Informationen zum Scannen auf Sicherheitslücken

Auf dieser Seite werden die Funktionen zum Scannen auf Sicherheitslücken bei Arbeitslasten beschrieben, die im GKE-Sicherheitsdashboard (Google Kubernetes Engine) angeboten werden. Diese Seite richtet sich an Sicherheitsadministratoren, die eigene Lösungen zur Sicherheitslückenerkennung implementieren möchten.

Das Scannen auf Sicherheitslücken bei Arbeitslasten umfasst eine Reihe von Funktionen im Sicherheitsstatus-Dashboard, die während der Laufzeitphase des Softwarebereitstellungszyklus automatisch nach bekannten Sicherheitslücken in Ihren Container-Images und in bestimmten Sprachpaketen scannen. Wenn GKE Sicherheitslücken erkennt, werden im Sicherheitsstatus-Dashboard Details zu den Problemen angezeigt und Maßnahmen vorgeschlagen, um die Sicherheitslücken zu verringern.

Informationen dazu, wie das Sicherheitsstatus-Dashboard in Ihre Sicherheitsstrategie passt, finden Sie unter Nutzung als Teil einer umfassenden Sicherheitsstrategie.

Arten des Scannens auf Sicherheitslücken

Das Scannen von Arbeitslasten auf Sicherheitslücken umfasst die folgenden Funktionen:

  • Scannen auf Sicherheitslücken im Container-Betriebssystem
  • Scannen auf Sicherheitslücken in Sprachpaketen

Wenn in Ihren Container-Images oder Sprachpaketen eine Sicherheitslücke gefunden wird, zeigt GKE die Ergebnisse im Sicherheitsstatus-Dashboard in der Google Cloud Console an. GKE fügt auch Einträge für Prüfung und Rückverfolgbarkeit zu Cloud Logging hinzu.

Scannen auf Sicherheitslücken in Container OS

GKE scannt kontinuierlich Container-Images, die in registrierten GKE-Clustern ausgeführt werden. GKE verwendet Daten zu Sicherheitslücken aus öffentlichen CVE-Datenbanken wie NIST. Die Images können aus einer beliebigen Image-Registry stammen. Die Betriebssystemversion muss für den Scan unterstützt werden. Eine Liste der unterstützten Betriebssysteme finden Sie unter Unterstützte Linux-Versionen.

Eine Anleitung finden Sie unter Scannen auf Sicherheitslücken in Container Betriebssystemen aktivieren.

Scannen auf Sicherheitslücken in Sprachpaketen

GKE prüft Container fortlaufend auf bekannte Sicherheitslücken in Sprachpaketen wie Go- oder Maven-Paketen. Wir erhalten Daten zu Sicherheitslücken aus öffentlichen Quellen wie der GitHub Advisory Database. Der Scanner ist der Artefaktanalyse-Scanner, den Sie separat implementieren können, um Ihre Artifact Registry-Repositories zu schützen. Im Sicherheitsstatus-Dashboard können die Container-Images aus einer beliebigen Image-Registry stammen, da GKE die Images während der Ausführung der Arbeitslasten scannt. Informationen zum Scannen mit der Artefaktanalyse finden Sie unter Scantypen.

GKE bietet kontinuierliches Scannen Ihrer Sprachpakete, anstatt nur bei Bedarf oder dann, wenn Ihre Workflows Änderungen an Ihren Container-Images übertragen, zu scannen. Kontinuierliches Scannen sorgt dafür, dass Sie über neue Sicherheitslücken informiert werden, sobald Korrekturen verfügbar sind. Dadurch wird die Zeit für die Erkennung und Behebung verkürzt.

GKE scannt die folgenden Sprachpakete:

  • Go
  • Maven
  • JavaScript
  • Python

Im Sicherheitsstatus-Dashboard werden nur Sicherheitslücken angezeigt, denen eine CVE-Nummer zugeordnet ist.

Scannen auf Sicherheitslücken in GKE aktivieren

So können Sie das Scannen auf Sicherheitslücken für GKE-Cluster aktivieren:

Stufe Aktivierte Funktionen GKE-Versionsanforderung
Standard
standard		 Scannen auf Sicherheitslücken im Container-Betriebssystem
  • GKE Enterprise Edition: Standardmäßig in allen neuen Clustern mit Version 1.27 und höher aktiviert
  • GKE Standard Edition: Standardmäßig aktiviert in allen neuen Clustern im Autopilot-Modus mit Version 1.27 und höher. Standardmäßig in allen Clustern im neuen Standardmodus deaktiviert.
Advanced Vulnerability Insights
enterprise
  • Scannen auf Sicherheitslücken im Container-Betriebssystem
  • Scannen auf Sicherheitslücken in Sprachpaketen
  • GKE Enterprise Edition: Standardmäßig in allen neuen Clustern mit Version 1.27 und höher aktiviert
  • GKE Standard Edition: Standardmäßig deaktiviert in allen neuen Clustern.

Eine Aktivierungsanleitung finden Sie unter Arbeitslasten automatisch auf bekannte Sicherheitslücken scannen.

Preise

Preisinformationen finden Sie unter Preise für das GKE-Sicherheitsstatus-Dashboard.

Welche Aktionen schlägt GKE vor?

Jede Sicherheitslücke im Sicherheitsstatus-Dashboard enthält detaillierte Informationen wie die folgenden:

  • Eine vollständige Beschreibung der Sicherheitslücke, einschließlich möglicher Auswirkungen, Angriffsvektoren und Schweregrad.
  • Feste Pakete und Versionsnummern.
  • Links zu den relevanten Einträgen in öffentlichen CVE-Datenbanken.

GKE zeigt eine Sicherheitslücke nicht an, wenn kein entsprechendes CVE mit umsetzbaren Abhilfemaßnahmen vorliegt.

Eine Übersicht über die Benutzeroberfläche des Sicherheitsstatus-Dashboards finden Sie unter Informationen zum Sicherheitsstatus-Dashboard.

Beschränkungen

  • GKE unterstützt nicht das Scannen von proprietären Paketen und deren Abhängigkeiten.
  • GKE zeigt nur Ergebnisse für Sicherheitslücken an, für die eine entsprechende Korrektur und eine verfügbare CVE-Nummer im Sicherheitsstatus-Dashboard vorhanden sind. Möglicherweise werden weitere Ergebnisse wie Sicherheitslücken ohne verfügbare Korrektur angezeigt, wenn Sie dieselben Container-Images in einer Container Registry scannen.
  • GKE verwendet auf jedem Worker-Knoten den folgenden Arbeitsspeicher für das Scannen von Arbeitslasten auf Sicherheitslücken:
    • Container-Betriebssystem-Scans: 50 MiB
    • Advanced Vulnerability Insights: 100 MiB
  • GKE hat folgende Einschränkungen hinsichtlich der Größe jeder Datei, die Paketdaten in Ihren Images enthält. GKE scannt keine Dateien, die die Größenbeschränkung überschreiten.
    • Container-Betriebssystem-Scans: 30 MiB
    • Advanced Vulnerability Insights: 60 MiB
  • Windows Server-Container werden nicht unterstützt.
  • Das Scannen von Arbeitslasten auf Sicherheitslücken ist nur für Cluster mit weniger als 1.000 Knoten verfügbar.
  • GKE scannt keine Knoten, die die Arm-Architektur verwenden, z. B. den Maschinentyp T2A.

  • Das Sicherheitsstatus-Dashboard unterstützt bis zu 150.000 aktive Ergebnisse vom Scannen von Arbeitslasten auf Sicherheitslücken für jeden Cluster. Wenn die Anzahl der Ergebnisse für einen Cluster diesen Höchstwert überschreitet, werden im Sicherheitsstatus-Dashboard keine Sicherheitslücken für diesen Cluster mehr angezeigt.

    Verwenden Sie zum Beheben dieses Problems einen Scanmechanismus auf Registryebene, um Sicherheitslücken in Images zu identifizieren und Patches anzuwenden. Alternativ können Sie Ihre Arbeitslasten in einem neuen Cluster in Batches bereitstellen, um Sicherheitslücken zu identifizieren und zu beheben. Wenn die Anzahl der Sicherheitslücken unter 150.000 liegt, werden im Dashboard zur Sicherheitsposition Ergebnisse für den Cluster angezeigt.

Nächste Schritte