Escáner flexible de tiempo de ejecución de Kubernetes

solución

• Divida el análisis de vulnerabilidades en dos fases:
  • Análisis de contenido para generar SBOM
  • Escanee el SBOM en busca de vulnerabilidades
• Cree una infraestructura conectable para:
  • Ejecute múltiples analizadores de contenido en paralelo
  • Ejecute múltiples escáneres de vulnerabilidades en paralelo
• Escanee y combine resultados entre diferentes etapas de CI usando KubeClarity CLI
• Escaneo de Runtime K8s para detectar vulnerabilidades encontradas después de la implementación
• Agrupe los recursos escaneados (imágenes/directorios) en aplicaciones definidas para navegar por las dependencias del árbol de objetos (aplicaciones, recursos, paquetes, vulnerabilidades)

característica

Generador de SBOM integrado y escáner de vulnerabilidades

KubeClarity Content Analyzer se integra con los siguientes generadores SBOM:

KubeClarity Vulnerability Scanner está integrado con los siguientes escáneres:

arquitectura

empezando

Back-end de KubeClarity

Instalar usando Helm:

Desinstalar usando Helm:

1. Helm desinstalar helm desinstalar kubeclarity -n kubeclarity
2. Limpieza de recursos De forma predeterminada, Helm no elimina los PVC y PV de StatefulSet. Elimínelos todos ejecutando: kubectl delete pvc -l app.kubernetes.io/instance=kubeclarity -n kubeclarity

Cree y ejecute localmente con datos de demostración

interfaz de línea de comandos

KubeClarity incluye una CLI que se puede ejecutar localmente, especialmente útil para canalizaciones de CI/CD. Permite analizar imágenes y directorios para generar SBOM y escanearlo en busca de vulnerabilidades. Los resultados se pueden exportar al backend de KubeClarity.

Instalar

Compilación local de imágenes de Docker de distribución binaria

generación de SBOM

uso:

kubeclarity-cli analyze  --input-type  -o 

ejemplo:

kubeclarity-cli analyze --input-type image nginx:latest -o nginx.sbom

(Opcional) La lista de analizadores de contenido a utilizar se puede configurar con ANALYZER_LIST Las variables env están separadas por espacios (p. ej. ANALYZER_LIST=" ")

ejemplo:

ANALYZER_LIST="syft gomod" kubeclarity-cli analyze --input-type image nginx:latest -o nginx.sbom

análisis de vulnerabilidades

uso:

kubeclarity-cli scan  --input-type  -f 

ejemplo:

kubeclarity-cli scan nginx.sbom --input-type sbom

(Opcional) La lista de escáneres de vulnerabilidades a utilizar se puede configurar con el comando SCANNERS_LIST Las variables env están separadas por espacios (p. ej. SCANNERS_LIST=" ")

ejemplo:

SCANNERS_LIST="grype trivy" kubeclarity-cli scan nginx.sbom --input-type sbom

Exportar resultados al backend de KubeClarity

Para exportar los resultados de la CLI al backend de KubeClarity, se requiere el ID de aplicación definido por el backend de KubeClarity. El ID de la aplicación se puede encontrar en la pantalla «Aplicaciones» de la interfaz de usuario o mediante la API de KubeClarity.

Exportar SBOM

# The SBOM can be exported to KubeClarity backend by setting the BACKEND_HOST env variable and the -e flag.
# Note: Until TLS is supported, BACKEND_DISABLE_TLS=true should be set.
BACKEND_HOST= BACKEND_DISABLE_TLS=true kubeclarity-cli analyze  --application-id  -e -o 

# For example:
BACKEND_HOST=localhost:9999 BACKEND_DISABLE_TLS=true kubeclarity-cli analyze nginx:latest --application-id 23452f9c-6e31-5845-bf53-6566b81a2906 -e -o nginx.sbom

Exportar resultados de análisis de vulnerabilidades

# The vulnerability scan result can be exported to KubeClarity backend by setting the BACKEND_HOST env variable and the -e flag.
# Note: Until TLS is supported, BACKEND_DISABLE_TLS=true should be set.

BACKEND_HOST= BACKEND_DISABLE_TLS=true kubeclarity-cli scan  --application-id  -e

# For example:
SCANNERS_LIST="grype" BACKEND_HOST=localhost:9999 BACKEND_DISABLE_TLS=true kubeclarity-cli scan nginx.sbom --input-type sbom  --application-id 23452f9c-6e31-5845-bf53-6566b81a2906 -e

Configuración avanzada

Generar SBOM usando la imagen de la ventana acoplable local como entrada

# Local docker images can be analyzed using the LOCAL_IMAGE_SCAN env variable

# For example:
LOCAL_IMAGE_SCAN=true kubeclarity-cli analyze nginx:latest -o nginx.sbom

Escaneo de vulnerabilidad usando la imagen de la ventana acoplable local como entrada

# Local docker images can be scanned using the LOCAL_IMAGE_SCAN env variable

# For example:
LOCAL_IMAGE_SCAN=true kubeclarity-cli scan nginx.sbom

Soporte de registro privado para CLI

KubeClarity cli puede leer archivos de configuración que almacenan credenciales de registro privado.

Sección de registro de ejemplo de un archivo de configuración:

registry:
  auths:
    - authority: 
      username: 
      password: 
    - authority: 
      token: 

Ejemplo de configuración de registro sin permisos: (estas credenciales se utilizarán para todos los registros en este caso)

registry:
  auths:
    - username: 
      password: 

Especifique el archivo de configuración para la CLI

# The default config path is $HOME/.kubeclarity or it can be specified by `--config` command line flag.
# kubeclarity   --config 

# For example:
kubeclarity scan registry/nginx:private --config $HOME/own-kubeclarity-config

Soporte de registro privado para escaneo en tiempo de ejecución de K8s

Amazon ECR