כל מופע של Harbor שנוצר ב-Harbor-as-a-Service מתחבר לסורק הפגיעויות Trivy כדי לעזור לכם לזהות ולטפל בסיכוני אבטחה בתמונות של הקונטיינרים. Trivy הוא הסורק שמוגדר כברירת מחדל ב-Harbor בגרסה 2.2 ואילך. Trivy מנתח את התוכן של תמונות המכולות, משווה אותן למסדי נתונים ידועים של פגיעויות, כמו National Vulnerability Database (מסד נתונים לאומי של פגיעויות), כדי לזהות בעיות פוטנציאליות.למידע נוסף, אפשר לעיין בכתובת https://github.com/aquasecurity/trivy.
לפני שמתחילים
צריך להגדיר את הסביבה עם הכלים וההרשאות הדרושים כדי להריץ סריקות של נקודות חולשה.
דרישות מוקדמות
- Trivy scanner: צריך להפעיל את Trivy כשמתקינים את מופע Harbor על ידי הוספת אפשרות ההתקנה
--with-trivy. מידע נוסף זמין במאמר בנושא הרצת סקריפט ההתקנה במסמכי Harbor: https://goharbor.io/docs/2.12.0/install-config/run-installer-script/. - פרויקט Harbor: צריך שיהיה לכם פרויקט Harbor קיים. מידע נוסף זמין במאמר יצירת פרויקטים ב-Harbor.
תפקידי RBAC נדרשים ב-Harbor
בניגוד לתפקידי IAM ב-GDC, סריקת פגיעויות דורשת הרשאות ספציפיות במערכת הפנימית של בקרת גישה שמבוססת על תפקידים (RBAC) ב-Harbor. צריך לבקש מהאדמין את ההרשאות הדרושות. כדי לאכוף את הגישה לפי הרשאות מינימליות, צריך לבקש רק את התפקידים שנדרשים למשימות הספציפיות שלכם.
- ProjectAdmin: נדרש להגדרת סורקים, להפעלת סריקות ידניות של נקודות חולשה ולעדכון הגדרות של נקודות חולשה ברמת הפרויקט. למשתמש שיצר את פרויקט Harbor מוקצה באופן אוטומטי תפקיד
ProjectAdminבפרויקט הזה, והוא יכול להקצות תפקידים למשתמשים אחרים. מידע נוסף על כל התפקידים הזמינים מופיע במסמכי Harbor בנושא הרשאות משתמשים לפי תפקיד: https://goharbor.io/docs/2.12.0/administration/managing-users/user-permissions-by-role/.
סריקת פריטים בודדים ב-Harbor
כדי לסרוק פריטים בודדים ב-Harbor:
- נכנסים לממשק של Harbor באמצעות חשבון עם תפקיד
ProjectAdmin. - עוברים אל Projects (פרויקטים) ובוחרים פרויקט.
- לוחצים על הכרטיסייה סורק. בכרטיסייה Scanner מוצג הסורק הנוכחי שנמצא בשימוש בפרויקט הזה.
- לוחצים על עריכה כדי לבחור סורק אחר מתוך רשימת הסורקים שמחוברים למופע הזה של Harbor, ואז לוחצים על אישור.
- לוחצים על הכרטיסייה מאגרים ובוחרים מאגר.
- בעמודה Vulnerabilities (נקודות חולשה) של כל ארטיפקט במאגר מוצגים סטטוס הסריקה לאיתור נקודות חולשה ומידע שקשור לכך.
בוחרים ארטיפקט, או משתמשים בתיבת הסימון בחלק העליון כדי לבחור את כל הארטיפקטים במאגר, ולוחצים על סריקה כדי להריץ את סריקת הפגיעויות בארטיפקט הזה.
כדי לראות סיכום של דוח הפגיעות, מעבירים את הסמן מעל מספר הפגיעות שאפשר לתקן.
לוחצים על התקציר של הארטיפקט כדי לראות דוח מפורט על פגיעויות.
מידע נוסף זמין במאמרי העזרה של Harbor: https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-individual-artifact/.
סריקת כל פריטי המידע שנוצרו בתהליך הפיתוח (Artifact) ב-Harbor
כדי לסרוק את כל הארטיפקטים במופע Harbor:
- נכנסים לממשק של Harbor באמצעות חשבון עם התפקיד
ProjectAdmin. - בתפריט Administration (ניהול), לוחצים על Interrogation Services (שירותי בדיקה).
כדי לבצע סריקה של כל הארטיפקטים במופע Harbor, בוחרים בכרטיסייה Vulnerability ולוחצים על Scan now.
מידע נוסף זמין במאמרי העזרה של Harbor: https://goharbor.io/docs/2.12.0/administration/vulnerability-scanning/scan-all-artifacts/.
הגדרת הגדרות פגיעות בפרויקטים של Harbor
כדי לנהל באופן יזום את האבטחה של האפליקציות המבוססות על קונטיינרים ולהגן על הארגון מפני איומים פוטנציאליים, אפשר לשלב סריקת נקודות חולשה בתהליך העבודה של Harbor. הגדרת פרויקטים כך שלא תהיה אפשרות להריץ תמונות עם נקודות חולשה, ושהתמונות ייסרקו אוטומטית ברגע שהן מועברות לפרויקט.
בצע את השלבים הבאים כדי להגדיר את הגדרות נקודת החולשה בפרויקט Harbor:
- נכנסים לממשק של Harbor באמצעות חשבון עם תפקיד
ProjectAdmin. - עוברים אל Projects (פרויקטים) ובוחרים פרויקט.
- לוחצים על הכרטיסייה Configuration.
- כדי למנוע משיכה של תמונות פגיעות בפרויקט, מסמנים את תיבת הסימון Prevent vulnerable images from running (מניעת הפעלה של תמונות פגיעות).
בוחרים את רמת החומרה של נקודות החולשה כדי למנוע הפעלה של תמונות.
כדי להפעיל סריקה מיידית של נקודות חולשה בתמונות חדשות שמועלות לפרויקט, מסמנים את תיבת הסימון Automatically scan images on push.
מידע נוסף זמין במאמרי העזרה של Harbor: https://goharbor.io/docs/2.12.0/working-with-projects/project-configuration/.
המאמרים הבאים
אחרי שסורקים את הארטיפקטים ומגדירים את הגדרות נקודות החולשה כדי להגן על הסביבה, אפשר ליצור כללים אוטומטיים למחיקה של קובצי אימג' של קונטיינרים שהם לא פעילים או שיש בהם נקודות חולשה. אם כבר הגדרתם כללי שמירה, אתם יכולים להמשיך לפריסת עומסי העבודה המאובטחים.