文档首页

全部产品

租户端安全容器安全（TCSS）最佳实践-新

镜像漏洞扫描和漏洞管理

最近更新时间: 2024-10-17 17:10:00

镜像安全是容器稳定运行的必备条件，当镜像存在安全风险时，风险镜像运行的容器随时可能遭受攻击、影响线上运行业务稳定性。因此在业务上线之前，需对即将应用到的镜像进行安全风险评估，确认无风险后再投入使用。

镜像安全风险主要涉及漏洞、木马和敏感信息泄漏，其中涉及到的镜像漏洞及漏洞管理问题尤其重要。在对镜像漏洞进行扫描和管理时，主要分为两个阶段进行管理：上线前、上线后。

镜像上线之前，客户将打包或下载好的镜像存储在仓库，入仓时需对新入仓的镜像进行整体安全评估，如存在安全问题，建议修复后再入仓管理。

容器安全服务支持的仓库类型包括：腾讯云 TCR 镜像、腾讯云 CCR 镜像、Harbor 镜像。

当客户镜像存储在 Harbor 仓库时，客户需手动接入仓库再拉取镜像资产。在[ 仓库镜像页面]，单页右上角的镜像仓管理 > 新增镜像仓，按要求验证仓库基本信息、连接地址等即可。

在[仓库镜像页面]，勾选新增的待评估镜像进行授权并扫描镜像。扫描完成，进入 [漏洞管理页面]查看扫描出的漏洞。

如需查看全部漏洞，依次单击系统漏洞和应用漏洞，导出所有漏洞列表，在列表中查看影响仓库镜像的漏洞即可。一般情况下，镜像扫描的漏洞数据较多，全部修复工作量较大，建议区分优先级依次修复，例如：按应急漏洞，按具有 EXP、POC、远程利用、在野利用等标签等。

POC（Proof of Concept）：可通过一段描述或样例来证明漏洞确实存在。
EXP（Exploit）：一段对漏洞如何利用的详细说明或者一个演示的漏洞攻击代码，可以使得读者完全了解漏洞的机理以及利用的方法。
远程利用漏洞：指攻击者可以直接通过网络发起攻击并利用的软件漏洞。例如这类软件漏洞中的 RCE（远程代码执行）漏洞危害极大，攻击者能随心所欲地通过此漏洞对远端计算机进行远程控制，此类漏洞也是蠕虫病毒主要利用的漏洞。
本地利用漏洞：指攻击者必须在本机具有访问权限的前提下才能攻击并利用的软件漏洞。比较典型的是没有网络服务功能的本地软件漏洞，以及本地权限提升漏洞。例如本地提权漏洞能让普通用户获得最高管理员权限甚至系统内核的权限。
在野利用：该类漏洞存在在野利用或云平台上存在在野攻击（数据来源：we-detect 和 cisa）。

建议优先修复应急漏洞。对所有应急漏洞进行扫描之后，扫描完成单击导出图标，在列表中查看影响仓库镜像的漏洞，对存在应急漏洞的仓库镜像进行修复。

应急漏洞修复完成后，客户可优先挑选具有 EXP、POC、远程利用、在野利用等标签的系统漏洞和应用漏洞进行修复。对风险标签进行筛选，单击导出图标，选择仅导出筛选结果，在列表中查看影响仓库镜像的漏洞，对存在这些标签的仓库镜像进行修复。

除了上述标签，客户在筛选仓库镜像漏洞时，也可利用“仅展示影响最新版本的镜像”、“威胁等级”、“CVSS”评分等条件进行综合筛选。

镜像安全风险问题在仓库存储阶段得到监控和修复后，在本地应用阶段则仅需关注新增漏洞的问题。本地镜像如存在严重的漏洞问题，可能直接影响线上业务。

容器安全服务会在每天的资产自动更新时，默认更新云服务器上存在的镜像，无需客户手动拉取。客户如需关注重点业务镜像的安全风险，可按如下步骤操作：

在完成授权操作后，可保证授权的镜像仅为筛选的节点上的镜像，且镜像有容器在运行。在实际业务运行中，节点上镜像是否运行容器、是否新增，可通过在本地镜像列表进行筛选。

客户可在 [本地镜像页面] ，通过内网多 IP 检索、以及选择已授权镜像的方式，选择需要扫描漏洞风险的本地镜像。

扫描漏洞任务完成后，进入 [漏洞管理页面] 查看扫描出的漏洞。

如需查看全部漏洞，依次单击系统漏洞和应用漏洞，导出所有漏洞列表，在列表中查看影响本地镜像的漏洞即可。一般情况下，镜像扫描的漏洞数据较多，全部修复工作量较大，建议区分优先级依次修复，例如：按应急漏洞，按具有 EXP、POC、远程利用、在野利用等标签等。

建议优先修复应急漏洞。对所有应急漏洞进行扫描之后，扫描完成单击导出图标，在列表中查看影响本地镜像的漏洞，对存在应急漏洞的本地镜像进行修复。

应急漏洞修复完成后，客户可优先挑选具有 EXP、POC、远程利用、在野利用等标签的系统漏洞和应用漏洞进行修复。对风险标签进行筛选，单击导出图标，选择仅导出筛选结果，在列表中查看影响本地镜像的漏洞，对存在这些标签的本地镜像进行修复。

除了上述标签，客户在筛选本地镜像漏洞时，如只需查看运行容器的本地镜像漏洞时，可打开“仅展示影响容器的漏洞”开关，或在导出的漏洞列表中筛选关联容器大于0的镜像。同时也可以利用“威胁等级”、“CVSS”评分等条件进行综合筛选。