本文說明 Google 如何管理 Apigee hybrid 的安全漏洞和修補程式。除非另有註明，否則 Apigee 同時包含管理層和資料層。
共同修補責任
修補是 Google 和客戶的共同責任。Apigee X 和 Apigee Hybrid 的共同責任不同，因為 Apigee Hybrid 的資料層完全由客戶管理。如要瞭解 Apigee hybrid 共同責任，請參閱「Apigee hybrid 共同責任模式」。
如何發現安全漏洞
Google 採取主動做法，確保軟體系統安全，採用預設採用安全設定的設計原則，並實施各種安全強化措施。
舉例來說，容器化應用程式可支援各種 Apigee API 管理平台功能。容器化應用程式部署於 Kubernetes。容器映像檔是以最精簡的基本映像檔 (例如無發行版基本映像檔) 為基礎建構而成，可提供最高安全性並提升效能。
不過，即使是設計最完善的軟體系統，也可能存在安全漏洞。為了找出這些安全漏洞，並在漏洞遭到利用前進行修補，Google 在多個方面投入了大量資源。
安全性掃描工具
Google 會主動找出並修正不同類型容器映像檔的安全漏洞：
- 第一方容器：由 Google 建構及發布的容器映像檔，屬於 Apigee 平台的一部分。這些是 Google 專屬應用程式，可為 Apigee API 管理平台提供支援，包括流量轉送、配額管理和金鑰管理等核心功能。
- 第三方容器：由開放原始碼社群建構，但由 Google 發布的容器映像檔，屬於 Apigee 平台的一部分。這些元件大多是開放原始碼，平台會用於常見的作業工作，例如記錄、監控和憑證管理。
Google 會使用 Container Registry Container Analysis 掃描容器，找出第一方和第三方容器中的安全漏洞和缺少的修補程式。如果已有修正程式，Google 就會開始修補及發布。這類掃描會定期執行 (發布新映像檔時)，也會隨選執行 (發布前)，盡可能提高偵測到新安全漏洞的機率，並及早規劃修復或緩解措施。
安全性研究
除了自動掃描之外，Google 還會透過下列方式，找出並修補掃描工具未知的安全漏洞：
- Google 會針對所有 Apigee 元件執行安全性與法規遵循稽核、應用程式和網路滲透測試、區隔測試，以及安全性漏洞偵測。
Google 內部的專業團隊和值得信賴的第三方資安供應商會自行進行攻擊研究。 - Google 與其他業界和開放原始碼軟體合作夥伴合作，在安全漏洞公開發布之前，分享安全漏洞、安全性研究和修補程式。
這項合作的目標是在安全漏洞公開前，先修補大部分的網際網路基礎架構。在某些情況下，Google 會將發現的安全漏洞提供給這個社群。舉例來說，Google 的 Project Zero 發現並公開了 Spectre 和 Meltdown 漏洞。Google Cloud 安全性團隊也會定期尋找並修正核心式虛擬機器 (KVM) 中的安全漏洞。
安全漏洞檢舉計畫
Google 透過多項安全漏洞檢舉計畫，積極與資安研究社群互動。Google Cloud 設有專屬的安全漏洞檢舉計畫，提供高額獎勵，包括每年發現最重大雲端安全漏洞的 $133,337 美元獎金。這項計畫涵蓋所有 Apigee 軟體依附元件。
OSS
Google 在許多層面都與其他機構合作，共同維護安全。有時，組織會透過正式計畫註冊，接收 Kubernetes 和 Envoy 等產品的軟體安全漏洞預先發布通知。我們也參與了許多開放原始碼專案，例如 Linux 核心、容器執行階段、虛擬化技術等，因此也會進行非正式的協作。
雖然嚴重程度較低的安全漏洞是在這些程序之外發現並修補，但大多數重大安全漏洞都是透過上述管道私下回報。提早回報可讓 Google 在安全漏洞公開前，有時間研究該漏洞對 Apigee 的影響、開發修補程式或緩解措施，以及為客戶準備建議和通訊內容。在安全漏洞公開發布之前，Google 會盡可能修補所有叢集 (適用於 Apigee X)。Apigee Hybrid 會定期發布修補程式版本，解決容器映像檔中的安全漏洞，建議客戶隨時更新至最新修補程式版本。
安全漏洞分類方式
Apigee 在整個堆疊的安全強化方面投入大量資源，包括基礎映像檔、第三方資料庫和第一方應用程式軟體，以及設定良好的預設值、安全強化設定和代管元件。這些措施相輔相成，有助於降低安全漏洞的影響和發生機率。
Apigee 資安團隊會根據通用漏洞評分系統 (CVSS) 將安全漏洞分類。
下表說明安全漏洞嚴重程度類別：
| 嚴重性 | 說明 |
| Critical | 未經驗證的遠端攻擊者可輕易利用所有叢集中的安全漏洞，全面入侵系統。 |
| 高 | 許多叢集容易遭到安全漏洞攻擊，導致機密性、完整性或可用性受損。 |
| Medium | 部分叢集可利用的漏洞，機密性、完整性或可用性損失受限於常見設定、漏洞利用難度、所需存取權或使用者互動。 |
| 低 | 所有其他安全漏洞。不太可能遭到入侵，或入侵造成的後果有限。 |
安全漏洞和修補程式的通知方式
Google 的目標是在適當的時間範圍內，根據偵測到的安全漏洞所代表的風險，降低這些安全漏洞。Apigee 包含在 Google Cloud 的 FedRAMP 臨時 ATO 中，該授權要求根據 FedRAMP 持續監控效能管理指南中所示的嚴重性等級，在特定時間範圍內修復已知安全漏洞。Google Cloud 的 FedRAMP 臨時 ATO 不包含 Apigee hybrid 資料層元件 (客戶自行管理)，但我們希望這些產品的修復時間範圍相同。
主動掃描偵測到的安全漏洞
Google 會主動掃描二進位檔和託管 Apigee 平台的基礎架構，偵測安全漏洞。Apigee 會定期發布修補程式更新，根據基礎 CVE 的嚴重程度，及時解決這些安全漏洞。修補安全漏洞時，必須升級至新的 Apigee Hybrid 版本，可能是子版本升級或修補程式版本升級，具體取決於安全漏洞的性質。這類安全漏洞大多會在 Apigee hybrid 的每月修補程式版本中解決，並在 Apigee X 的情況下，納入代管機群的定期軟體更新。Apigee X 和 Apigee hybrid 的版本資訊會提供安全性修補程式相關資訊。
有些安全漏洞只要升級控制層即可修正，Google 會在 Apigee 上自動執行這項作業，但有些安全漏洞則需要將新的二進位檔推出至資料層。如果是 Apigee X，Google 會負責將新的二進位檔推出至整個機群。執行 Apigee Apigee hybrid 的客戶必須將修補程式版本套用至 Apigee hybrid 叢集，才能推出更新後的二進位檔。
為確保叢集已套用修補程式，並強化防範各種嚴重程度的安全漏洞，建議您為任何指定的 Apigee hybrid 子版本套用最新修補程式版本。如果是在 Anthos 上執行 Apigee hybrid，Google 建議您至少每月升級一次 Anthos 元件。
客戶回報的安全漏洞
Apigee Hybrid 會提供 Apigee 二進位檔，讓客戶在資料中心或偏好的雲端平台中執行。客戶在自家資料中心將軟體導入正式環境時，可能會執行一系列安全性測試，做為安全性標準的一部分。這些測試可能包括滲透測試、容器掃描、靜態程式碼掃描等。這些測試可能會回報 Apigee 軟體中可能存在的安全漏洞。在資料中心啟用這些套件之前，客戶必須判斷這些回報項目是否可遭利用，進而構成安全風險。
有攻擊概念驗證的安全漏洞
如果客戶發現可利用的安全漏洞，並有如何利用該漏洞的概念驗證 (POC)，應透過 Google 安全漏洞檢舉計畫 (goo.gle/vulnz) 回報這個問題。這會將問題回報給 Google 安全性團隊，由他們驗證概念驗證，並判斷嚴重程度和潛在影響。接著，問題會提報給 Apigee。客戶可能有資格透過 VRP 計畫獲得獎勵。
自動化工具發現的安全漏洞
如果客戶根據靜態掃描或其他工具或技術，產生 Apigee 產品中可能存在的安全漏洞報告，但沒有任何概念驗證，說明如何利用這些問題，則可以透過 Google Cloud 支援入口網站向支援團隊回報這些項目。向支援團隊回報問題後，客戶會取得追蹤用的票證編號，並可查看回報內容的更新和回覆。支援團隊會視情況將回報的問題提報給內部相關人員。
CVE ID
客戶應盡可能提供安全漏洞的相關資訊，尤其是每個項目的 CVE 識別碼、程式庫/套件名稱、容器映像檔名稱等。CVE 可讓我們確認正在查看的是同一個安全漏洞。如果只提供問題說明或其他專屬追蹤號碼，就無法在偵測工具或回報程序中建立問題關聯。如果沒有 CVE，Google 可能無法回應特定項目。
回應
如果向支援團隊回報的問題嚴重性分數為「重大」或「高」，客戶可以透過支援單系統獲得回覆。如要回報 VRP 相關問題，請參閱計畫提供的規則和說明文件。