具有 Microsoft Defender 弱點管理 的 Azure 弱點評估
由 Microsoft Defender 弱點管理提供的 Azure 弱點評估是現用的解決方案，可讓安全性小組輕鬆探索和補救容器映像中的弱點，且沒有上線設定，不需要部署任何代理程式。
注意
此功能僅支援掃描 Azure Container Registry (ACR) 中的映像。 儲存在其他容器登錄中的映像應匯入 ACR 以進行覆蓋。 瞭解如何將容器映像匯入容器登錄。
在啟用此功能的每個訂用帳戶中，儲存在 ACR 中符合掃描觸發程序準則的所有映像都會掃描是否有弱點，而不需要任何額外的使用者或登錄設定。 針對 ACR 中的所有映像，以及目前在 AKS 中執行的映像 (從 ACR 登錄提取或從任何其他支援適用於雲端的 Defender 登錄提取：ECR、GCR 或 GAR) 所提供的弱點報告建議。 映像新增至登錄不久之後就會經過掃描，每隔 24 小時重新掃描一次是否有新弱點。
由 Microsoft Defender 弱點管理所提供的容器弱點評估具有下列功能：
- 掃描 OS 套件 - 容器弱點評估能夠掃描 Linux 和 Windows OS 中 OS 套件管理員所安裝的套件弱點。 請參閱支援作業系統及其版本的完整清單。
- 語言特定套件 – 僅限 Linux - 支持語言特定套件和檔案，以及安裝或複製其相依性，而不需要操作系統套件管理員。 請參閱支援語言的完整清單。
- Azure Private Link 中的映像掃描 - Azure 容器弱點評估可讓您掃描容器登錄中的映像 (可透過 Azure Private Link 存取)。 這項功能需要存取信任的服務，並使用登錄進行驗證。 瞭解如何允許 受信任的服務存取。
- 惡意探索資訊 - 每個弱點報告都是透過惡意探索資料庫來搜尋，以協助我們的客戶判斷與每個報告弱點相關聯的實際風險。
- 報告 - 由 Microsoft Defender 弱點管理所提供的 Azure 容器弱點評估會使用下列建議提供弱點報告：
這些是報告運行時間容器弱點和登錄映像弱點的新建議。 它們目前處於預覽狀態，但旨在取代舊的建議。 在預覽期間，這些新建議不會計入安全分數。 這兩組建議的掃描引擎都相同。
| 建議 | 描述 | 評定金鑰 |
|---|---|---|
| [預覽]Azure 登錄中的容器映像應該已解決弱點結果 | 適用於雲端的 Defender 會掃描您的登錄映像是否有已知的弱點（CVE），並提供每個掃描影像的詳細結果。 掃描和補救登錄中容器映射的弱點有助於維護安全且可靠的軟體供應鏈、降低安全性事件的風險，並確保符合業界標準。 | 33422d8f-ab1e-42be-bc9a-38685bb567b9 |
| [預覽]在 Azure 中執行的容器應該已解決弱點結果 | 適用於雲端的 Defender 會建立 Kubernetes 叢集中目前執行的所有容器工作負載清查，並比對所使用的映射和針對登錄映像建立的弱點報告，為這些工作負載提供弱點報告。 掃描和補救容器工作負載的弱點，對於確保健全且安全的軟體供應鏈、降低安全性事件的風險，並確保符合業界標準至關重要。 | e9acaf48-d2cf-45a3-a6e7-3caa2ef769e0 |
以下是目前處於淘汰路徑的較舊建議：
| 建議 | 描述 | 評定金鑰 |
|---|---|---|
| Azure 登錄容器映像應已解決弱點 (由 Microsoft Defender 弱點管理提供支援) | 容器映像弱點評估會掃描登錄中的常見已知弱點 (CVE)，並提供每個映像的詳細弱點報告。 解決弱點可大幅改善您的安全性態勢，確保映像可安全使用再進行部署。 | c0b7cfc6-3172-465a-b378-53c7ff2cc0d5 |
| Azure 執行中的容器映像應已解決弱點 (由 Microsoft Defender 弱點管理提供支援) | 容器映像弱點評估會掃描登錄中的常見已知弱點 (CVE)，並提供每個映像的詳細弱點報告。 此建議可讓您看見目前在 Kubernetes 叢集中執行的易受攻擊映像。 補救目前正在執行的容器映像中的弱點是改善安全性態勢的關鍵，可大幅降低容器化工作負載的受攻擊面。 | c609cf0f-71ab-41e9-a3c6-9a1f7fe1b8d5 |
- 透過 Azure Resource Graph 查詢弱點資訊 - 能夠透過 Azure Resource Graph 查詢弱點資訊。 瞭解如何 透過ARG查詢建議。
- 透過 REST API 查詢掃描結果 - 瞭解如何透過 REST API 查詢掃描結果。
- 豁免 支援 - 瞭解如何 建立管理群組、資源群組或訂用帳戶的豁免規則。
- 支援停用弱點 - 瞭解如何 停用映射上的弱點。
掃描觸發程序
映像掃描的觸發程序如下：
單次觸發：
- 每個推送或匯入至容器登錄的映像都會觸發掃描。 在大部分情況下，掃描會在幾分鐘內完成，但在極少數情況下，最多可能需要一小時的時間。
- 從登錄提取的每個映像都會在 24 小時內觸發掃描。
持續重新掃描觸發 – 需要持續重新掃描，以確保先前掃描過弱點的映像會重新掃描，以在發佈新的弱點時更新弱點報告。
- 每天執行一次重新掃描 ：
- 過去 90 天內推送的映像。
- 過去 30 天內提取的映像。
- 目前在由 適用於雲端的 Defender 監視的 Kubernetes 叢集上執行的映像（透過 Kubernetes 或 Defender 感測器的無代理程式探索）。
- 每天執行一次重新掃描 ：
映像掃描如何運作？
掃描流程的詳細描述如下：
當您啟用由 Microsoft Defender 弱點管理 提供之 Azure 的容器弱點評估時，您會授權 適用於雲端的 Defender 掃描 Azure 容器登錄中的容器映像。
適用於雲端的 Defender 會自動探索所有容器登錄、存放庫和映像 (在啟用此功能之前或之後建立)。
每當將新映像推送至 Azure Container Registry 時，適用於雲端的 Defender 就會收到通知。 然後，新映像會立即新增至適用於雲端的 Defender 所維護的映像目錄，並將動作排入佇列以立即掃描映像。
一天一次，並適用於推送至登錄的新映像：
- 系統會提取所有新探索到的映像，並針對每個映像建立清查。 除非新的掃描儀功能需要，否則會保留影像清查以避免進一步的影像提取。
- 使用清查時，系統會針對新的映像產生弱點報告，並針對先前掃描的映像進行更新，這些映像是在過去 90 天內推送至登錄，或目前正在執行中。 若要判斷映像目前是否正在執行，適用於雲端的 Defender 使用 Kubernetes 的無代理程式探索，以及透過在 AKS 節點上執行的 Defender 感測器收集的清查
- 登錄容器映像的弱點報告是作為建議提供。
對於使用 Kubernetes 的無代理程式探索或透過在 AKS 節點上執行的 Defender 感測器收集的清查的客戶，適用於雲端的 Defender 也會針對在 AKS 叢集上執行的易受攻擊映像補救弱點建立建議。 對於只 針對 Kubernetes 使用無代理程式探索的客戶，此建議中的清查重新整理時間是每 7 小時一次。 同時執行Defender感測器的叢集受益於兩小時的清查重新整理速率。 映像掃描結果會根據這兩種情況下的登錄掃描進行更新，因此只會每隔 24 小時重新整理一次。
注意
針對 適用於容器登錄的 Defender（已淘汰），映像會在推送、提取時掃描一次，並每周只重新掃描一次。
如果我從登錄中移除映像，該映像的弱點報告多久才會移除？
Azure Container Registry 會在刪除映像時通知適用於雲端的 Defender，並在一小時內移除已刪除映像的弱點評估。 在某些極少數的情況下，適用於雲端的 Defender 可能不會在刪除時收到通知，而在這種情況下刪除相關聯的弱點最多可能需要三天的時間。
下一步
- 深入瞭解 適用於雲端的 Defender Defender 方案。
- 請參閱 適用於容器的Defender的常見問題 。