Avaliações de vulnerabilidade para GCP com o Gerenciamento de Vulnerabilidade do Microsoft Defender
A avaliação de vulnerabilidades do GCP, alimentada pelo Gerenciamento de Vulnerabilidades do Microsoft Defender, é uma solução pronta para uso que permite que as equipes de segurança descubram e corrijam com facilidade as vulnerabilidades em imagens de contêiner do Linux, com zero de configuração na integração e sem implantação de nenhum sensor.
Em todas as contas em que a ativação desse recurso é concluída, todas as imagens armazenadas nos Registros do Google (GAR e GCR) que atendem aos critérios para gatilhos de exame são examinadas quanto a vulnerabilidades sem nenhuma configuração extra de usuários ou registros. Recomendações com relatórios de vulnerabilidade são fornecidas para todas as imagens nos Registros do Google (GAR e GCR), imagens atualmente em execução no GKE que foram extraídas do Registro do Google (GAR e GCR) ou qualquer outro registro compatível com o Defender para Nuvem (ACR ou ECR). As imagens são verificadas logo após serem adicionadas a um registro e verificadas novamente no intervalo definido no conector GCP.
A avaliação de vulnerabilidades de contêiner do Gerenciamento de Vulnerabilidades do Microsoft Defender tem os seguintes recursos:
Verificação de pacotes do sistema operacional – a avaliação de vulnerabilidades de contêineres tem a capacidade de verificar vulnerabilidades em pacotes instalados pelo gerenciador de pacotes do sistema operacional nos sistemas operacionais Linux e Windows. Confira a lista completa do sistema operacional compatível e suas versões.
Pacotes específicos do idioma - Somente Linux - suporte para pacotes e arquivos específicos do idioma e suas dependências instaladas ou copiadas sem o gerenciador de pacotes do sistema operacional. Veja a lista completa de idiomas compatíveis.
Informações de exploração – cada relatório de vulnerabilidade é pesquisado por meio de bancos de dados de exploração para ajudar nossos clientes a determinar o risco real associado a cada vulnerabilidade relatada.
Relatório: a Avaliação de Vulnerabilidade de Contêiner para GCP da plataforma Gerenciamento de Vulnerabilidades do Microsoft Defender fornece relatórios de vulnerabilidade usando as seguintes recomendações:
Essas são as novas recomendações de visualização que relatam vulnerabilidades de contêiner de tempo de execução e vulnerabilidades de imagem de registro. Essas novas recomendações não contam para a pontuação de segurança durante a versão prévia. O mecanismo de varredura para essas novas recomendações é o mesmo das recomendações atuais do GA e fornece as mesmas descobertas. Essas recomendações seriam mais adequadas para clientes que usam a nova exibição baseada em risco para recomendações e têm o plano GPSN do Defender habilitado.
| Recomendação | Descrição | Chave de avaliação |
|---|---|---|
| [Versão Prévia] As imagens de contêiner no Registro do GCP devem ter suas descobertas de vulnerabilidade resolvidas | O Defender para Nuvem verifica suas imagens do Registro em busca de vulnerabilidades conhecidas (CVEs) e fornece descobertas detalhadas para cada imagem digitalizada. A verificação e correção das vulnerabilidades das imagens de contêiner no Registro ajudam a manter uma cadeia de fornecimento de software segura e confiável, reduzem o risco de incidentes de segurança e garantem a conformidade com os padrões do setor. | 24e37609-dcf5-4a3b-b2b0-b7d76f2e4e04 |
| [Versão Prévia] Os contêineres em execução no GCP devem ter suas descobertas de vulnerabilidade resolvidas | O Defender para Nuvem cria um inventário de todas as cargas de trabalho de contêineres atualmente em execução nos seus clusters do Kubernetes e fornece relatórios de vulnerabilidades para essas cargas de trabalho ao equiparar as imagens que estão sendo usadas e os relatórios de vulnerabilidade criados para as imagens do Registro. A verificação e a correção das vulnerabilidades de cargas de trabalho de contêiner são críticas para garantir uma cadeia de fornecimento de software consistente e segura, reduzir o risco de incidentes de segurança e garantir a conformidade com os padrões do setor. | 1b3abfa4-9e53-46f1-9627-51f2957f8bba |
Essas recomendações atuais do GA relatam vulnerabilidades em contêineres contidos em um cluster do Kubernetes e em imagens de contêineres contidas em um registro de contêiner. Essas recomendações seriam mais adequadas para clientes que usam a exibição clássica para recomendações e não têm o plano Defender CSPM habilitado.
| Recomendação | Descrição | Chave de Avaliação |
|---|---|---|
| As imagens de contêineres de registro do GCP devem ter as descobertas de vulnerabilidade resolvidas (da plataforma Gerenciamento de Vulnerabilidade do Microsoft Defender) - Microsoft Azure | Examina as imagens de contêineres dos registros do GCP em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado de vulnerabilidades para cada imagem. A resolução de vulnerabilidades pode melhorar muito sua postura de segurança, garantindo que as imagens sejam seguras para uso antes da implantação. | c27441ae-775c-45be-8ffa-655de37362ce |
| As imagens de contêineres em execução do GCP devem ter as descobertas de vulnerabilidade resolvidas (da plataforma Gerenciamento de Vulnerabilidade do Microsoft Defender) - Microsoft Azure | A avaliação de vulnerabilidade das imagens de contêiner examina seu registro em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado de vulnerabilidades para cada imagem. Essa recomendação fornece visibilidade para as imagens vulneráveis atualmente em execução nos seus clusters do Kubernetes. Corrigir vulnerabilidades em imagens de contêiner que estão em execução no momento é fundamental para aprimorar sua postura de segurança, reduzindo de forma significativa a superfície de ataque das suas cargas de trabalho conteinerizadas. | 5cc3a2c1-8397-456f-8792-fe9d0d4c9145 |
Consultar informações de vulnerabilidade usando o Azure Resource Graph – Capacidade de consultar informações de vulnerabilidade usando o Azure Resource Graph. Saiba como consultar recomendações por meio do ARG.
Consultar os resultados da verificação por meio da API REST – Saiba como consultar os resultados da verificação por meio da API REST.
Gatilhos de verificação
Os gatilhos para uma verificação de imagem são:
Gatilho único:
- Cada imagem enviada para um registro de contêiner é disparada para ser verificada. Na maioria dos casos, a verificação é concluída em algumas horas, mas, em casos raros, pode levar até 24 horas.
- Cada imagem extraída de um registro é disparada para ser verificada dentro de 24 horas.
Gatilho de novo exame contínuo :o novo exame contínuo é necessário para garantir que as imagens verificadas anteriormente em busca de vulnerabilidades sejam verificadas novamente para atualizar os relatórios de vulnerabilidade, caso uma nova vulnerabilidade seja publicada.
- O novo exame é realizado uma vez por dia para:
- Imagens enviadas por push nos últimos 90 dias.
- Imagens extraídas nos últimos 30 dias.
- Imagens atualmente em execução nos clusters do Kubernetes monitorados pelo Defender para Nuvem (por meio da Descoberta sem agente para Kubernetes ou do sensor do Defender).
- O novo exame é realizado uma vez por dia para:
Como funciona a verificação de imagem?
Uma descrição detalhada do processo é a seguinte:
Ao habilitar a avaliação de vulnerabilidade de contêiner para GCP da plataforma Gerenciamento de Vulnerabilidade do Microsoft Defender, você autoriza o Defender para Nuvem a examinar as imagens de contêineres nos registros do Elastic Container.
O Defender para Nuvem descobre automaticamente todos os registros, repositórios e imagens de contêineres (criados antes ou depois de habilitar o plano).
Uma vez por dia e para novas imagens enviadas por push para um registro:
- É efetuado pull de todas as imagens recém-descobertas, e um inventário é criado para cada imagem. O inventário de imagens é mantido para evitar pulls de imagem adicionais, a menos que isso seja exigido por novos recursos de scanner.
- Usando o inventário, os relatórios de vulnerabilidade são gerados para novas imagens e atualizados para imagens verificadas anteriormente que foram enviadas por push nos últimos 90 dias para um registro ou estão em execução no momento. Para determinar se uma imagem está atualmente em execução, o Defender para Nuvem usa tanto a Descoberta sem agente para Kubernetes quanto o inventário coletado por meio do sensor do Defender em execução nos nós do GKE
- Os relatórios de vulnerabilidade para imagens de contêiner do registro são fornecidos como uma recomendação.
Para os clientes que usam a Descoberta sem agente para Kubernetes ou o inventário coletado por meio do sensor do Defender em execução nos nós do GKE, o Defender para Nuvem também cria uma recomendação para corrigir as vulnerabilidades de imagens vulneráveis em execução em um cluster do GKE. Para clientes que usam apenas Descoberta sem agente para Kubernetes, o tempo de atualização para inventário nessa recomendação é de uma vez a cada sete horas. Os clusters que também estão executando o sensor do Defender se beneficiam de uma frequência de atualização de inventário a cada duas horas. Os resultados da verificação de imagem são atualizados com base na verificação do registro em ambos os casos e, portanto, atualizados apenas a cada 24 horas.
Observação
Para o Defender para Registros de Contêineres (preterido), as imagens são verificadas uma vez no envio, na extração e novamente verificadas apenas uma vez por semana.
Se eu remover uma imagem do meu registro, quanto tempo até que os relatórios de vulnerabilidades nessa imagem sejam removidos?
Leva 30 horas depois que uma imagem é excluída dos Registros do Google (GAR e GCR) antes que os relatórios sejam removidos.
Próximas etapas
- Saiba mais sobre o Defender para Nuvem Planos do Defender.
- Confira as perguntas comuns sobre o Defender para contêineres.