Auf Sicherheitslücken scannen

Jede in Harbor-as-a-Service erstellte Harbor-Instanz ist mit einem Trivy-Scanner für Sicherheitslücken verbunden, mit dem Sie Sicherheitsrisiken in Ihren Container-Images identifizieren und beheben können. Trivy ist der Standardscanner in Harbor-Versionen 2.2 und höher. Trivy analysiert den Inhalt Ihrer Container-Images und vergleicht sie mit bekannten Datenbanken für Sicherheitslücken wie der National Vulnerability Database, um potenzielle Probleme zu identifizieren.Weitere Informationen finden Sie unter https://github.com/aquasecurity/trivy.

Hinweis

Sie müssen Ihre Umgebung mit den erforderlichen Tools und Berechtigungen konfigurieren, um Scans auf Sicherheitslücken auszuführen.

Erforderliche Voraussetzungen

Erforderliche Harbor-RBAC-Rollen

Im Gegensatz zu GDC-IAM-Rollen erfordert das Scannen auf Sicherheitslücken bestimmte Berechtigungen im internen rollenbasierten Zugriffssteuerungssystem (RBAC) von Harbor. Fordern Sie die erforderlichen Berechtigungen von Ihrem Administrator an. Setzen Sie das Prinzip der geringsten Berechtigung durch, indem Sie nur die Rollen anfordern, die für Ihre spezifischen Aufgaben erforderlich sind.

  • ProjectAdmin: Erforderlich, um Scanner zu konfigurieren, manuelle Scans auf Sicherheitslücken zu starten und Einstellungen für Sicherheitslücken auf Projektebene zu aktualisieren. Dem Nutzer, der das Harbor-Projekt erstellt, wird automatisch die Rolle ProjectAdmin für dieses Projekt zugewiesen. Er kann anderen Nutzern Rollen zuweisen. Weitere Informationen zu allen verfügbaren Rollen finden Sie in der Harbor-Dokumentation unter User permissions by role (Nutzerberechtigungen nach Rolle): https://goharbor.io/docs/2.12.0/administration/managing-users/user-permissions-by-role/.

Einzelne Artefakte in Harbor scannen

So scannen Sie einzelne Artefakte in Harbor:

  1. Melden Sie sich in der Harbor-Oberfläche mit einem Konto an, das die Rolle ProjectAdmin hat.
  2. Rufen Sie Projects (Projekte) auf und wählen Sie ein Projekt aus.
  3. Klicken Sie auf den Tab Scanner. Auf dem Tab Scanner wird der aktuelle Scanner angezeigt, der für dieses Projekt verwendet wird.
  4. Klicken Sie auf Edit (Bearbeiten), um einen anderen Scanner aus der Liste der Scanner auszuwählen, die mit dieser Harbor-Instanz verbunden sind, und klicken Sie auf OK.
  5. Klicken Sie auf den Tab Repositories (Repositories) und wählen Sie ein Repository aus.
  6. In der Spalte Vulnerabilities (Sicherheitslücken) wird für jedes Artefakt im Repository der Status des Scans auf Sicherheitslücken und zugehörige Informationen angezeigt.

  7. Wählen Sie ein Artefakt aus oder verwenden Sie das Kästchen oben, um alle Artefakte im Repository auszuwählen, und klicken Sie auf Scan (Scannen), um den Scan auf Sicherheitslücken für dieses Artefakt auszuführen.

  8. Bewegen Sie den Mauszeiger auf die Anzahl der behebaren Sicherheitslücken, um eine Zusammenfassung des Berichts zu Sicherheitslücken aufzurufen.

  9. Klicken Sie auf den Artefaktdigest, um einen detaillierten Bericht zu Sicherheitslücken aufzurufen.

Weitere Informationen finden Sie in der Harbor-Dokumentation: https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-individual-artifact/.

Alle Artefakte in Harbor scannen

So scannen Sie alle Artefakte in Ihrer Harbor-Instanz:

  1. Melden Sie sich in der Harbor-Oberfläche mit einem Konto an, das die Rolle ProjectAdmin hat.
  2. Klicken Sie im Menü Administration (Verwaltung) auf Interrogation Services (Abfragedienste).

  3. Wenn Sie alle Artefakte in Ihrer Harbor-Instanz scannen möchten, wählen Sie den Tab Vulnerability (Sicherheitslücken) aus und klicken Sie auf Scan now (Jetzt scannen).

Weitere Informationen finden Sie in der Harbor-Dokumentation: https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-all-artifacts/.

Einstellungen für Sicherheitslücken in Harbor-Projekten konfigurieren

Integrieren Sie das Scannen auf Sicherheitslücken in Ihren Harbor-Workflow, um die Sicherheit Ihrer containerisierten Anwendungen proaktiv zu verwalten und Ihre Organisation vor potenziellen Bedrohungen zu schützen. Konfigurieren Sie Projekte so, dass Images mit Sicherheitslücken nicht ausgeführt werden können, und scannen Sie Images automatisch, sobald sie in das Projekt übertragen werden.

So konfigurieren Sie die Einstellungen für Sicherheitslücken für ein Harbor-Projekt:

  1. Melden Sie sich in der Harbor-Oberfläche mit einem Konto an, das die Rolle ProjectAdmin hat.
  2. Rufen Sie Projects (Projekte) auf und wählen Sie ein Projekt aus.
  3. Klicken Sie auf den Tab Configuration (Konfiguration).
  4. Wenn Sie verhindern möchten, dass anfällige Images unter dem Projekt abgerufen werden, aktivieren Sie das Kästchen Prevent vulnerable images from running (Ausführung anfälliger Images verhindern).

  5. Wählen Sie den Schweregrad der Sicherheitslücken aus, um zu verhindern, dass Images ausgeführt werden.

  6. Wenn Sie einen sofortigen Scan auf Sicherheitslücken für neue Images aktivieren möchten, die in das Projekt übertragen werden, wählen Sie das Kästchen Automatically scan images on push (Images beim Übertragen automatisch scannen) aus.

Weitere Informationen finden Sie in der Harbor-Dokumentation: https://goharbor.io/docs/2.12.0/working-with-projects/project-configuration/.