Verificar vulnerabilidades

Cada instância do Harbor criada no Harbor-as-a-Service se conecta a um verificador de vulnerabilidades do Trivy para ajudar a identificar e resolver riscos de segurança nas imagens de contêiner. O Trivy é o verificador padrão nas versões 2.2 e mais recentes do Harbor. Ele analisa o conteúdo das imagens de contêiner, comparando-as com bancos de dados de vulnerabilidades conhecidas, como o National Vulnerability Database, para identificar possíveis problemas.Para mais informações, consulte https://github.com/aquasecurity/trivy.

Antes de começar

Você precisa configurar seu ambiente com as ferramentas e permissões necessárias para executar verificações de vulnerabilidades.

Pré-requisitos necessários

• Verificador do Trivy: você precisa ter ativado o Trivy ao instalar a instância do Harbor anexando a opção de instalação --with-trivy. Para mais informações, consulte a documentação do Harbor sobre como executar o script do instalador: https://goharbor.io/docs/2.12.0/install-config/run-installer-script/.
• Projeto do Harbor: você precisa ter um projeto do Harbor. Para mais informações, consulte Criar projetos do Harbor.

Funções do RBAC do Harbor necessárias

Ao contrário das funções do IAM do GDC, a verificação de vulnerabilidades exige permissões específicas no sistema de controle de acesso baseado em papéis (RBAC) interno do Harbor. Solicite as permissões necessárias ao administrador. Imponha o acesso com privilégio mínimo solicitando apenas as funções necessárias para suas tarefas específicas.

• ProjectAdmin: necessário para configurar verificadores, iniciar verificações manuais de vulnerabilidades e atualizar as configurações de vulnerabilidades no nível do projeto. O usuário que cria o projeto do Harbor recebe automaticamente a função ProjectAdmin para esse projeto e pode atribuir funções a outros usuários. Para mais informações sobre todas as funções disponíveis, consulte a documentação do Harbor sobre permissões de usuário por função: https://goharbor.io/docs/2.12.0/administration/managing-users/user-permissions-by-role/.

Verificar artefatos individuais no Harbor

Siga estas etapas para verificar artefatos individuais no Harbor:

1. Faça login na interface do Harbor com uma conta que tenha a função ProjectAdmin.
2. Acesse Projects e selecione um projeto.
3. Clique na guia Scanner. A guia Scanner mostra o verificador atual em uso para esse projeto.
4. Clique em Edit para selecionar um verificador diferente na lista de verificadores conectados a essa instância do Harbor e clique em OK.
5. Clique na guia Repositories e selecione um repositório.
6. Para cada artefato no repositório, a coluna Vulnerabilities mostra o status da verificação de vulnerabilidades e as informações relacionadas.

7. Selecione um artefato ou use a caixa de seleção na parte de cima para selecionar todos os artefatos no repositório e clique em Scan para executar a verificação de vulnerabilidades nesse artefato.

   **Observação**: é possível iniciar uma verificação a qualquer momento, a menos que o status seja "Enfileirado" ou "Verificando".

8. Mantenha o ponteiro sobre o número de vulnerabilidades corrigíveis para conferir um resumo do relatório de vulnerabilidades.

9. Clique no resumo do artefato para conferir um relatório detalhado de vulnerabilidades.

Para mais informações, consulte a documentação do Harbor: https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-individual-artifact/.

Verificar todos os artefatos no Harbor

Siga estas etapas para verificar todos os artefatos na instância do Harbor:

1. Faça login na interface do Harbor com uma conta que tenha a função ProjectAdmin.
2. No menu Administration, clique em Interrogation Services.

3. Para realizar uma verificação de todos os artefatos na instância do Harbor, selecione a guia Vulnerability e clique em Scan now.

   Observação: Scan now fica indisponível enquanto a verificação está em andamento.

Para mais informações, consulte a documentação do Harbor: https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-all-artifacts/.

Configurar as definições de vulnerabilidade em projetos do Harbor

Integre a verificação de vulnerabilidades ao fluxo de trabalho do Harbor para gerenciar de forma proativa a segurança dos aplicativos em contêineres e proteger sua organização contra possíveis ameaças. Configure projetos para que imagens com vulnerabilidades não possam ser executadas e para verificar automaticamente as imagens assim que forem enviadas ao projeto.

Siga estas etapas para configurar as definições de vulnerabilidade de um projeto do Harbor:

1. Faça login na interface do Harbor com uma conta que tenha a função ProjectAdmin.
2. Acesse Projects e selecione um projeto.
3. Clique na guia Configuration.
4. Para impedir que imagens vulneráveis no projeto sejam extraídas, marque a caixa de seleção Prevent vulnerable images from running.

5. Selecione o nível de gravidade das vulnerabilidades para impedir que as imagens sejam executadas.

   Observação: as imagens não podem ser extraídas se o nível delas for igual ou maior que o nível de gravidade selecionado. O Harbor não impede a execução de imagens com uma gravidade de vulnerabilidade insignificante.

6. Para ativar uma verificação de vulnerabilidades imediata em novas imagens enviadas ao projeto, selecione a caixa de seleção Automatically scan images on push.

Para mais informações, consulte a documentação do Harbor: https://goharbor.io/docs/2.12.0/working-with-projects/project-configuration/.