15.5. RHCOS ノードホストのスキャン

手順

1. 次のコマンドのいずれかを実行して、コンプライアンスコンテナーを更新します。

   • メトリクスが無効になっているデフォルトのコンプライアンスコンテナーの場合は、次のコマンドを実行します。

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":"disabled"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

     Copy to Clipboard Toggle word wrap

   • Prometheus メトリクスが有効になっているコンプライアンスコンテナーの場合は、次のコマンドを実行します。

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":":9091"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

     Copy to Clipboard Toggle word wrap

2. 次の手順を実行して、Collector DaemonSet (DS) を更新します。

   1. 次のコマンドを実行して、新しいボリュームマウントを Collector DS に追加します。

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"volumes":[{"name":"tmp-volume","emptyDir":{}},{"name":"cache-volume","emptyDir":{"sizeLimit":"200Mi"}}]}}}}'

      Copy to Clipboard Toggle word wrap

   2. 次のコマンドを実行して、新しい NodeScanner コンテナーを追加します。

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"command":["/scanner","--nodeinventory","--config=",""],"env":[{"name":"ROX_NODE_NAME","valueFrom":{"fieldRef":{"apiVersion":"v1","fieldPath":"spec.nodeName"}}},{"name":"ROX_CLAIR_V4_SCANNING","value":"true"},{"name":"ROX_COMPLIANCE_OPERATOR_INTEGRATION","value":"true"},{"name":"ROX_CSV_EXPORT","value":"false"},{"name":"ROX_DECLARATIVE_CONFIGURATION","value":"false"},{"name":"ROX_INTEGRATIONS_AS_CONFIG","value":"false"},{"name":"ROX_NETPOL_FIELDS","value":"true"},{"name":"ROX_NETWORK_DETECTION_BASELINE_SIMULATION","value":"true"},{"name":"ROX_NETWORK_GRAPH_PATTERNFLY","value":"true"},{"name":"ROX_NODE_SCANNING_CACHE_TIME","value":"3h36m"},{"name":"ROX_NODE_SCANNING_INITIAL_BACKOFF","value":"30s"},{"name":"ROX_NODE_SCANNING_MAX_BACKOFF","value":"5m"},{"name":"ROX_PROCESSES_LISTENING_ON_PORT","value":"false"},{"name":"ROX_QUAY_ROBOT_ACCOUNTS","value":"true"},{"name":"ROX_ROXCTL_NETPOL_GENERATE","value":"true"},{"name":"ROX_SOURCED_AUTOGENERATED_INTEGRATIONS","value":"false"},{"name":"ROX_SYSLOG_EXTRA_FIELDS","value":"true"},{"name":"ROX_SYSTEM_HEALTH_PF","value":"false"},{"name":"ROX_VULN_MGMT_WORKLOAD_CVES","value":"false"}],"image":"registry.redhat.io/advanced-cluster-security/rhacs-scanner-slim-rhel8:4.7.7","imagePullPolicy":"IfNotPresent","name":"node-inventory","ports":[{"containerPort":8444,"name":"grpc","protocol":"TCP"}],"volumeMounts":[{"mountPath":"/host","name":"host-root-ro","readOnly":true},{"mountPath":"/tmp/","name":"tmp-volume"},{"mountPath":"/cache","name":"cache-volume"}]}]}}}}'

      Copy to Clipboard Toggle word wrap

1. Scanner V4 が Central クラスターにデプロイされていることを確認します。

   $ kubectl -n stackrox get deployment scanner-v4-indexer scanner-v4-matcher scanner-v4-db

   1

   Copy to Clipboard Toggle word wrap

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

2. Central クラスターで次のコマンドを実行して、Central Pod の central コンテナーで ROX_NODE_INDEX_ENABLED および ROX_SCANNER_V4 変数を true に設定します。

   $ kubectl -n stackrox set env deployment/central ROX_NODE_INDEX_ENABLED=true ROX_SCANNER_V4=true

   1

   Copy to Clipboard Toggle word wrap

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

3. ノードスキャンを有効にするすべてのセキュアなクラスターで次のコマンドを実行して、Sensor Pod の sensor コンテナーで ROX_NODE_INDEX_ENABLED および ROX_SCANNER_V4 変数を true に設定します。

   $ kubectl -n stackrox set env deployment/sensor ROX_NODE_INDEX_ENABLED=true ROX_SCANNER_V4=true

   1

   Copy to Clipboard Toggle word wrap

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

4. ノードスキャンを有効にするすべてのセキュアなクラスターで次のコマンドを実行して、Collector Daemonset の compliance コンテナーで ROX_NODE_INDEX_ENABLED および ROX_SCANNER_V4 変数を true に設定します。

   $ kubectl -n stackrox set env daemonset/collector ROX_NODE_INDEX_ENABLED=true ROX_SCANNER_V4=true

   1

   Copy to Clipboard Toggle word wrap

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

5. ノードスキャンが機能していることを確認するには、Central ログで次のメッセージを調べます。

   Scanned index report and found <number> components for node <node_name>.

   Copy to Clipboard Toggle word wrap

   ここでは、以下のようになります。

   <number>

   検出されたコンポーネントの数を指定します。

   <node_name>

   ノードの名前を指定します。

1. StackRox Scanner が Central クラスターにデプロイされていることを確認します。

   $ kubectl -n stackrox get deployment scanner scanner-db

   1

   Copy to Clipboard Toggle word wrap

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

2. Central クラスターで次のコマンドを実行して、Central Pod の central コンテナーで ROX_NODE_INDEX_ENABLED を false に設定します。

   $ kubectl -n stackrox set env deployment/central ROX_NODE_INDEX_ENABLED=false

   1

   Copy to Clipboard Toggle word wrap

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

3. ノードスキャンを有効にするすべての保護されたクラスターで次のコマンドを実行して、Collector Daemonset の compliance コンテナーで、ROX_CALL_NODE_INVENTORY_ENABLED を true に設定します。

   $ kubectl -n stackrox set env daemonset/collector ROX_CALL_NODE_INVENTORY_ENABLED=true

   1

   Copy to Clipboard Toggle word wrap

   1

   OpenShift Container Platform の場合は、kubectl の代わりに oc を使用します。

4. ノードスキャンが機能していることを確認するには、Central ログで次のメッセージを調べます。

   Scanned node inventory <node_name> (id: <node_id>) with <number> components.

   Copy to Clipboard Toggle word wrap

   ここでは、以下のようになります。

   <number>

   検出されたコンポーネントの数を指定します。

   <node_name>

   ノードの名前を指定します。

   <node_id>

   ノードの内部 ID を指定します。

手順

1. RHACS ポータルで、Vulnerability Management Dashboard に移動します。
2. ヘッダーの Nodes を選択し、ノードに影響するすべての CVE のリストを表示します。

3. リストからノードを選択し、そのノードに影響するすべての CVE の詳細を表示します。

   1. ノードを選択すると、選択したノードの Node の詳細パネルが開きます。Node ビューには、ノードの詳細が表示され、CVSS スコア別の CVE およびそのノードの修正可能な CVE に関する情報が含まれます。
   2. 選択したノードのすべての CVE のリストを表示するには、CVEs by CVSS score で、View All を選択します。CVE の一覧をフィルタリングすることもできます。
   3. 修正可能な CVE を CSV ファイルとしてエクスポートするには、Node Findings セクションで Export as CSV を選択します。

手順

1. RHACS ポータルで、Vulnerability Management Results に移動します。
2. Nodes タブを選択します。
3. オプション: このページには、観察された CVE のリストがデフォルトで表示されます。Show snoozed CVEs をクリックして表示します。

4. オプション: CVE をエンティティー別にフィルタリングするには、適切なフィルターと属性を選択します。フィルタリング条件をさらに追加するには、次の手順に従います。

   1. リストからエンティティーまたは属性を選択します。
   2. 必要に応じて、テキストなどの適切な情報を入力するか、日付またはオブジェクトを選択します。
   3. 右矢印アイコンをクリックします。

   4. オプション: 追加のエンティティーと属性を選択し、右矢印アイコンをクリックして追加します。フィルターのエンティティーと属性を次の表に示します。

      Expand

      表15.9 フィルターオプション

      エンティティー	属性
      ノード	Name: ノードの名前。 Operating system: ノードのオペレーティングシステム (例: Red Hat Enterprise Linux (RHEL))。 Label: ノードのラベル。 Annotation: ノードのアノテーション。 Scan time: ノードのスキャン日。
      CVE	Name: CVE の名前。 Discovered time: RHACS が CVE を検出した日付。 CVSS: CVE の重大度。 CVE の重大度レベルには次の値が関連付けられています。 is greater than is greater than or equal to is equal to is less than or equal to is less than
      Node Component	Name: コンポーネントの名前。 Version: コンポーネントのバージョン (例: 4.15.0-2024)。これを使用すると、たとえばコンポーネント名と組み合わせて、特定のバージョンのコンポーネントを検索できます。
      Cluster	ID: 英数字で示されるクラスター ID。RHACS が追跡目的で割り当てる内部識別子です。 Name: クラスターの名前。 Label: クラスターのラベル。 Type: クラスターのタイプ (例: OCP)。 Platform type: プラットフォームのタイプ (例: OpenShift 4 クラスター)。

      Show more

5. オプション: 結果のリストを絞り込むには、次のいずれかのタスクを実行します。

   • CVE severity をクリックし、1 つ以上のレベルを選択します。
   • CVE status をクリックし、Fixable または Not fixable を選択します。

6. データを表示するには、次のいずれかのタブをクリックします。

   • <number> CVEs: すべてのノードに影響を与えるすべての CVE のリストを表示します。
   • <number> Nodes: CVE が含まれるノードのリストを表示します。
7. ノードの詳細と、そのノードの CVSS スコアと修正可能な CVE に基づく CVE 情報を表示するには、ノードのリストでノード名をクリックします。