Verificação de imagem de contêiner para decomposição de software
Os aplicativos Visibilidade do ITOM, Padrões de descoberta e mapeamento de serviços e Kubernetes Visibility Agent se integram com Aqua Trivy para coletar dados em imagens de contêiner e pacotes de SO. Você pode aumentar seu controle sobre a implantação do contêiner, tendo visibilidade dos componentes do contêiner.
Benefícios da verificação de imagem
- Ele ajuda a identificar o software instalado em contêineres para casos de uso regulatórios e de conformidade.
- Isso ajuda você a aderir às políticas da empresa, como uso de imagens douradas, software desatualizado, rótulos obrigatórios ou políticas de configuração.
- Também ajuda a gerenciar o software licenciado em execução em contêineres.
- Você também pode obter o contexto de serviço usando marcadores e malha de serviço para entender o impacto deles na sua organização.
Casos de uso de verificação de imagem com Visibilidade do ITOM
Você pode usar dois aplicativos Visibilidade do ITOM para verificar imagens de contêiner, Padrões de descoberta e mapeamento de serviços e Kubernetes Visibility Agent. Padrões é um conjunto de recursos usado por Descoberta, Descoberta na nuveme Mapeamento de serviços. Kubernetes Visibility Agent é um recurso do Agent Client Collector. Embora o Kubernetes Visibility Agent (anteriormente conhecido como CNO-V) seja mais adequado para cargas de trabalho em contêineres Kubernetes e dinâmicas, a descoberta baseada em padrões é mais adequada para contêineres não Kubernetes Docker.
- Caso de uso nº 1
- Depois que uma aplicação é empacotada em imagens de contêiner, um profissional de segurança pode verificar a imagem base e a imagem final em busca de vulnerabilidades e identificar pacotes de SO, dependências de software e registros de aplicações. Isso é especificamente para MSSQL Server em contêiner.
| Métodos de visibilidade | Características do método | O que foi descoberto |
|---|---|---|
|
Padrões de descoberta e mapeamento de serviços e Aqua Trivy:
|
|
Descoberto usando Padrões de descoberta e mapeamento de serviços:
Para obter mais informações, consulte:
|
Kubernetes Agente de visibilidade e Aqua Trivy:
|
Kubernetes A descoberta baseada no Agente de visibilidade não requer configuração de credencial e não precisa de MID Server. O acesso é feito por meio de ServiceAccount/ClusterRole. A instalação é feita por meio de Gráfico do Helm ou Kubernetes arquivo YAML. A descoberta é executada quase em tempo real. Use Kubernetes o Explorer para baixar SBOM. |
Descoberto usando Kubernetes Agente de visibilidade
|
- Caso de uso nº 2
- Um responsável pela conformidade pode gerar um SBOMpara obter uma lista detalhada das dependências da imagem do contêiner e para garantir que o software esteja em conformidade com as regulamentações do setor.
| Método de visibilidade | Características do método |
|---|---|
| Kubernetes padrão ou Docker padrão | SBOM A criação faz parte da verificação do contêiner. |
| Kubernetes Agente de visibilidade | SBOM A criação também faz parte da verificação do contêiner, , mas o uso do ACC é mais adequado para organizações que precisam de flexibilidade para executar a descoberta completa e contínua. |
- Caso de uso nº 3
-
Um engenheiro encontrou um defeito em uma imagem personalizada e precisa encontrar todos os Kubernetes pods que estão sendo executados usando essa imagem.
| Método de visibilidade | Características do método | O que foi descoberto |
|---|---|---|
| Kubernetes padrão | Aqua Trivy a verificação de contêiner não é necessária. Você pode identificar os pods usando Padrões. |
|
| Kubernetes padrão com Descoberta na nuvem | Aqua Trivy a verificação de contêiner não é necessária. Você pode identificar os pods usando Padrões. | Todos os itens acima e detalhes da conta ou região |
- Caso de uso nº 4
- Um engenheiro encontra um defeito em uma imagem personalizada e precisa encontrar todos os Docker contêineres (não Kubernetes) que estão sendo executados usando essa imagem.
| Método de visibilidade | Características do método | O que foi descoberto |
|---|---|---|
| Descoberta horizontal de VM em execução Docker (padrãoDocker ) | Aqua Trivy a verificação de contêiner não é necessária. Você pode identificar os pods usando Padrões. | Consulte: Virtualização do Docker |
Verificação de imagem com Padrões de descoberta e mapeamento de serviços
Os padrõesKubernetes e Docker se integram à ferramenta Aqua Trivy e executam trabalhos agendados para descobrir imagens de contêiner e pacotes de SO em intervalos fixos de 10 imagens por minuto. Durante a verificação, o padrão indica o status da verificação. O padrão descobre pacotes do SO que estão relacionados a uma imagem. Em seguida, ele encontra os atributos do comando de imagem, como a classe de IC. Com base nos atributos de comando, o padrão cria registros de aplicações. Além disso, o padrão usa scripts aprimorados para adicionar detalhes aos registros da aplicação. Depois disso, o padrão mapeia as relações entre os pacotes do SO e os contêineres.
Parte dos dados é preenchida em tabelas CMDB e parte deles em tabelas de transformação (tabelas temporárias não pertencentes ao CMDB). As tabelas de transformação são instaladas com o padrão. Por exemplo, as informações obtidas com a verificação incluem registro de origem, nome do software e versão.