Rechercher des failles

Chaque instance Harbor créée dans Harbor-as-a-Service se connecte à un scanner de failles Trivy pour vous aider à identifier et à résoudre les risques de sécurité dans vos images de conteneurs. Trivy est le scanner par défaut dans les versions 2.2 et ultérieures de Harbor. Trivy analyse le contenu de vos images de conteneurs en les comparant à des bases de données de failles connues, telles que la National Vulnerability Database, afin d'identifier les problèmes potentiels.Pour en savoir plus, consultez https://github.com/aquasecurity/trivy.

Avant de commencer

Vous devez configurer votre environnement avec les outils et les autorisations nécessaires pour exécuter des analyses des failles.

Conditions préalables requises

• Scanner Trivy : vous devez avoir activé Trivy lorsque vous avez installé votre instance Harbor en ajoutant l'option d'installation --with-trivy. Pour en savoir plus, consultez la documentation Harbor sur l'exécution du script d'installation : https://goharbor.io/docs/2.12.0/install-config/run-installer-script/.
• Projet Harbor : vous devez disposer d'un projet Harbor existant. Pour en savoir plus, consultez Créer des projets Harbor.

Rôles RBAC Harbor requis

Contrairement aux rôles IAM GDC, l'analyse des failles nécessite des autorisations spécifiques dans le système interne de contrôle des accès basé sur les rôles (RBAC) de Harbor. Demandez les autorisations nécessaires à votre administrateur. Appliquez le principe du moindre privilège en ne demandant que les rôles requis pour vos tâches spécifiques.

• ProjectAdmin : requis pour configurer les scanners, lancer des analyses manuelles des failles et mettre à jour les paramètres des failles au niveau du projet. L'utilisateur qui crée le projet Harbor se voit automatiquement attribuer le rôle ProjectAdmin pour ce projet et peut attribuer des rôles à d'autres utilisateurs. Pour en savoir plus sur tous les rôles disponibles, consultez la documentation Harbor sur les autorisations utilisateur par rôle : https://goharbor.io/docs/2.12.0/administration/managing-users/user-permissions-by-role/.

Analyser des artefacts individuels dans Harbor

Pour analyser des artefacts individuels dans Harbor, procédez comme suit :

1. Connectez-vous à l'interface Harbor avec un compte disposant du rôle ProjectAdmin.
2. Accédez à Projects (Projets) et sélectionnez un projet.
3. Cliquez sur l'onglet Scanner. L'onglet Scanner affiche le scanner actuellement utilisé pour ce projet.
4. Cliquez sur Edit (Modifier) pour sélectionner un autre scanner dans la liste des scanners connectés à cette instance Harbor, puis cliquez sur OK.
5. Cliquez sur l'onglet Repositories (Dépôts) et sélectionnez un dépôt.
6. Pour chaque artefact du dépôt, la colonne Vulnerabilities (Failles) affiche l'état de l'analyse des failles et les informations associées.

7. Sélectionnez un artefact ou cochez la case en haut de la page pour sélectionner tous les artefacts du dépôt, puis cliquez sur Scan (Analyser) pour exécuter l'analyse des failles sur cet artefact.

   **Remarque** : Vous pouvez lancer une analyse à tout moment, sauf si l'état est "Queued" (En file d'attente) ou "Scanning" (Analyse en cours).

8. Maintenez le pointeur sur le nombre de failles corrigibles pour afficher un résumé du rapport sur les failles.

9. Cliquez sur le résumé de l'artefact pour afficher un rapport détaillé sur les failles.

Pour en savoir plus, consultez la documentation Harbor : https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-individual-artifact/.

Analyser tous les artefacts dans Harbor

Pour analyser tous les artefacts de votre instance Harbor, procédez comme suit :

1. Connectez-vous à l'interface Harbor avec un compte disposant du rôle ProjectAdmin.
2. Dans le menu Administration, cliquez sur Interrogation Services (Services d'interrogation).

3. Pour effectuer une analyse de tous les artefacts de votre instance Harbor, sélectionnez l'onglet Vulnerability (Failles), puis cliquez sur Scan now (Analyser maintenant).

   Remarque Scan now (Analyser maintenant) n'est pas disponible pendant l'analyse.

Pour en savoir plus, consultez la documentation Harbor : https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-all-artifacts/.

Configurer les paramètres des failles dans les projets Harbor

Intégrez l'analyse des failles à votre workflow Harbor pour gérer de manière proactive la sécurité de vos applications conteneurisées et protéger votre organisation contre les menaces potentielles. Configurez les projets de sorte que les images contenant des failles ne puissent pas être exécutées et que les images soient automatiquement analysées dès qu'elles sont transférées dans le projet.

Pour configurer les paramètres des failles d'un projet Harbor, procédez comme suit :

1. Connectez-vous à l'interface Harbor avec un compte disposant du rôle ProjectAdmin.
2. Accédez à Projects (Projets) et sélectionnez un projet.
3. Cliquez sur l'onglet Configuration.
4. Pour empêcher l'extraction d'images contenant des failles sous le projet, cochez la case Prevent vulnerable images from running (Empêcher l'exécution d'images contenant des failles).

5. Sélectionnez le niveau de gravité des failles pour empêcher l'exécution des images.

   Remarque : Les images ne peuvent pas être extraites si leur niveau est égal ou supérieur au niveau de gravité sélectionné. Harbor n'empêche pas l'exécution des images dont la gravité des failles est négligeable.

6. Pour activer une analyse immédiate des failles sur les nouvelles images transférées vers le projet, cochez la case Automatically scan images on push (Analyser automatiquement les images lors du transfert).

Pour en savoir plus, consultez la documentation Harbor : https://goharbor.io/docs/2.12.0/working-with-projects/project-configuration/.