1.5. 서비스 간 상호 작용

Central

⮂

scanner V4 Indexer

Central은 지정된 이미지를 다운로드 및 인덱스(분석)하도록 Indexer를 요청합니다. 이 프로세스는 인덱스 보고서가 생성됩니다. scanner V4 Indexer는 인덱싱 프로세스를 지원하는 Central에서 매핑 파일을 요청합니다.

Central

⮂

스캐너 V4 Matcher

중앙에서는 스캐너 V4가 지정된 이미지와 알려진 취약점과 일치하도록 요청합니다. 이 프로세스는 최종 검사 결과인 취약점 보고를 생성합니다. scanner V4 Matcher는 Central의 최신 취약점을 요청합니다.

센서

⮂

scanner V4 Indexer

SecuredCluster 스캔은 Operator를 사용하여 배포되거나 위임된 스캔이 사용될 때 배포된 Red Hat OpenShift 환경에서 기본적으로 활성화됩니다. SecuredCluster 스캔을 활성화하면 센서가 스캐너 V4를 사용하여 이미지를 인덱싱합니다. scanner V4 Indexer는 동일한 네임스페이스에 Central이 존재하지 않는 한 인덱싱 프로세스를 지원하는 센서의 매핑 파일을 요청합니다. 이 경우 Central이 대신 연락합니다.

scanner V4 Indexer

→

이미지 레지스트리

Indexer는 레지스트리에서 이미지 메타데이터를 가져와서 이미지의 계층을 확인하고 이전에 인덱싱되지 않은 각 계층을 다운로드합니다.

스캐너 V4 Matcher

→

scanner V4 Indexer

scanner V4 Matcher는 Indexer에서 이미지 인덱싱, 인덱스 보고서의 결과를 요청합니다. 그런 다음 보고서를 사용하여 관련 취약점을 결정합니다. 이 상호 작용은 중앙 클러스터에서 이미지를 인덱싱할 때만 발생합니다. scanner V4가 보안 클러스터에서 인덱싱된 이미지의 취약점과 일치하는 경우 이러한 상호 작용은 발생하지 않습니다.

scanner V4 Indexer

→

스캐너 V4 DB

Indexer는 인덱싱 결과와 관련된 데이터를 저장하여 이미지 계층이 한 번만 다운로드 및 인덱싱되도록 합니다. 이렇게 하면 불필요한 네트워크 트래픽 및 기타 리소스 사용률이 방지됩니다.

스캐너 V4 Matcher

→

스캐너 V4 DB

scanner V4 Matcher는 모든 취약점 데이터를 데이터베이스에 저장하고 주기적으로 이 데이터를 업데이트합니다. 스캐너 V4 인덱서는 이 데이터를 취약점 일치 프로세스의 일부로 쿼리합니다.

센서

⮂

Central

중앙과 센서 사이에는 양방향 통신이 있습니다. 센서는 주기적으로 중앙을 폴링하여 센서 번들 구성에 대한 업데이트를 다운로드합니다. 또한 보안 클러스터에 대해 관찰된 활동 및 관찰된 정책 위반에 대한 이벤트를 보냅니다. Central은 활성화된 정책에 대해 모든 배포를 강제 처리하기 위해 센서와 통신합니다.

수집기

⮂

센서

수집기는 센서와 통신하고 모든 이벤트를 클러스터의 각 센서로 보냅니다. 지원되는 OpenShift Container Platform 클러스터에서 수집기는 노드에 설치된 소프트웨어 패키지를 분석하여 나중에 스캐너에서 취약점을 검사하도록 센서로 보냅니다. 또한 수집기는 센서에서 누락된 드라이버를 요청합니다. 센서는 수집기에서 규정 준수 검사 결과를 요청합니다. 또한 Sensor는 Central에서 외부 Classless Inter-Domain Routing 정보를 수신하여 수집기로 푸시합니다.

허용 컨트롤러

⮂

센서

센서는 Admission Controller에 적용할 보안 정책 목록을 보냅니다. 승인 컨트롤러는 보안 정책 위반 경고를 센서에 보냅니다. 허용 컨트롤러는 필요한 경우 센서에서 이미지 검사를 요청할 수도 있습니다.

허용 컨트롤러

➞

Central

그러나 중앙 끝점이 알려지고 Sensor를 사용할 수 없는 경우 Admission Controller는 Central과 직접 통신할 수 있습니다.

Central

⮂

스캐너

중앙과 스캐너 사이에는 양방향 통신이 있습니다. 중앙 집중식에서는 스캐너에서 이미지 검사를 요청하고 스캐너는 Central에서 CVE 데이터베이스에 대한 업데이트를 요청합니다.

Central

➞

definitions.stackrox.io

Central은 definitions.stackrox.io 엔드포인트에 연결하여 집계된 취약점 정보를 수신합니다.

Central

➞

collector-modules.stackrox.io

중앙에서는 collector-modules.stackrox.io 에서 지원되는 커널 모듈을 다운로드합니다.

Central

➞

이미지 레지스트리

중앙에서는 이미지 레지스트리를 쿼리하여 이미지 메타데이터를 가져옵니다. 예를 들어 RHACS 포털에서 Dockerfile 명령을 표시하려면 다음을 수행합니다.

스캐너

➞

이미지 레지스트리

스캐너는 이미지 레지스트리에서 이미지를 가져와서 취약점을 식별합니다.

센서

⮂

Central

중앙과 센서 사이에는 양방향 통신이 있습니다. 센서는 센서 번들 구성에 대한 업데이트를 다운로드하기 위해 주기적으로 폴링합니다. 또한 보안 클러스터에 대해 관찰된 활동 및 관찰된 정책 위반에 대한 이벤트를 보냅니다. Central은 활성화된 정책에 대해 모든 배포를 강제 처리하기 위해 센서와 통신합니다.

센서

⮂

스캐너

센서는 보안 클러스터에 설치된 경량 스캐너와 통신할 수 있습니다. 이 연결을 통해 센서는 Central이 액세스할 수 없는 시나리오에서 보안 클러스터에서 직접 레지스트리에 액세스할 수 있습니다. 스캐너는 센서에서 업데이트된 데이터를 요청하고, 센서는 이러한 요청을 Central로 전달하며, 중앙에서는 definitions.stackrox.io 에서 요청된 데이터를 다운로드합니다.

수집기

⮂

센서

수집기는 센서와 통신하고 모든 이벤트를 클러스터의 각 센서로 보냅니다. 지원되는 OpenShift Container Platform 클러스터에서 수집기는 노드에 설치된 소프트웨어 패키지를 분석하여 나중에 스캐너에서 취약점을 검사하도록 센서로 보냅니다. 또한 수집기는 센서에서 누락된 드라이버를 요청합니다. 센서는 수집기에서 규정 준수 검사 결과를 요청합니다. 또한 Sensor는 Central에서 외부 Classless Inter-Domain Routing 정보를 수신하여 수집기로 푸시합니다.

허용 컨트롤러

⮂

센서

센서는 Admission Controller에 적용할 보안 정책 목록을 보냅니다. 승인 컨트롤러는 보안 정책 위반 경고를 센서에 보냅니다. 허용 컨트롤러는 필요한 경우 센서에서 이미지 검사를 요청할 수도 있습니다.

허용 컨트롤러

➞

Central

그러나 중앙 끝점이 알려지고 Sensor를 사용할 수 없는 경우 Admission Controller는 Central과 직접 통신할 수 있습니다.