您目前正在查看 Apigee 和 Apigee Hybrid 說明文件。
查看
Apigee Edge 說明文件。
本文說明 Google 如何管理 Apigee Hybrid 的安全漏洞和修補程式。除非另有註明，否則 Apigee 包含管理層和資料層。
共同負責修補
修補程式是 Google 和客戶共同的責任。Apigee X 和 Apigee Hybrid 的共同責任不同，因為 Apigee Hybrid 的資料層完全由客戶管理。如要瞭解 Apigee Hybrid 的共同責任，請參閱「Apigee Hybrid 共同責任模式」。
如何發現安全漏洞
Google 採取主動式做法，確保軟體系統安全無虞，並運用「預設安全」設計原則，以及實作各種安全強化措施。
舉例來說，容器化應用程式可支援各種 Apigee API 管理平台功能。容器化應用程式部署在 Kubernetes 上。容器映像檔是以最小的基本映像檔 (例如 distroless 基本映像檔) 為基礎建構而成，可提供最高安全性並提升效能。
不過，即使是設計最完善的軟體系統，也可能存在安全漏洞。為找出並修補這些安全漏洞，以免遭到有心人士利用，Google 在多個方面投入了大量資源。
安全性掃描器
Google 會主動找出並修正不同類型容器映像檔的安全漏洞：
- 第一方容器：由 Google 建構及發布的容器映像檔，是 Apigee 平台的一部分。這些是 Google 專有應用程式，可為 Apigee API 管理平台提供支援，包括流量路徑、配額管理和金鑰管理等核心功能。
- 第三方容器：由開放原始碼社群建構，但由 Google 做為 Apigee 平台的一部分發布。這些元件大多是開放原始碼，平台會使用這些元件執行常見作業工作，例如記錄、監控和憑證管理。
Google 會使用 Container Registry 容器分析掃描容器，找出第一方和第三方容器中的安全漏洞和缺少的修補程式。如果可以修正，Google 就會開始修補及發布程序。這類掃描作業會定期執行 (發布新映像檔時)，也會在需要時執行 (發布前)，盡可能偵測到新安全漏洞，並及早規劃補救或緩解措施。
安全研究
除了自動掃描外，Google 還會透過下列方式，找出並修補掃描器未知的安全漏洞：
- Google 會對所有 Apigee 元件執行安全性與法規遵循稽核、應用程式和網路滲透測試、區隔測試，以及安全性弱點探索。
Google 內部專責團隊和值得信賴的第三方安全廠商會進行各自的攻擊研究。 - Google 會與其他業界和開放原始碼軟體合作夥伴分享安全漏洞、安全性研究和修補程式，然後再公開發布安全漏洞。
這項合作的目標是在公開宣布漏洞前，修補大量網際網路基礎架構。在某些情況下，Google 會將發現的安全漏洞回報給這個社群。舉例來說，Google 的 Project Zero 發現並公開了 Spectre 和 Meltdown 安全漏洞。Google Cloud 安全性團隊也會定期找出並修正核心式虛擬機器 (KVM) 的安全漏洞。
安全漏洞檢舉計畫
Google 透過多項漏洞獎勵計畫，積極與安全研究社群交流。Google Cloud 專屬安全漏洞檢舉計畫提供豐厚獎金，每年針對最佳雲端安全漏洞提供 $133,337 美元獎金。這項計畫涵蓋所有 Apigee 軟體依附元件。
OSS
Google 的安全防護合作涵蓋多個層面。有時，機構會透過正式計畫註冊，接收 Kubernetes 和 EnvoyEnvoy 等產品的軟體安全漏洞搶先發布通知。此外，我們也參與許多開放原始碼專案 (例如 Linux 核心、容器執行階段和虛擬化技術等)，因此也會進行非正式的合作。
雖然我們也會在這些程序之外發現並修補較不嚴重的安全漏洞，但大多數重大安全漏洞都是透過先前列出的管道私下回報。提早回報可讓 Google 在漏洞公開前，有時間研究漏洞對 Apigee 的影響、開發修補程式或緩解措施，以及準備客戶適用的建議和通訊內容。如果可以，Google 會在公開發布安全漏洞前，修補所有叢集 (適用於 Apigee X)。對於 Apigee Hybrid，我們會定期發布修補程式，解決容器映像檔中的安全漏洞，並建議客戶使用最新修補程式版本。
安全漏洞的分類方式
Apigee 在整個堆疊 (包括基本映像檔、第三方程式庫和第一方應用程式軟體) 的安全強化方面投入大量資源，此外也設定了良好的預設值、安全強化的設定和受管理元件。綜合來看，這些措施有助於降低安全漏洞的影響和可能性。
Apigee 安全團隊會根據一般安全漏洞評分系統 (CVSS) 分類安全漏洞。
下表說明安全漏洞嚴重程度類別：
| 嚴重性 | 說明 |
| 重大 | 未經身分驗證的遠端攻擊者可輕易在所有叢集中利用此漏洞，導致系統完全遭到入侵。 |
| 高 | 可輕易遭利用，導致許多叢集機密性、完整性或可用性受損的安全漏洞。 |
| 中 | 部分叢集可遭利用的安全性漏洞，但機密性、完整性或可用性損失會受到常見設定、利用難度、必要存取權或使用者互動的限制。 |
| Low | 所有其他安全漏洞。遭濫用的可能性不高，或遭濫用造成的後果有限。 |
如何通知安全漏洞和修補程式
Google 的目標是在適當的時間內，減輕所偵測到的安全漏洞，以降低相關風險。Apigee 包含在 Google Cloud 的 FedRAMP 暫時性 ATO 中，因此必須根據 FedRAMP RA-5d 規定，在特定時間範圍內修正已知安全漏洞。Google Cloud 的 FedRAMP 暫時 ATO 不包含 Apigee Hybrid 資料平面元件 (客戶管理)，但我們目標是針對這些產品採用相同的補救時間範圍。
主動掃描偵測到的安全漏洞
Google 會主動掃描二進位檔和代管 Apigee 平台的基礎架構，偵測安全漏洞。Apigee 會定期發布修補程式更新，視基礎 CVE 的嚴重程度，及時解決這些安全漏洞。修補安全漏洞需要升級至新的 Apigee Hybrid 版本，視安全漏洞的性質而定，升級版本可能是次要版本或修補程式版本。這類安全漏洞大多會在 Apigee Hybrid 的每月修補程式版本中解決，如果是 Apigee X，則會納入受管理機群的定期軟體更新。Apigee X 和 Apigee Hybrid 的版本資訊都會說明安全性修補程式。
修正某些安全漏洞時，只需要升級控制層 (Google 會在 Apigee 上自動執行)，但修正其他安全漏洞時，則需要將新的二進位檔推出至資料層。如果是 Apigee X，Google 會負責將新二進位檔推出至整個機群。如果客戶執行 Apigee Apigee Hybrid，則必須將修補程式版本套用至 Apigee Hybrid 叢集，才能推出更新的二進位檔。
為確保叢集已修補安全漏洞，並防範所有嚴重程度的安全漏洞，建議您為 Apigee Hybrid 的任何次要版本套用最新修補程式版本。如果您在 Anthos 上執行 Apigee Hybrid，Google 建議您至少每月升級一次 Anthos 元件。
客戶回報的安全漏洞
Apigee Hybrid 會提供 Apigee 二進位檔，供客戶在資料中心或偏好的雲端平台中執行。為符合客戶在自家資料中心推出軟體的安全標準，他們可能會執行一系列安全測試。這些測試可能包括滲透測試、容器掃描、靜態程式碼掃描等。這些測試可能會回報 Apigee 軟體中可能存在的安全漏洞。客戶必須先判斷這些回報的項目是否可供利用，進而造成安全風險，才能在資料中心啟用這些套件。
有概念驗證攻擊的安全漏洞
如果顧客發現可利用的安全漏洞，並有概念驗證 (POC)，證明如何利用該漏洞，請透過 goo.gle/vulnz 上的 Google 安全漏洞獎勵計畫回報問題。系統會將問題回報給 Google 安全團隊，他們會驗證概念驗證，並判斷問題的嚴重程度和潛在影響。然後將問題提報給 Apigee。客戶可能符合 VRP 計畫的獎勵資格。
自動化工具發現的安全漏洞
如果客戶根據靜態掃描或其他工具/技術，產生 Apigee 產品中可能存在安全漏洞的報告，但沒有任何概念驗證可說明如何利用這些問題，則可透過 Google Cloud 支援入口網站向支援團隊回報這些項目。向支援團隊回報問題後，顧客會收到支援單編號，方便追蹤問題，並查看回報內容的最新消息和回覆。支援團隊會視情況在內部提報問題。
CVE ID
請盡可能提供安全漏洞的相關資訊，並針對每個項目提供 CVE 識別碼、程式庫/套件名稱、容器映像檔名稱等。CVE 可讓我們確認是否正在查看同一項安全漏洞。如果只提供問題說明或其他專屬追蹤編號，偵測工具或回報程序就無法將問題相互關聯。如果沒有 CVE，Google 可能無法回應特定項目。
回應
如果向支援團隊回報的項目嚴重程度為「重大」或「高」，客戶可透過支援服務單系統收到回覆。如要瞭解向 VRP 檢舉的項目，請參閱該計畫提供的規則和說明文件。