Чистим шумный SBOM: как убрать неэксплуатируемые уязвимости в Kubernetes с помощью VEX

В сфере искусственного интеллекта произошло заметное событие. RomanenkoDenys 15 минут назад Объяснить с Чистим шумный SBOM: как убрать неэксплуатируемые уязвимости в Kubernetes с помощью VEX Средний 11 мин 493 Блог компании Флант Kubernetes * DevOps * Системное администрирование * Информационная безопасность * Туториал Во время эпидемии WannaCry британские медики отменяли плановые операции, а у Renault встало производство. А в 2021 году в США из-за атаки на оператора трубопроводов Colonial Pipeline взлетели цены на бензин и началась паника. Это лишь пара примеров, но они показывают, к чему может привести эксплуатация уязвимостей в ПО.

Однако далеко не все уязвимости — это угроза: они автоматически подтягиваются в образы, но эксплуатировать многие из них невозможно. Только вот сканеры безопасности не умеют оценивать уязвимости и бьют тревогу по любому поводу, засоряя CI/CD. Но если ПО поставляется клиентам, контейнеры нужно сканировать постоянно, а значит, постоянно придётся сталкиваться с шумом в security-отчётах.

Технические детали

Меня зовут Денис Романенко, я работаю в компании «Флант» и отвечаю за развитие нашей Kubernetes-платформы — Deckhouse Platform. В прошлом году я выступал на конференции DevOops, где рассказывал, как справляться с шумом в отчётах сканеров уязвимостей и ложноположительными срабатываниями. Эта статья основана на моём докладе.

Я буду рассказывать, какие инструменты мы используем у себя в компании и как они работают именно в нашей платформе. Но точно такого же результата можно добиться другими способами, в том числе стандартными Open Source-утилитами, так что подход, который я тут опишу, применим к любой реализации. Как искать уязвимости и что с ними делатьПрежде всего посмотрим, как происходит поиск уязвимостей в ПО.

Здесь есть три элемента: само ПО, сканер уязвимостей и база данных известных уязвимостей. Сканер анализирует ПО и формирует SBOM (Software Bill of Materials) — документ со списком компонентов, модулей и зависимостей софта с указанием их версий, лицензий и потенциальных уязвимостей. В заголовке SBOM-документа указываются имя компонента и его версия, а в теле содержится массив зависимостей с именами библиотек, версиями, типами лицензий и известными дефектами безопасности.

Ниже — пример SBOM-отчёта:{ "product": { "name": "ExampleApp", "version": "1. 3" }, "components": , "dependencies": , ... "components": , "dependencies": , "vulnerabilities": } ] { ...

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.