Bitdefender Container Image Scanner-ийг хэрхэн тохируулж ашиглах вэ?

Bitdefender Container Image Scanner интеграци нь контейнер image-ийг локал tarball архиваас эсвэл шууд container registry-аас шалгахдаа bcst-cli (Bitdefender Cloud Security Tools Command-Line Interface) хэрэгсэлд тулгуурладаг. Container registry-ийн image-ийн шалгалтын бүх үр дүн GravityZone руу илгээгдэж, Control Center-т харагдана.

Урьдчилсан шаардлага

bcst-cli хэрэгслийг ажиллуулахын өмнө дараахыг хангасан эсэхээ шалгана уу:

• Танд GravityZone Security for Containers add-on байгаа.

• Host машин AMD64 эсвэл ARM64 архитектурт, glibc дэмжсэн Linux үйлдлийн системтэй.

• Host машинд ажлын зориулалттай 8 GB-аас багагүй сул зай байгаа.

> Тэмдэглэл: Ажлын хавтас анхдагчаар /tmp байна. Өөр байршил зааж өгөхийн тулд --temp-dir сонголтыг энд тайлбарласан ёсоор ашиглана.

• Registry шалгахдаа шалгах container image-үүд дэмжигдсэн registry-ийн аль нэгэнд байрлаж байх:

- AWS ECR
- Azure Container Registry
- Google Artifact Registry
- Docker Registry HTTP API V2-г хэрэгжүүлсэн дурын registry

• Registry шалгахдаа таны registry-ийн төрөлд тохирох эрхтэй байх:

- AWS ECR: AmazonEC2ContainerRegistryReadOnly
- Azure Container Registry: AcrPull
- Google Artifact Registry: roles/artifactregistry.reader

Scanner-ийг GravityZone-той холбох

Bitdefender Container Image Scanner-ийг GravityZone-той холбохын тулд:

1. 1GravityZone Control Center-т нэвтэрнэ.

2. 2Зүүн талын цэснээс Integrations hub хуудас руу орно.

3. 3Integrations catalog > Bitdefender Container Image Scanner карт дээрх Configure товчийг дарна.

> Анхааруулга: Таны хэрэглэгчийн данс Network Administrator эрхгүй бол Configure товч идэвхгүй харагдана. Ийм тохиолдолд GravityZone администратортайгаа холбогдоно уу.

Create integration хуудас нээгдэнэ.

4. 4Configuration хэсэгт интеграцийн нэрийг оруулна.

5. 5Check requirements хэсэгт заасан бүх урьдчилсан шаардлагыг хангасан эсэхээ шалгана.

6. 6Download Bitdefender Scanner хэсгийн алхмуудыг дагаж командын мөрийн хэрэгслийг татаж аваад ажиллуулна.

7. 7Authenticate Bitdefender Scanner хэсгийн алхмуудыг дагаж, server URL-ийг тохируулж, access token-ийг оруулан scanner-ийг GravityZone-той холбоно.

> Тэмдэглэл:
>
> - Одоогийн access token-ийг шалгахын тулд дараах командыг ажиллуулна:
>
> ```
> bcst-cli config token view
> ```
>
> - Одоогийн server URL-ийг шалгахын тулд дараах командыг ажиллуулна:
>
> ```
> bcst-cli config server view
> ```

8. 8Save товчийг дарна.

Bitdefender Container Image Scanner карт Integrations hub > Configured хэсэгт Action required төлөвтэйгээр харагдана.

Scanner-ийг тохируулах

Container image шалгахаасаа өмнө scanner-ийг дараах байдлаар тохируулна:

1. 1Заавал биш: Image татаж задлах, хамаарлуудыг хадгалах ажлын хавтсыг доорх командаар тохируулна. Анхдагч зам нь /tmp.

```
bcst-cli config temp-dir set <path to directory>
```

> Тэмдэглэл: Одоогийн ажлын хавтсыг шалгахын тулд дараах командыг ажиллуулна:
>
> ```
> bcst-cli config temp-dir view
> ```

2. 2Registry-ээс container image шалгахын тулд тухайн registry-ийн төрөлд тохирсон нэвтрэх мэдээллийг зөв тохируулсан эсэхээ шалгана:

- AWS ECR:

```
bcst-cli config registry login aws -i <access key ID> \
-s <secret access key> -r <region>
```

Сонголтууд:

- -i, --access-key-id: Access Key ID
- -s, --secret-access-key: Secret Access Key
- -r, --region: Region

- Azure Container Registry:

```
bcst-cli config registry login azr -i <client ID> -s <client secret> \
-t <tenant ID> -r <registry endpoint>
```

Сонголтууд:

- -i, --client-id: Client ID

- -s, --client-secret: Client Secret

- -t, --tenant-id: Tenant ID

- -r, --registry-endpoint: Registry endpoint

> Чухал: Registry endpoint-д https:// угтварыг бүү оруулаарай.

- Google Artifact Registry:

```
bcst-cli config registry login gcp -c <path to credential JSON file> \
-p <project ID> -r <region>
```

Сонголтууд:

- -c, --credential-json-path: JSON форматтай Google Cloud service account түлхүүрийн зам
- -p, --project-id: Project ID
- -r, --region: Region

- Docker-той нийцтэй container registry:

```
bcst-cli config registry login docker -u <username> \
-p <password> -s <registry server hostname>
```

Сонголтууд:

- -u, --username: Хэрэглэгчийн нэр
- -p, --password: Нууц үг
- -s, --server: Registry server-ийн hostname

Tarball архиваас container image шалгах

Image архивын tarball-ийг шалгахын тулд дараах командыг ажиллуулна:

bcst-cli scan image <path to image archive>

Нэмэлт параметрүүд:

• -o, --output: Шалгалтын тайлангийн файлын зам. Заагаагүй бол үр дүнг стандарт гаралт (standard output) руу бичнэ.

• -f, --format: Шалгалтын тайлангийн формат. Зөвшөөрөгдөх утга: JSON, MD, SARIF. Анхдагч нь JSON.

• -n, --report-name: Шалгалтын тайлангийн нэр. Анхдагч нь summary.json.

• -c, --no-cache: Өмнө кэшлэгдсэн шалгалтын үр дүнг арилгаж, шинээр шалгана.

> Тэмдэглэл: Шалгалтын гүйцэтгэлийг сайжруулахын тулд bcst-cli үр дүнг /var/cache/bitdefender/bcst-cli дотор кэшлэж, image digest таарвал дахин ашигладаг. Эрх дутуугаас кэш үүсгэх эсвэл хандахад алдаа гарвал scanner асуудалгүйгээр шинэ шалгалт хийж үргэлжилнэ.

Registry-ээс container image шалгах

Дараах шалгалтын сонголтууд байна:

• AWS ECR, Azure Container Registry, эсвэл Google Artifact Registry-ийн repository бүрийн хамгийн сүүлд шинэчлэгдсэн image-ийг шалгахын тулд тохирох командыг ашиглана:

- AWS ECR:

```
bcst-cli scan registry aws
```

- Azure Container Registry:

```
bcst-cli scan registry azr
```

- Google Artifact Registry:

```
bcst-cli scan registry gcp
```

Нэмэлт параметр:

-r, --regex: Repository-ийн нэрийг шүүх regex

• Docker-той нийцтэй container registry-ийн заасан repository бүрийн хамгийн сүүлд шинэчлэгдсэн image-ийг шалгахын тулд дараах командыг ажиллуулна:

```
bcst-cli scan registry docker --image-repos=<list of repositories>
```

Заавал оруулах параметр:

-r, --image-repos: Шалгах image repository-уудын таслалаар тусгаарласан жагсаалт

Дөрвөн командад нийтлэг нэмэлт параметрүүд:

• -o, --output: Шалгалтын тайлангийн файлын зам. Анхдагчаар тайланг таны одоо ажиллаж буй хавтсанд хадгална.

• -f, --format: Шалгалтын тайлангийн формат. Зөвшөөрөгдөх утга: JSON. Анхдагч нь JSON.

• -n, --report-name: Шалгалтын тайлангийн нэр. Анхдагч нь <timestamp>-summary.

• -d, --dryrun: Image-үүдийн жагсаалтыг гаргах боловч шалгалт хийхгүй.

• -c, --no-cache: Өмнө кэшлэгдсэн шалгалтын үр дүнг арилгаж, шинээр шалгана.

> Тэмдэглэл: Шалгалтын гүйцэтгэлийг сайжруулахын тулд bcst-cli үр дүнг /var/cache/bitdefender/bcst-cli дотор кэшлэж, image digest таарвал дахин ашигладаг. Эрх дутуугаас кэш үүсгэх эсвэл хандахад алдаа гарвал scanner асуудалгүйгээр шинэ шалгалт хийж үргэлжилнэ.

Шалгалтын үр дүнг GravityZone Control Center-ийн Risk management хэсгээс үзнэ.

Registry-ийн нэвтрэлтийг устгах

Registry-ийн шаардлагатай бүх шалгалтыг дуусгасны дараа дараах командаар гарна:

bcst-cli config registry logout

Интеграцийг устгаж, scanner-ийг устгах

Интеграци болон түүнтэй холбоотой бүх тохиргоог устгахын тулд Integrations hub > Configured хэсэгт байгаа Bitdefender Container Image Scanner картын Delete товчийг дараад, баталгаажуулахын тулд дахин Delete дарна.

Scanner-ийг устгахын тулд өмнө нь задалсан bcst-cli binary болон ~/.bcst-cli.json файлыг устгана.

Интеграцийг засварлах

Тохируулсан Bitdefender Container Image Scanner-ийн тохиргоог өөрчлөхийн тулд:

1. 1Integrations hub > Configured хэсгээс холбогдох картыг дарна.

Edit integration хуудас нээгдэнэ.

2. 2Шаардлагатай бол Integration name-ийг өөрчилнө. Энэ бол засах боломжтой цорын ганц талбар.

3. 3Save товчийг дарна.

Жишээ хувилбарууд

• Image шалгалтыг интерактив байдлаар ажиллуулж, үр дүнг `stdout` дээр markdown форматаар үзэх.

Урьдчилсан шаардлага:

- bcst-cli нь PATH-аас хандах боломжтой
- GravityZone Integrations hub хуудаснаас авсан хүчинтэй access token болон server URL
- Image архивын файл (Docker image save-ээр авч болно)

Доорх тохиргоо болон image шалгалтын командуудыг ажиллуулна:

```
bcst-cli config server set <server URL>
bcst-cli config token set <token>
bcst-cli scan image <image filepath> -f MD
```

• `deploy` түлхүүр үг агуулсан repository-уудыг шүүж, өдөр бүр 14:19 цагт AWS ECR registry шалгах.

Урьдчилсан шаардлага:

- bcst-cli нь PATH-аас хандах боломжтой
- GravityZone Integrations hub хуудаснаас авсан хүчинтэй access token болон server URL
- Registry-д хандах эрхтэй AWS IAM нэвтрэх мэдээлэл
- cron суулгасан

1. Тохиргоо болон registry шалгалтын командуудыг шинэ shell script файлд хадгална:

```
user@test:~$ cat > scan.sh
bcst-cli config server set <server URL>
bcst-cli config token set <token>
bcst-cli config registry login aws \
-i <access key ID> -s <secret access key> -r <region>
bcst-cli scan registry aws --regex ".deploy."
```

2. Үүсгэсэн файлыг ажиллуулах эрхтэй болгоно:

```
user@test:~$ chmod +x scan.sh
```

3. Crontab-аа засварлах горимд нээхийн тулд дараах командыг ажиллуулна:

```
user@test:~$ crontab -e
```

4. Доорх мөрийг crontab-д нэмж, path to script-ийг script файлын бодит замаар солино:

```
19 14 * <path to script>
```

5. Өөрчлөлтөө хадгалж, редакторыг хаана.

• Docker registry-ийн Repo1, Repo2, Repo3 repository дээр registry шалгалт ажиллуулах.

Урьдчилсан шаардлага:

- bcst-cli нь PATH-аас хандах боломжтой
- GravityZone Integrations hub хуудаснаас авсан хүчинтэй access token болон server URL
- Docker registry-ийн нэвтрэх мэдээлэл

Доорх тохиргоо болон registry шалгалтын командуудыг ажиллуулна:

```
bcst-cli config server set <server URL>
bcst-cli config token set <token>
bcst-cli config registry login docker -u <username> -p <password> \
-s <registry server hostname>
bcst-cli scan registry docker --image-repos Repo1,Repo2,Repo3
```