Analizza le vulnerabilità

Ogni istanza di Harbor creata in Harbor-as-a-Service si connette a uno scanner di vulnerabilità Trivy per aiutarti a identificare e risolvere i rischi per la sicurezza nelle immagini container. Trivy è lo scanner predefinito nelle versioni di Harbor 2.2 e successive. Trivy analizza i contenuti delle immagini container, confrontandoli con database di vulnerabilità noti, come il National Vulnerability Database, per identificare potenziali problemi.Per ulteriori informazioni, consulta https://github.com/aquasecurity/trivy.

Prima di iniziare

Devi configurare l'ambiente con gli strumenti e le autorizzazioni necessari per eseguire le scansioni delle vulnerabilità.

Prerequisiti obbligatori

• Scanner Trivy: devi aver abilitato Trivy quando hai installato l'istanza di Harbor aggiungendo l'opzione di installazione --with-trivy. Per ulteriori informazioni, consulta la documentazione di Harbor sull'esecuzione dello script di installazione: https://goharbor.io/docs/2.12.0/install-config/run-installer-script/.
• Progetto Harbor: devi avere un progetto Harbor esistente. Per ulteriori informazioni, consulta Creare progetti Harbor.

Ruoli RBAC di Harbor obbligatori

A differenza dei ruoli IAM di GDC, la scansione delle vulnerabilità richiede autorizzazioni specifiche all'interno del sistema di controllo dell'accesso basato sui ruoli (RBAC) interno di Harbor. Richiedi le autorizzazioni necessarie all'amministratore. Applica l'accesso con privilegio minimo richiedendo solo i ruoli necessari per le tue attività specifiche.

• ProjectAdmin: necessario per configurare gli scanner, avviare scansioni manuali delle vulnerabilità e aggiornare le impostazioni delle vulnerabilità a livello di progetto. All'utente che crea il progetto Harbor viene assegnato automaticamente il ruolo ProjectAdmin per quel progetto e può assegnare ruoli ad altri utenti. Per ulteriori informazioni su tutti i ruoli disponibili, consulta la documentazione di Harbor sulle autorizzazioni utente per ruolo: https://goharbor.io/docs/2.12.0/administration/managing-users/user-permissions-by-role/.

Scansionare singoli artefatti in Harbor

Segui questi passaggi per scansionare singoli artefatti in Harbor:

1. Accedi all'interfaccia di Harbor con un account con il ruolo ProjectAdmin.
2. Vai a Progetti e seleziona un progetto.
3. Fai clic sulla scheda Scanner. La scheda Scanner mostra lo scanner attualmente in uso per questo progetto.
4. Fai clic su Modifica per selezionare uno scanner diverso dall'elenco degli scanner connessi a questa istanza di Harbor e fai clic su OK.
5. Fai clic sulla scheda Repository e seleziona un repository.
6. Per ogni artefatto nel repository, la colonna Vulnerabilità mostra lo stato analisi delle vulnerabilità e le informazioni correlate.

7. Seleziona un artefatto o utilizza la casella di controllo in alto per selezionare tutti gli artefatti nel repository e fai clic su Scansiona per eseguire la scansione delle vulnerabilità su questo artefatto.

   Nota: puoi avviare una scansione in qualsiasi momento, a meno che lo stato non sia In coda o Scansione.

8. Tieni il puntatore sopra il numero di vulnerabilità risolvibili per visualizzare un riepilogo del report sulle vulnerabilità.

9. Fai clic sul digest dell'artefatto per visualizzare un report dettagliato sulle vulnerabilità.

Per ulteriori informazioni, consulta la documentazione di Harbor: https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-individual-artifact/.

Scansionare tutti gli artefatti in Harbor

Segui questi passaggi per scansionare tutti gli artefatti nell'istanza di Harbor:

1. Accedi all'interfaccia di Harbor con un account con il ruolo ProjectAdmin.
2. Nel menu Amministrazione, fai clic su Servizi di interrogazione.

3. Per eseguire una scansione di tutti gli artefatti nell'istanza di Harbor, seleziona la scheda Vulnerabilità e fai clic su Scansiona ora.

   Nota: Scansiona ora non è disponibile durante la scansione.

Per ulteriori informazioni, consulta la documentazione di Harbor: https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-all-artifacts/.

Configurare le impostazioni delle vulnerabilità nei progetti Harbor

Integra analisi delle vulnerabilità nel flusso di lavoro di Harbor per gestire in modo proattivo la sicurezza delle applicazioni containerizzate e proteggere la tua organizzazione da potenziali minacce. Configura i progetti in modo che le immagini con vulnerabilità non possano essere eseguite e che le immagini vengano scansionate automaticamente non appena vengono inserite nel progetto.

Segui questi passaggi per configurare le impostazioni delle vulnerabilità per un progetto Harbor:

1. Accedi all'interfaccia di Harbor con un account con il ruolo ProjectAdmin.
2. Vai a Progetti e seleziona un progetto.
3. Fai clic sulla scheda Configurazione.
4. Per impedire il pull delle immagini vulnerabili nel progetto, seleziona la casella di controllo Impedisci l'esecuzione di immagini vulnerabili.

5. Seleziona il livello di gravità delle vulnerabilità per impedire l'esecuzione delle immagini.

   Nota: non è possibile eseguire il pull delle immagini se il loro livello è uguale o superiore a l livello di gravità selezionato. Harbor non impedisce l'esecuzione di immagini con una gravità di vulnerabilità trascurabile.

6. Per attivare una scansione immediata delle vulnerabilità sulle nuove immagini inserite nel progetto, seleziona la casella di controllo Scansiona automaticamente le immagini al push.

Per ulteriori informazioni, consulta la documentazione di Harbor: https://goharbor.io/docs/2.12.0/working-with-projects/project-configuration/.