious ou Notice. Também é possível pesquisar por ID da instância, nome do repositório, namespace, digest ou nome da amostra maliciosa.

   • Revisar a lista de amostras maliciosas

     A lista exibe o nome da amostra, a quantidade de imagens afetadas, a data da primeira ou última verificação e o status de tratamento.

   • Obter detalhes de uma amostra maliciosa

     Na coluna de operações de uma amostra Malicious Image Sample, clique em Details para visualizar suas informações completas.

   Arquivos sensíveis em imagens

   Na aba Sensitive Image File, visualize os arquivos sensíveis detectados nas imagens. Execute as seguintes tarefas:

   • Buscar arquivos sensíveis

     No canto superior esquerdo da lista, selecione o nível de gravidade: alta, média ou baixa. A busca também pode ser feita por tipo de alerta de arquivo sensível ou tipo de informação sensível.

   • Consultar a lista de arquivos sensíveis

     Esta lista apresenta os tipos de alerta, tipos de informação sensível, total de imagens afetadas, quantidade de imagens afetadas não tratadas, data da primeira verificação e data da última verificação.

   • Verificar detalhes de arquivos sensíveis

     Na coluna de operações de um arquivo sensível, clique em Details para visualizar a lista de imagens afetadas. Em seguida, na coluna de operações de uma imagem afetada, clique em Details para ver a lista de arquivos que contêm informações sensíveis.

   Riscos em comandos de build de imagem

   Na aba Image Build Command Risks, visualize os riscos detectados nos comandos de build das imagens. As seguintes operações são permitidas:

   • Pesquisar riscos de comandos de build

     No canto superior esquerdo da lista de riscos, selecione o nível de gravidade: High Risk, Medium-risk Items ou Low Risk. Filtros por tipo ou categoria de risco também estão disponíveis.

   • Acessar a lista de riscos de comandos de build

     A lista mostra os tipos de risco, categorias, total de imagens afetadas, quantidade de imagens afetadas não tratadas, data da primeira verificação e data da última verificação.

   • Explorar detalhes dos riscos de comandos de build

     Na coluna de operações de um risco, clique em Details para ver a lista de imagens afetadas. Na coluna de operações de uma imagem afetada, clique em Details para visualizar os riscos de comando de build detectados nessa imagem específica.

4. Opcional: Na página Container Image Scan, clique em na aba Image Vulnerability, Image Baseline Check ou Malicious Image Sample e, em seguida, clique em no ícone no canto superior direito da lista para exportar os resultados da verificação.

Tratar riscos detectados em imagens

Trate as vulnerabilidades e riscos com base nos detalhes do risco e nas recomendações de correção.

• Image Vulnerability: Investigue e corrija vulnerabilidades nas imagens seguindo os detalhes e as recomendações de correção.

  O Security Center oferece suporte à correção com um clique para algumas vulnerabilidades de sistema em imagens. Quando uma imagem afetada for atualizada e houver pacotes corrigíveis disponíveis, utilize os métodos abaixo:

  Nota

  Acesse a página Asset Center > Container e clique em na aba Image para visualizar os detalhes do repositório de imagens. Para mais informações, consulte View image information.

  • Correção manual: Na lista de vulnerabilidades de sistema, localize uma vulnerabilidade com Fix destacado na coluna Actions. Clique em Fix. Na lista Affected Image, clique em Fix na coluna de operações da imagem desejada e siga as instruções para corrigir a vulnerabilidade.

  • Correção automática: Configure o ciclo e o escopo da correção. Para mais informações, consulte Image fixing.

• Image Baseline Check: Investigue e corrija manualmente os riscos de linha de base nas imagens, utilizando os detalhes dos resultados da verificação.

• Malicious Image Sample: Recomendamos tratar amostras maliciosas nas imagens o mais rápido possível, baseando-se nos detalhes da amostra, como os caminhos dos arquivos maliciosos.

  Caso confirme que a imagem afetada não apresenta riscos, acesse o painel de detalhes da amostra maliciosa, localize a imagem afetada e clique em Handle na coluna Actions para adicionar o tipo de alerta à lista de permissões. Após a inclusão na lista de permissões, o sistema deixará de detectar o risco de amostra maliciosa para essa imagem.

• Sensitive Image File e Image Build Command Risks: Avalie os riscos conforme as condições do seu negócio, remova ou corrija arquivos e comandos de build que possam conter riscos de segurança e recrie as imagens.

  No painel de detalhes de um arquivo sensível ou comando de build, clique em Handle na coluna de operações e escolha um método de tratamento:

  • Add to Whitelist: Se confirmar que o arquivo sensível ou comando de build da imagem não oferece riscos, adicione o tipo de alerta à lista de permissões. Após isso, o sistema não detectará mais o risco desse arquivo sensível ou comando de build para a imagem.

  • Ignore: Ignore o alerta de risco atual. Quando a imagem for verificada novamente e corresponder à política de detecção, um novo alerta será gerado.

  • Mark as False Positive: Caso confirme que o risco é um falso positivo, marque-o como tal. O Security Center otimiza suas capacidades de verificação com base no seu feedback.

Após tratar os riscos detectados nas imagens, acesse a página Container Image Scan e clique em Scan Now para verificar as imagens novamente e atualizar os resultados.