Analiza en busca de vulnerabilidades

Cada instancia de Harbor creada en Harbor-as-a-Service se conecta a un analizador de vulnerabilidades de Trivy para ayudarte a identificar y abordar los riesgos de seguridad en tus imágenes de contenedor. Trivy es el analizador predeterminado en las versiones 2.2 y posteriores de Harbor. Trivy analiza el contenido de tus imágenes de contenedor y las compara con bases de datos de vulnerabilidades conocidas, como la National Vulnerability Database, para identificar posibles problemas.Para obtener más información, consulta https://github.com/aquasecurity/trivy.

Antes de comenzar

Debes configurar tu entorno con las herramientas y los permisos necesarios para ejecutar análisis de vulnerabilidades.

Requisitos previos obligatorios

  • Analizador de Trivy: Debes haber habilitado Trivy cuando instalaste tu instancia de Harbor agregando la opción de instalación --with-trivy. Para obtener más información, consulta la documentación de Harbor sobre la ejecución de la secuencia de comandos del instalador: https://goharbor.io/docs/2.12.0/install-config/run-installer-script/.
  • Proyecto de Harbor: Debes tener un proyecto de Harbor existente. Para obtener más información, consulta Crea proyectos de Harbor.

Roles de RBAC de Harbor obligatorios

A diferencia de los roles de IAM de GDC, el análisis de vulnerabilidades requiere permisos específicos dentro del sistema interno de control de acceso basado en roles (RBAC) de Harbor. Solicita los permisos necesarios a tu administrador. Aplica el acceso de privilegio mínimo solicitando solo los roles necesarios para tus tareas específicas.

  • ProjectAdmin: Es necesario para configurar analizadores, iniciar análisis de vulnerabilidades manuales y actualizar la configuración de vulnerabilidades a nivel del proyecto. Al usuario que crea el proyecto de Harbor se le asigna automáticamente el rol ProjectAdmin para ese proyecto y puede asignar roles a otros usuarios. Para obtener más información sobre todos los roles disponibles, consulta la documentación de Harbor sobre los permisos de usuario por rol: https://goharbor.io/docs/2.12.0/administration/managing-users/user-permissions-by-role/.

Analiza artefactos individuales en Harbor

Sigue estos pasos para analizar artefactos individuales en Harbor:

  1. Accede a la interfaz de Harbor con una cuenta que tenga el rol ProjectAdmin.
  2. Ve a Proyectos y selecciona un proyecto.
  3. Haz clic en la pestaña Analizador. En la pestaña Analizador , se muestra el analizador actual en uso para este proyecto.
  4. Haz clic en Editar para seleccionar un analizador diferente de la lista de analizadores que están conectados a esta instancia de Harbor y haz clic en Aceptar.
  5. Haz clic en la pestaña Repositorios y selecciona un repositorio.
  6. Para cada artefacto del repositorio, la columna Vulnerabilidades muestra el estado del análisis de vulnerabilidades y la información relacionada.

  7. Selecciona un artefacto o usa la casilla de verificación en la parte superior para seleccionar todos los artefactos del repositorio y haz clic en Analizar para ejecutar el análisis de vulnerabilidades en este artefacto.

  8. Mantén el puntero sobre la cantidad de vulnerabilidades corregibles para ver un resumen del informe de vulnerabilidades.

  9. Haz clic en el resumen del artefacto para ver un informe de vulnerabilidades detallado.

Para obtener más información, consulta la documentación de Harbor: https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-individual-artifact/.

Analiza todos los artefactos en Harbor

Sigue estos pasos para analizar todos los artefactos de tu instancia de Harbor:

  1. Accede a la interfaz de Harbor con una cuenta que tenga el rol ProjectAdmin.
  2. En el menú Administración, haz clic en Servicios de interrogación.

  3. Para realizar un análisis de todos los artefactos de tu instancia de Harbor, selecciona la pestaña Vulnerabilidad y haz clic en Analizar ahora.

Para obtener más información, consulta la documentación de Harbor: https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-all-artifacts/.

Configura los parámetros de vulnerabilidad en los proyectos de Harbor

Integra el análisis de vulnerabilidades en tu flujo de trabajo de Harbor para administrar de forma proactiva la seguridad de tus aplicaciones en contenedores y proteger a tu organización de posibles amenazas. Configura los proyectos para que no se puedan ejecutar imágenes con vulnerabilidades y para analizar automáticamente las imágenes en cuanto se envíen al proyecto.

Sigue estos pasos para configurar los parámetros de vulnerabilidad de un proyecto de Harbor:

  1. Accede a la interfaz de Harbor con una cuenta que tenga el rol ProjectAdmin.
  2. Ve a Proyectos y selecciona un proyecto.
  3. Haz clic en la pestaña Configuración.
  4. Para evitar que se extraigan imágenes vulnerables del proyecto, habilita la casilla de verificación Evitar que se ejecuten imágenes vulnerables.

  5. Selecciona el nivel de gravedad de las vulnerabilidades para evitar que se ejecuten las imágenes.

  6. Para activar un análisis de vulnerabilidades inmediato en las imágenes nuevas que se envían al proyecto, selecciona la casilla de verificación Analizar imágenes automáticamente en el envío.

Para obtener más información, consulta la documentación de Harbor: https://goharbor.io/docs/2.12.0/working-with-projects/project-configuration/.

¿Qué sigue?

Después de analizar tus artefactos y configurar los parámetros de vulnerabilidad para proteger tu entorno, puedes establecer reglas automatizadas para limpiar imágenes de contenedor obsoletas o vulnerables. Si ya configuraste las reglas de retención, puedes continuar con la implementación de tus cargas de trabajo seguras.