Présentation de Vulnerability Scanning
Oracle Cloud Infrastructure Vulnerability Scanning Service vous aide à améliorer l'état de la sécurité en examinant régulièrement les hôtes et les images de conteneur à la recherche de vulnérabilités potentielles. Ce service offre aux développeurs, aux opérations et aux administrateurs de sécurité une visibilité complète sur les ressources mal configurées ou vulnérables, et génère des rapports contenant des mesures et des détails sur ces vulnérabilités, y compris des informations de correction.
Toutes les ressources et tous les rapports Vulnerability Scanning sont régionaux, mais les résultats de l'analyse sont également visibles en tant que problèmes dans la région de reporting globale Cloud Guard.
Le service Vulnerability Scanning identifie les vulnérabilités dans les ressources suivantes :
- Instances de calcul (également appelées hôtes)
- Images de Container Registry
Le service Vulnerability Scanning peut identifier plusieurs types de problème de sécurité :
- Les ports laissés involontairement ouverts peuvent constituer un vecteur d'attaque potentiel pour vos ressources cloud ou permettre aux pirates d'exploiter d'autres vulnérabilités.
- Les packages de système d'exploitation qui nécessitent des mises à jour et des patches pour corriger les vulnérabilités.
- Les configurations de système d'exploitation que les pirates peuvent exploiter.
- Les références standard du secteur publiées par le CIS (Center for Internet Security).
Le service Vulnerability Scanning vérifie la conformité des hôtes aux références de la section 5 (Accès, authentification et autorisation) définies pour Distribution Independent Linux.
- Vulnérabilités dans des applications tierces telles que
log4jetspring4shell.
Oracle Cloud Infrastructure Vulnerability Scanning Service peut vous aider à corriger rapidement les vulnérabilités et les expositions, mais il ne s'agit pas d'un outil d'analyse conforme PCI ( Payment Card Industry). N'utilisez pas le service Vulnerability Scanning pour répondre aux exigences de conformité PCI.
Le service Vulnerability Scanning prend uniquement en charge les instances Compute ou les images de conteneur créées à partir d'images de plate-forme prises en charge. Il n'est disponible pour aucune image portant un libellé de fin de prise en charge.
Pour détecter les vulnérabilités des instances de calcul, elles doivent utiliser une image qui prend en charge l'agent Oracle Cloud. L'analyse de port sur l'adresse IP publique d'une instance ne nécessite pas d'agent.
Les analyses d'image de conteneur et d'hôte Vulnerability Scanning peuvent récupérer les résultats CVE d'autres systèmes d'exploitation non pris en charge. Les résultats sont uniquement couverts par les données NVD et peuvent manquer des CVE ou présenter d'autres faux positifs. Nous ne prenons pas en charge ces autres systèmes d'exploitation. Utilisez donc ces résultats avec prudence.
Le service Vulnerability Scanning détecte les vulnérabilités sur les plates-formes suivantes, à l'aide des sources de vulnérabilité suivantes.
| Plate-forme | National Vulnerability Database (NVD) | Open Vulnerability and Assessment Language (OVAL) | Center for Internet Security (CIS) |
|---|---|---|---|
| Oracle Linux | Oui | Oui | Oui |
| CentOS | Oui | Oui | Oui |
| Ubuntu | Oui | Oui | Oui |
| Windows | Oui | Non | Non |
Comme l'analyse Windows n'inclut pas de données OVAL, nous ne vous recommandons pas de compter uniquement sur Oracle Cloud Infrastructure Vulnerability Scanning Service pour vérifier que vos instances Windows sont à jour et sécurisées.
Nous ne recommandons pas d'utiliser le service Vulnerability Scanning pour identifier les problèmes dans les systèmes de base de données de machine virtuelle, puis de modifier le système d'exploitation afin de résoudre chaque problème. Suivez plutôt les instructions de la section Mise à jour d'un système de base de données pour appliquer les dernières mises à jour de sécurité au système d'exploitation.
Vous ne pouvez pas utiliser le service Vulnerability Scanning sur des hôtes qui n'ont pas été créés directement avec le service Compute, comme Exadata Database Service on Dedicated Infrastructure ou le service Database. Utilisez les fonctionnalités fournies avec ces services pour vous assurer que les hôtes disposent des dernières mises à jour de sécurité.
Le service Vulnerability Scanning prend en charge les options cible suivantes :
- Instances de calcul individuelles.
- Toutes les instances Compute d'un compartiment et de ses sous-compartiments.
Si vous configurez le service Vulnerability Scanning au niveau du compartiment racine, toutes les instances Compute de l'ensemble de la location sont analysées.
- Images dans un référentiel Container Registry.
Concepts
Découvrez les concepts clés et les composants liés au service Vulnerability Scanning.
Le schéma suivant fournit un aperçu général du service.
- Recette d'analyse
- Paramètres d'analyse pour un type de ressource cloud, y compris les informations à examiner et la fréquence d'examen.
- Cible
- Ressources cloud à analyser à l'aide d'une recette spécifique. Les ressources d'une cible sont de même type, par exemple des instances Compute.
- Analyse d'hôte
- Mesures relatives à une instance de calcul spécifique analysée, y compris les vulnérabilités trouvées, leur niveau de risque et la conformité aux références CIS.
Le service Vulnerability Scanning utilise un agent d'hôte pour détecter ces vulnérabilités.
- Analyse de port
- Ports ouverts détectés sur une instance Compute spécifique qui a été analysée.
Le service Vulnerability Scanning peut détecter les ports ouverts à l'aide d'un agent d'hôte ou d'un composant de correspondance réseau qui effectue une recherche dans les adresses IP publiques .
- Analyse d'image de conteneur
- Mesures relatives à une image Container Registry spécifique qui a été analysée, y compris les vulnérabilités trouvées et leur niveau de risque.
- Rapports de vulnérabilité
- Informations sur un type de vulnérabilité spécifique détecté dans des cibles, comme une mise à jour manquante pour un package de système d'exploitation.
Intégration à Cloud Guard
Vous pouvez visualiser les vulnérabilités de sécurité identifiées par le service Vulnerability Scanning dans Oracle Cloud Guard.
Cloud Guard est un service Oracle Cloud Infrastructure qui fournit un tableau de bord central permettant de surveiller toutes les ressources cloud afin de détecter les failles de sécurité dans la configuration, les mesures et les journaux. Lorsqu'il détecte un problème, il peut suggérer, aider ou effectuer des actions correctives, en fonction de votre configuration Cloud Guard.
Comme le service Vulnerability Scanning, Cloud Guard utilise des recettes et des cibles.
- La recette définit les types de problème rapportés par Cloud Guard.
- La cible définit les compartiment à surveiller par Cloud Guard et est associée à une recette.
Une recette de détecteur de configuration est constituée de règles de détecteur. La recette de détecteur de configuration Cloud Guard par défaut inclut des règles qui recherchent les vulnérabilités et les ports ouverts trouvés par le service Vulnerability Scanning.
Pour plus d'informations, reportez-vous à Analyse avec Cloud Guard.
Identificateurs de ressource
Les ressources Vulnerability Scanning, comme la plupart des types de ressource dans Oracle Cloud Infrastructure, ont un identifiant unique affecté par Oracle appelé ID Oracle Cloud (OCID).
Pour plus d'informations sur le format OCID et les autres moyens d'identifier vos ressources, reportez-vous à Identificateurs de ressource.
Méthodes d'accès à Vulnerability Scanning
Vous pouvez y accéder à l'aide de la console (interface basée sur un navigateur), de l'interface de ligne de commande ou de l'API REST. Les instructions relatives à la console, à l'interface de ligne de commande et à l'API sont incluses dans les rubriques de ce guide.
Pour accéder à la console, vous devez utiliser un navigateur pris en charge. Pour accéder à la page de connexion , ouvrez le menu de navigation en haut de cette page et sélectionnez Infrastructure . Vous êtes invité à saisir votre locataire cloud, votre nom utilisateur et votre mot de passe.
Pour obtenir la liste des kits SDK disponibles, reportez-vous à Kits SDK et interface de ligne de commande. Pour obtenir des informations générales sur l'utilisation des API, reportez-vous à la documentation relative à l'API REST.
Authentification et autorisation
Chaque service d'Oracle Cloud Infrastructure s'intègre à IAM pour l'authentification et l'autorisation, sur toutes les interfaces (consolekit SDK ou interface de ligne de commande, et API REST).
Un administrateur de votre organisation doit configurer des groupes, des compartiments et des stratégies qui déterminent quels utilisateurs peuvent accéder à tels services et à telles ressources, ainsi que le type d'accès. Par exemple, les stratégies déterminent qui peut créer des utilisateurs, créer et gérer un réseau cloud virtuel , lancer des instances et créer des buckets .
- Si vous êtes un nouvel administrateur, reportez-vous à Introduction aux stratégies.
- Afin d'obtenir des détails spécifiques sur l'écriture de stratégies pour ce service, reportez-vous à Stratégies IAM Vulnerability Scanning.
- Afin d'obtenir des détails spécifiques sur l'écriture de stratégies pour d'autres services, reportez-vous à Référence de stratégie.
Sécurité
Outre la création de stratégies IAM, d'autres tâches sont liées à la sécurité de Vulnerability Scanning.
Par exemple :
- Configurer une passerelle de service pour pouvoir analyser les hôtes sans adresse IP publique
- Effectuer un audit de sécurité des opérations d'analyse
Reportez-vous à Sécurisation de Vulnerability Scanning.
Surveillance
Pour surveiller l'activité d'analyse, Vulnerability Scanning s'intègre aux autres services suivants dans Oracle Cloud Infrastructure.
- Le service Audit enregistre automatiquement les appels vers toutes les adresses d'API Vulnernerability Scanning publiques sous la forme d'entrées de journal. Reportez-vous à Présentation d'Audit.
- Le service Monitoring vous permet de surveiller les ressources Vulnerability Scanning à l'aide de mesures et d'alarmes. Reportez-vous à Mesures de Scanning.
- Le service Events permet à vos équipes de développement de réagir automatiquement lorsqu'une ressource Vulnerability Scanning change d'état. Reportez-vous à Evénements Scanning.
Limites et quotas
Oracle Cloud Infrastructure limite le nombre maximal de ressources Vulnerability Scanning dans votre location. Vous pouvez également utiliser des quotas pour définir des limites sur des compartiments spécifiques.
Reportez-vous aux sections Limites de Vulnerability Scanning et Quotas de Vulnerability Scanning.
Pour demander une augmentation de limite de service, reportez-vous à Limites de service.
Mise en route
Utilisez le service Vulnerability Scanning pour rechercher les vulnérabilités de sécurité dans les instances Compute d'un seul compartiment.
Si vous rencontrez des problèmes, reportez-vous à Dépannage du service Vulnerability Scanning.