Security Center：配置和執行鏡像安全掃描

使用說明

• 掃描鏡像倉庫：已建立的ACR企業版鏡像倉庫、接入Security Center的Harbor、Quay和GitLab鏡像倉庫。

• 安全掃描範圍：預設覆蓋所有鏡像倉庫和檢查項，支援根據業務需求設定掃描範圍，包括鏡像倉庫、基準檢查項、漏洞白名單、敏感檔案類型白名單和風險檔案白名單等。具體操作，請參見步驟一：配置鏡像安全掃描範圍。

• 掃描方式：立即執行鏡像安全掃描（手動掃描）、配置鏡像安全掃描周期（定期掃描）。

  手動掃描和定期掃描都會按照上述安全掃描範圍的設定進行鏡像安全掃描。

• 掃描任務的資源抵扣：Security Center是以摘要（Digest）值標識一個鏡像，鏡像的摘要值不變時，只在第一次掃描時消耗一個鏡像安全掃描次數。摘要值變化後，執行掃描操作會重新消耗鏡像安全掃描次數。

  執行鏡像安全掃描前，請確保您有足夠的容器鏡像安全掃描次數。詳細內容，請參見開通鏡像安全掃描服務。

• 掃描時間長度：Security Center為保障鏡像掃描任務的穩定性，設定每一次鏡像掃描任務的逾時時間為4個小時（不支援修改）。掃描任務執行4個小時後，即使該次掃描任務內還有鏡像倉庫未被掃描，也會停止執行。

  說明

  建議您在執行鏡像安全掃描任務前，先設定需要掃描的鏡像倉庫。如果是harbor鏡像倉庫，可以設定鏡像掃描的限速，以提高鏡像安全掃描的效率。具體內容，請參見本文的管理鏡像倉。

步驟一：配置鏡像安全掃描範圍

鏡像安全掃描範圍的配置在手動掃描和定期掃描中都生效。

1. 登入Security Center控制台。在左側導覽列，選擇防護配置 > 容器防護 > 镜像安全扫描。在控制台左上方，選擇需防護資產所在的地區：中國內地或非中國內地。

2. 在鏡像安全掃描頁面的右上方，單擊掃描設定。

3. 單擊對應的功能頁簽，設定鏡像掃描任務的檢查範圍。

   配置掃描參數

   在掃描設定面板的掃描配置頁簽，配置相關參數。

   配置項	說明
   已消耗授權數/總授權	顯示您已使用和已購買的容器鏡像安全掃描次數。如果您的鏡像安全掃描次數即將耗盡，您可以單擊擴容購買鏡像安全掃描次數。
   掃描周期	選擇執行鏡像安全掃描的周期。該參數僅針對定期掃描生效。
   掃描範圍	設定需要掃描的鏡像倉庫範圍。具體操作如下： 單擊掃描範圍右側的管理。 在鏡像管理對話方塊中，選中需要掃描的鏡像倉庫名稱前的複選框。 倉庫列表右上方預設開啟當有新增鏡像倉時是否自動加入掃描，表示後續如果有新增接入的鏡像倉庫，在定期掃描時，會自動加入掃描範圍，進行鏡像安全掃描。您可以單擊開關表徵圖，關閉該功能。 單擊確定。
   掃描時間範圍	選擇鏡像漏洞掃描的時間範圍。 重要 掃描時間範圍以鏡像的本地更新時間為準。若無更新時間，則以本地建立鏡像的時間為準，時間範圍決定鏡像是否會被掃描。 例如，掃描時間範圍選擇為最近7天，那麼Security Center會掃描最近7天以內更新的鏡像。 如果有更新時間，鏡像本地更新時間已超過7天，則掃描任務狀態為成功，但執行成功的掃描量為0。 如果沒有更新時間，鏡像本地建立時間已超過7天，則同上述情境一樣，鏡像也不會被掃描。
   漏洞保留時間長度	設定鏡像漏洞定期掃描結果保留的時間長度。Security Center會自動刪除超過保留時間長度的漏洞掃描結果。

   管理鏡像倉

   您可單擊鏡像倉頁簽，查看支援掃描的Container Registry企業版執行個體（鏡像庫類型為acr）和已接入的私人鏡像倉庫（鏡像庫類型為harbor、quay、gitlab等）列表。

   說明

   • Security Center會自動同步當前阿里雲帳號下的Container Registry企業版執行個體至鏡像倉庫列表中，不支援在鏡像倉庫列表中移除Container Registry企業版執行個體。

   • 您可以在鏡像安全掃描頁面的右上方，單擊任務管理，在容器資產同步和鏡像資產同步頁簽查看資產同步進度和狀態。

   • 如需掃描不在鏡像倉庫列表中的私人鏡像倉庫，您可以單擊接入鏡像倉接入您的私人鏡像倉庫。具體操作，請參見接入鏡像倉庫。

   • 如果鏡像倉庫列表中的某個私人鏡像倉庫無需掃描，您可以單擊私人鏡像倉庫操作列的移除，並在提示對話方塊單擊確定，將其移除。

     說明

     鏡像倉庫列表中的兩個預設鏡像倉（鏡像倉類型為acr、defaultAcr）不支援刪除。

   • 如果是harbor鏡像倉，您可以單擊操作列的編輯，設定鏡像掃描的限速，以提高鏡像安全掃描的效率。限速表示1個小時內可完成掃描的鏡像個數，預設為10。

     例如，該harbor鏡像倉庫中有200個鏡像，使用預設限速，完成掃描需要20小時，而每一次掃描任務的全域逾時時間為4小時，無法全域掃描所有鏡像。如果將限速設定為200，則僅需1小時即可完成掃描。您可以根據實際業務情況和網路狀況合理設定。

   配置鏡像基準掃描

   您可以在配置鏡像漏洞掃描的同時，配置鏡像基準檢查相關項目。

   1. 在掃描配置面板，單擊基準組態管理頁簽。

   2. 單擊配置範圍右側的管理。

   3. 在基準檢查範圍面板中，選擇您要檢查的基準，然後單擊確認。

      重要

      基準檢查範圍面板的Access Key明文儲存、密碼泄漏基準檢查分別對應Access Key泄露檢查、密碼泄露檢查。如果您在基準檢查範圍面板上已經選擇了Access Key明文儲存和密碼泄漏兩個基準，基準組態管理下方的Access Key泄露檢查和密碼泄露檢查的配置狀態開關會自動開啟，您無需再重複設定。您也可以通過Access Key泄露檢查、密碼泄露檢查後面的開關快捷開啟或關閉這兩個基準。

   配置完成後，當您執行立即掃描操作或配置的周期性掃描時，系統將對您鏡像的基準配置進行檢查。

   立即執行容器運行時鏡像掃描

   容器運行時鏡像掃描功能可以幫您檢測容器運行時是否存在安全風險。

   重要

   容器運行時鏡像掃描僅支援手動掃描，不支援設定定期掃描。

   1. 登入Security Center控制台。在左側導覽列，選擇防護配置 > 容器防護 > 镜像安全扫描。在控制台左上方，選擇需防護資產所在的地區：中國內地或非中國內地。

   2. 在鏡像安全掃描頁面的右上方，單擊掃描設定。

   3. 在掃描配置面板，單擊容器運行時鏡像掃描頁簽。

   4. 單擊配置掃描範圍，在彈出的對話方塊中，單擊需要掃描的叢集，然後選擇叢集下需要掃描的應用程式名稱，單擊確定。

   5. 單擊立即掃描。

   執行立即掃描後，您可以在鏡像安全掃描頁面的右上方，單擊任務管理，前往任務管理面板的容器運行時鏡像掃描頁簽查看掃描進度。掃描完成後，在鏡像安全掃描頁面鏡像漏洞風險頁簽下，可查看檢測出的漏洞。

   配置鏡像敏感檔案掃描

   鏡像敏感檔案掃描功能支援檢測常見的敏感檔案和您自訂的鏡像檔案中是否存在敏感性資料，支援檢測的常見敏感檔案類型包括：包含敏感資訊的應用配置、通用的認證密鑰、應用認證或登入憑證、雲端服務器廠商的相關憑證等。該功能可以發現鏡像環境中的敏感資訊，您及時處理檢測出的敏感性資料可以提高鏡像運行環境的安全性。

   重要

   僅支援靜態鏡像掃描，不支援運行時敏感檔案檢測。

   1. 在扫描设置面板，單擊敏感檔案掃描配置頁簽。

   2. 單擊配置範圍右側的管理。

   3. 在敏感檔案掃描配置面板中，選擇需要掃描的檢查項。

      

   4. 開啟或關閉敏感檔案檢測開關。

      啟用敏感檔案檢測開關後，當您執行立即掃描或配置的周期性掃描時，將同時進行敏感檔案檢測。

   配置風險檔案白名單

   如果不需要掃描某鏡像敏感檔案、鏡像構建指令、鏡像惡意樣本的警示風險，您可以將該鏡像敏感檔案、鏡像構建指令風險或鏡像惡意樣本風險的警示類型添加到白名單中，系統不會檢測白名單中的風險。

   說明

   • 風險檔案白名單列表展示在鏡像惡意樣本、鏡像敏感檔案和鏡像構建指令風險列表中已經加入白名單的警示類型和鏡像倉庫。具體操作，請參見修複鏡像掃描風險。

   • 首次使用鏡像安全掃描功能時，無法配置風險檔案白名單。

   1. 在扫描设置面板，單擊風險檔案白名單配置頁簽。

   2. 配置風險檔案白名單。

      • 編輯白名單規則：在敏感檔案、容器構建或惡意樣本頁簽，找到目標警示類型，單擊操作列的編輯，選擇規則範圍：全部鏡像倉庫或僅當前鏡像倉庫（選擇需要加白的鏡像倉庫）。

      • 刪除白名單規則：在敏感檔案、容器構建或惡意樣本頁簽，找到目標警示類型，單擊操作列的刪除，刪除該白名單。從白名單移除警示規則後，Security Center將重新啟用對該鏡像惡意樣本、鏡像敏感檔案或鏡像構建指令風險的檢測和警示。

   配置鏡像修複

   Security Center支援自動修複企業版ACR的鏡像倉庫的系統漏洞，您可以開啟自動修複，並設定修複周期、修複範圍等。

   1. 在扫描设置面板，單擊鏡像修複配置頁簽。

   2. 單擊修複配置開關，可開啟或關閉自動修複功能。

   3. 如果開啟修複配置，可以選擇修複周期、修複範圍（企業版ACR的鏡像倉庫）和時間範圍（在此時間範圍內更新過的鏡像，會被修複）。

      重要

      修複時間範圍以鏡像的更新時間為準，若無更新時間，則以建立時間為準。時間範圍決定鏡像是否會被修複。例如，時間範圍選擇為7天，那麼Security Center會修複最近7天以內更新的鏡像。鏡像更新時間超過7天，則不會被修複。

      在您執行立即掃描操作或配置的周期性掃描後，根據您設定的修複周期，會定期排查和修複目標鏡像的系統漏洞。

      您可以在鏡像安全掃描頁面的右上方，單擊任務管理，前往任務管理面板的鏡像修複頁簽查看鏡像系統漏洞的修複狀態。

   配置漏洞白名單

   如果無需掃描某個鏡像漏洞，您可以將該漏洞添加到漏洞白名單中，系統不會檢測漏洞白名單中的漏洞。

   1. 在扫描设置面板，單擊漏洞白名單配置頁簽。

   2. 配置漏洞白名單。

      • 新增漏洞白名單規則：單擊新增規則，在新增規則面板上為不同類型的漏洞自訂白名單規則。

      • 編輯漏洞白名單規則：單擊目標白名單規則操作列的編輯，修改該白名單的規則範圍、鏡像選擇和備忘。

      • 刪除漏洞白名單規則：單擊目標白名單規則操作列的刪除，刪除該白名單規則。漏洞從白名單移除後，Security Center將重新啟用對該漏洞的檢測和警示。

4. 單擊面板右上方的關閉表徵圖，關閉掃描設定面板。

步驟二：執行鏡像安全掃描

配置鏡像安全掃描範圍後，手動掃描和定期掃描都會按照掃描配置面板的配置項設定進行。

步驟三：查看鏡像掃描任務進度和狀態

1. 在鏡像安全掃描頁面的右上方，單擊任務管理。

2. 在任務管理面板，單擊鏡像掃描頁簽。

3. 查看任務進度和狀態後，單擊操作列的詳情，可以查看當前任務的執行日誌。

   例如，執行失敗的鏡像資訊和失敗原因。

   

附錄