Avaliação de vulnerabilidades para Azure através da plataforma Gerenciamento de Vulnerabilidades do Microsoft Defender

  • Artigo

A avaliação de vulnerabilidades para o Azure, da plataforma de Gerenciamento de Vulnerabilidades do Microsoft Defender, é uma solução pronta para uso que capacita as equipes de segurança a descobrir e corrigir facilmente vulnerabilidades em imagens de contêineres, com configuração zero para integração e sem implantação de agentes.

Observação

Esse recurso dá suporte à verificação de imagens somente no ACR (Registro de Contêiner do Azure). As imagens armazenadas em outros registros de contêiner devem ser importadas para o ACR para cobertura. Saiba como Importar imagens de contêiner para um registro de contêiner

Em todas as assinaturas em que essa funcionalidade está habilitada, todas as imagens armazenadas no ACR que atendem aos critérios para disparos de verificação são verificadas quanto a vulnerabilidades sem nenhuma configuração extra de usuários ou registros. Recomendações com relatórios de vulnerabilidade são fornecidas para todas as imagens no ACR, bem como para as imagens atualmente em execução no AKS que foram efetuadas a partir de um registro do ACR ou de qualquer outro registro com suporte do Defender para Nuvem (ECR, GCR ou GAR). As imagens são verificadas logo após serem adicionadas a um registro e verificadas novamente em busca de novas vulnerabilidades uma vez a cada 24 horas.

A avaliação de vulnerabilidades de contêiner do Gerenciamento de Vulnerabilidades do Microsoft Defender tem os seguintes recursos:

  • Verificação de pacotes de SO: a avaliação de vulnerabilidades de contêiner tem a capacidade de verificação de vulnerabilidades em pacotes instalados pelo gerenciador de pacotes do Windows e do Linux. Confira a lista completa do sistema operacional compatível e suas versões.
  • Pacotes específicos do idioma - Somente Linux - suporte para pacotes e arquivos específicos do idioma e suas dependências instaladas ou copiadas sem o gerenciador de pacotes do sistema operacional. Veja a lista completa de idiomas compatíveis.
  • Verificação de imagem em Link Privado do Azure – A avaliação de vulnerabilidades de contêiner do Azure fornece a capacidade de verificar imagens nos registros de contêiner acessíveis por meio de Links Privados do Azure. Essa funcionalidade requer acesso a serviços confiáveis e autenticação com o registro. Saiba como permitir o acesso através de serviços confiáveis .
  • Informações de exploração – cada relatório de vulnerabilidade é pesquisado por meio de bancos de dados de exploração para ajudar nossos clientes a determinar o risco real associado a cada vulnerabilidade relatada.
  • Relatando: a avaliação de vulnerabilidades de contêineres para o Azure, da plataforma de Gerenciamento de Vulnerabilidades do Microsoft Defender, fornece relatórios de vulnerabilidade usando as seguintes recomendações:

Essas são as novas recomendações, que reportam vulnerabilidades de contêiner no runtime e vulnerabilidades de imagens do Registro. Estão atualmente em versão prévia, mas se destinam a substituir as recomendações anteriores. Essas novas recomendações não contam para a pontuação de segurança durante a versão prévia. O mecanismo de verificação para ambos os conjuntos de recomendações é o mesmo.

Recomendação Descrição Chave de avaliação
[Versão Prévia] As imagens de contêiner no Registro do Azure devem ter as descobertas de vulnerabilidade resolvidas O Defender para Nuvem verifica suas imagens do Registro em busca de vulnerabilidades conhecidas (CVEs) e fornece descobertas detalhadas para cada imagem digitalizada. A verificação e correção das vulnerabilidades das imagens de contêiner no Registro ajudam a manter uma cadeia de fornecimento de software segura e confiável, reduzem o risco de incidentes de segurança e garantem a conformidade com os padrões do setor. 33422d8f-ab1e-42be-bc9a-38685bb567b9
[Versão Prévia] Os contêineres em execução no Azure devem ter as descobertas de vulnerabilidade resolvidas   O Defender para Nuvem cria um inventário de todas as cargas de trabalho de contêineres atualmente em execução nos seus clusters do Kubernetes e fornece relatórios de vulnerabilidades para essas cargas de trabalho ao equiparar as imagens que estão sendo usadas e os relatórios de vulnerabilidade criados para as imagens do Registro. A verificação e a correção das vulnerabilidades de cargas de trabalho de contêiner são críticas para garantir uma cadeia de fornecimento de software consistente e segura, reduzir o risco de incidentes de segurança e garantir a conformidade com os padrões do setor. e9acaf48-d2cf-45a3-a6e7-3caa2ef769e0

Essas são as recomendações mais antigas que estão atualmente em um caminho de desativação:

Recomendação Descrição Chave de avaliação
As imagens de contêiner do registro do Azure devem ter as vulnerabilidades resolvidas (da plataforma Gerenciamento de Vulnerabilidades do Microsoft Defender) A avaliação de vulnerabilidade das imagens de contêiner examina seu registro em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado de vulnerabilidades para cada imagem. A resolução de vulnerabilidades pode melhorar muito sua postura de segurança, garantindo que as imagens sejam seguras para uso antes da implantação. c0b7cfc6-3172-465a-b378-53c7ff2cc0d5
As imagens de contêiner em execução do Azure devem ter as vulnerabilidades resolvidas (da plataforma Gerenciamento de Vulnerabilidades do Microsoft Defender)   A avaliação de vulnerabilidade das imagens de contêiner examina seu registro em busca de vulnerabilidades comumente conhecidas (CVEs) e fornece um relatório detalhado de vulnerabilidades para cada imagem. Essa recomendação fornece visibilidade para as imagens vulneráveis atualmente em execução nos seus clusters do Kubernetes. Corrigir vulnerabilidades em imagens de contêiner que estão em execução no momento é fundamental para aprimorar sua postura de segurança, reduzindo de forma significativa a superfície de ataque das suas cargas de trabalho conteinerizadas. c609cf0f-71ab-41e9-a3c6-9a1f7fe1b8d5

Gatilhos de verificação

Os gatilhos para uma verificação de imagem são:

  • Gatilho único:

    • Cada imagem enviada por push ou importada para um registro de contêiner é disparada para verificação. Na maioria dos casos, a verificação é concluída em alguns minutos, mas, em casos raros, pode levar até uma hora.
    • Cada imagem extraída de um registro é disparada para ser verificada dentro de 24 horas.

  • Gatilho de novo exame contínuo :o novo exame contínuo é necessário para garantir que as imagens verificadas anteriormente em busca de vulnerabilidades sejam verificadas novamente para atualizar os relatórios de vulnerabilidade, caso uma nova vulnerabilidade seja publicada.

    • O novo exame é realizado uma vez por dia para:

Como funciona a verificação de imagem?

Uma descrição detalhada do processo é a seguinte:

  • Ao habilitar a avaliação de vulnerabilidades de contêineres para o Azure da plataforma de Gerenciamento de Vulnerabilidades do Microsoft Defender, você permite que o Defender para Nuvem verifique as imagens de contêineres em seus Registros de Contêineres da Microsoft.

  • O Defender para Nuvem descobre automaticamente todos os registros, repositórios e imagens de contêineres (criados antes ou depois de habilitar o plano).

  • O Defender para Nuvem recebe notificações sempre que uma nova imagem é enviada por push para um Registro de Contêiner do Azure. Em seguida, a nova imagem é adicionada imediatamente ao catálogo de imagens mantidas pelo Defender para Nuvem e enfileira uma ação para examinar a imagem imediatamente.

  • Uma vez por dia e para novas imagens enviadas por push para um registro:

    • É efetuado pull de todas as imagens recém-descobertas, e um inventário é criado para cada imagem. O inventário de imagens é mantido para evitar pulls de imagem adicionais, a menos que isso seja exigido por novos recursos de scanner.​
    • Usando o inventário, os relatórios de vulnerabilidade são gerados para novas imagens e atualizados para imagens verificadas anteriormente que foram enviadas por push nos últimos 90 dias para um registro ou estão em execução no momento. Para determinar se uma imagem está atualmente em execução, o Defender para Nuvem usa tanto a Descoberta sem agente para Kubernetes quanto o inventário coletado por meio do sensor do Defender em execução nos nós do AKS
    • Os relatórios de vulnerabilidade para imagens de contêiner do registro são fornecidos como uma recomendação.

  • Para os clientes que usam a Descoberta sem agente para Kubernetes ou o inventário coletado por meio do sensor do Defender em execução nos nós do AKS, o Defender para Nuvem também cria uma recomendação para corrigir as vulnerabilidades de imagens vulneráveis em execução em um cluster do AKS. Para clientes que usam apenas Descoberta sem agente para Kubernetes, o tempo de atualização para inventário nessa recomendação é de uma vez a cada sete horas. Os clusters que também estão executando o sensor do Defender se beneficiam de uma frequência de atualização de inventário a cada duas horas. Os resultados da verificação de imagem são atualizados com base na verificação do registro em ambos os casos e, portanto, atualizados apenas a cada 24 horas.

Observação

Para o Defender para Registros de Contêineres (preterido), as imagens são verificadas uma vez no envio, na extração e novamente verificadas apenas uma vez por semana.

Se eu remover uma imagem do meu registro, quanto tempo até que os relatórios de vulnerabilidades nessa imagem sejam removidos?

Os Registros de Contêiner do Azure notificam o Defender para Nuvem quando as imagens são excluídas e removem a avaliação de vulnerabilidade para imagens excluídas dentro de uma hora. Em alguns casos raros, o Defender para Nuvem pode não ser notificado sobre a exclusão, mas a exclusão das vulnerabilidades associadas nesses casos pode levar até três dias.

Próximas etapas