14.5. RHCOS ノードホストのスキャン

手順

1. 次のコマンドのいずれかを実行して、コンプライアンスコンテナーを更新します。

   • メトリクスが無効になっているデフォルトのコンプライアンスコンテナーの場合は、次のコマンドを実行します。

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":"disabled"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

   • Prometheus メトリクスが有効になっているコンプライアンスコンテナーの場合は、次のコマンドを実行します。

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":":9091"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

2. 次の手順を実行して、Collector DaemonSet (DS) を更新します。

   1. 次のコマンドを実行して、新しいボリュームマウントを Collector DS に追加します。

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"volumes":[{"name":"tmp-volume","emptyDir":{}},{"name":"cache-volume","emptyDir":{"sizeLimit":"200Mi"}}]}}}}'

   2. 次のコマンドを実行して、新しい NodeScanner コンテナーを追加します。

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"command":["/scanner","--nodeinventory","--config=",""],"env":[{"name":"ROX_NODE_NAME","valueFrom":{"fieldRef":{"apiVersion":"v1","fieldPath":"spec.nodeName"}}},{"name":"ROX_CLAIR_V4_SCANNING","value":"true"},{"name":"ROX_COMPLIANCE_OPERATOR_INTEGRATION","value":"true"},{"name":"ROX_CSV_EXPORT","value":"false"},{"name":"ROX_DECLARATIVE_CONFIGURATION","value":"false"},{"name":"ROX_INTEGRATIONS_AS_CONFIG","value":"false"},{"name":"ROX_NETPOL_FIELDS","value":"true"},{"name":"ROX_NETWORK_DETECTION_BASELINE_SIMULATION","value":"true"},{"name":"ROX_NETWORK_GRAPH_PATTERNFLY","value":"true"},{"name":"ROX_NODE_SCANNING_CACHE_TIME","value":"3h36m"},{"name":"ROX_NODE_SCANNING_INITIAL_BACKOFF","value":"30s"},{"name":"ROX_NODE_SCANNING_MAX_BACKOFF","value":"5m"},{"name":"ROX_PROCESSES_LISTENING_ON_PORT","value":"false"},{"name":"ROX_QUAY_ROBOT_ACCOUNTS","value":"true"},{"name":"ROX_ROXCTL_NETPOL_GENERATE","value":"true"},{"name":"ROX_SOURCED_AUTOGENERATED_INTEGRATIONS","value":"false"},{"name":"ROX_SYSLOG_EXTRA_FIELDS","value":"true"},{"name":"ROX_SYSTEM_HEALTH_PF","value":"false"},{"name":"ROX_VULN_MGMT_WORKLOAD_CVES","value":"false"}],"image":"registry.redhat.io/advanced-cluster-security/rhacs-scanner-slim-rhel8:4.6.2","imagePullPolicy":"IfNotPresent","name":"node-inventory","ports":[{"containerPort":8444,"name":"grpc","protocol":"TCP"}],"volumeMounts":[{"mountPath":"/host","name":"host-root-ro","readOnly":true},{"mountPath":"/tmp/","name":"tmp-volume"},{"mountPath":"/cache","name":"cache-volume"}]}]}}}}'

1. Scanner V4 が Central クラスターにデプロイされていることを確認します。

   $ kubectl -n stackrox get deployment scanner-v4-indexer scanner-v4-matcher scanner-v4-db1

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

2. Central クラスターで次のコマンドを実行して、Central Pod の central コンテナーで ROX_NODE_INDEX_ENABLED および ROX_SCANNER_V4 変数を true に設定します。

   $ kubectl -n stackrox set env deployment/central ROX_NODE_INDEX_ENABLED=true ROX_SCANNER_V4=true1

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

3. ノードスキャンを有効にするすべてのセキュアなクラスターで次のコマンドを実行して、Sensor Pod の sensor コンテナーで ROX_NODE_INDEX_ENABLED および ROX_SCANNER_V4 変数を true に設定します。

   $ kubectl -n stackrox set env deployment/sensor ROX_NODE_INDEX_ENABLED=true ROX_SCANNER_V4=true1

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

4. ノードスキャンを有効にするすべてのセキュアなクラスターで次のコマンドを実行して、Collector Daemonset の compliance コンテナーで ROX_NODE_INDEX_ENABLED および ROX_SCANNER_V4 変数を true に設定します。

   $ kubectl -n stackrox set env daemonset/collector ROX_NODE_INDEX_ENABLED=true ROX_SCANNER_V4=true1

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

5. ノードスキャンが機能していることを確認するには、Central ログで次のメッセージを調べます。

   Scanned index report and found <number> components for node <node_name>.

   ここでは、以下のようになります。

   <number>

   検出されたコンポーネントの数を指定します。

   <node_name>

   ノードの名前を指定します。

1. StackRox Scanner が Central クラスターにデプロイされていることを確認します。

   $ kubectl -n stackrox get deployment scanner scanner-db1

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

2. Central クラスターで次のコマンドを実行して、Central Pod の central コンテナーで ROX_NODE_INDEX_ENABLED を false に設定します。

   $ kubectl -n stackrox set env deployment/central ROX_NODE_INDEX_ENABLED=false1

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

3. ノードスキャンを有効にするすべての保護されたクラスターで次のコマンドを実行して、Collector Daemonsetの compliance コンテナーで、ROX_CALL_NODE_INVENTORY_ENABLED を true に設定します。

   $ kubectl -n stackrox set env daemonset/collector ROX_CALL_NODE_INVENTORY_ENABLED=true1

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

4. ノードスキャンが機能していることを確認するには、Central ログで次のメッセージを調べます。

   Scanned node inventory <node_name> (id: <node_id>) with <number> components.

   ここでは、以下のようになります。

   <number>

   検出されたコンポーネントの数を指定します。

   <node_name>

   ノードの名前を指定します。

   <node_id>

   ノードの内部 ID を指定します。

手順

1. RHACS ポータルで、Vulnerability Management Dashboard に移動します。
2. ヘッダーの Nodes を選択し、ノードに影響するすべての CVE のリストを表示します。

3. リストからノードを選択し、そのノードに影響するすべての CVE の詳細を表示します。

   1. ノードを選択すると、選択したノードの Node の詳細パネルが開きます。Node ビューには、ノードの詳細が表示され、CVSS スコア別の CVE およびそのノードの修正可能な CVE に関する情報が含まれます。
   2. 選択したノードのすべての CVE のリストを表示するには、CVEs by CVSS score で、View All を選択します。CVE の一覧をフィルタリングすることもできます。
   3. 修正可能な CVE を CSV ファイルとしてエクスポートするには、Node Findings セクションで Export as CSV を選択します。

手順

1. RHACS ポータルで、Vulnerability Management Node CVEs をクリックします。

2. データを表示するために、次のいずれかのタスクを実行します。

   • すべてのノードに影響するすべての CVE のリストを表示するには、<number> CVEs を選択します。
   • CVE を含むノードのリストを表示するには、<number> Nodes を選択します。

3. オプション: CVE をエンティティー別にフィルタリングするには、適切なフィルターと属性を選択します。フィルタリング条件をさらに追加するには、次の手順に従います。

   1. リストからエンティティーまたは属性を選択します。
   2. 必要に応じて、テキストなどの適切な情報を入力するか、日付またはオブジェクトを選択します。
   3. 右矢印アイコンをクリックします。

   4. オプション: 追加のエンティティーと属性を選択し、右矢印アイコンをクリックして追加します。フィルターのエンティティーと属性を次の表に示します。

      表14.6 CVE のフィルタリング

      エンティティー	属性
      ノード	Name: ノードの名前。 Operating system: ノードのオペレーティングシステム (例: Red Hat Enterprise Linux (RHEL))。 Label: ノードのラベル。 Annotation: ノードのアノテーション。 Scan time: ノードのスキャン日。
      CVE	Name: CVE の名前。 Discovered time: RHACS が CVE を検出した日付。 CVSS: CVE の重大度。 CVE の重大度レベルには次の値が関連付けられています。 is greater than is greater than or equal to is equal to is less than or equal to is less than
      Node Component	Name: コンポーネントの名前。 Version: コンポーネントのバージョン (例: 4.15.0-2024)。これを使用すると、たとえばコンポーネント名と組み合わせて、特定のバージョンのコンポーネントを検索できます。
      Cluster	Name: クラスターの名前。 Label: クラスターのラベル。 Type: クラスターのタイプ (例: OCP)。 Platform type: プラットフォームのタイプ (例: OpenShift 4 クラスター)。

4. オプション: 結果のリストを絞り込むには、次のいずれかのタスクを実行します。

   • CVE severity をクリックし、1 つ以上のレベルを選択します。
   • CVE status をクリックし、Fixable または Not fixable を選択します。
5. オプション: ノードの詳細と、そのノードの CVSS スコアと修正可能な CVE に基づく CVE 情報を表示するには、ノードのリストでノード名をクリックします。