15.5. RHCOS 노드 호스트 스캔

프로세스

1. 다음 명령 중 하나를 실행하여 규정 준수 컨테이너를 업데이트합니다.

   • 메트릭이 비활성화된 기본 규정 준수 컨테이너의 경우 다음 명령을 실행합니다.

     Copy to Clipboard Toggle word wrap

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":"disabled"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

   • Prometheus 지표가 활성화된 규정 준수 컨테이너의 경우 다음 명령을 실행합니다.

     Copy to Clipboard Toggle word wrap

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":":9091"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

2. 다음 단계를 수행하여 Collector DaemonSet(DS)를 업데이트합니다.

   1. 다음 명령을 실행하여 수집기 DS에 새 볼륨 마운트를 추가합니다.

      Copy to Clipboard Toggle word wrap

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"volumes":[{"name":"tmp-volume","emptyDir":{}},{"name":"cache-volume","emptyDir":{"sizeLimit":"200Mi"}}]}}}}'

   2. 다음 명령을 실행하여 새 NodeScanner 컨테이너를 추가합니다.

      Copy to Clipboard Toggle word wrap

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"command":["/scanner","--nodeinventory","--config=",""],"env":[{"name":"ROX_NODE_NAME","valueFrom":{"fieldRef":{"apiVersion":"v1","fieldPath":"spec.nodeName"}}},{"name":"ROX_CLAIR_V4_SCANNING","value":"true"},{"name":"ROX_COMPLIANCE_OPERATOR_INTEGRATION","value":"true"},{"name":"ROX_CSV_EXPORT","value":"false"},{"name":"ROX_DECLARATIVE_CONFIGURATION","value":"false"},{"name":"ROX_INTEGRATIONS_AS_CONFIG","value":"false"},{"name":"ROX_NETPOL_FIELDS","value":"true"},{"name":"ROX_NETWORK_DETECTION_BASELINE_SIMULATION","value":"true"},{"name":"ROX_NETWORK_GRAPH_PATTERNFLY","value":"true"},{"name":"ROX_NODE_SCANNING_CACHE_TIME","value":"3h36m"},{"name":"ROX_NODE_SCANNING_INITIAL_BACKOFF","value":"30s"},{"name":"ROX_NODE_SCANNING_MAX_BACKOFF","value":"5m"},{"name":"ROX_PROCESSES_LISTENING_ON_PORT","value":"false"},{"name":"ROX_QUAY_ROBOT_ACCOUNTS","value":"true"},{"name":"ROX_ROXCTL_NETPOL_GENERATE","value":"true"},{"name":"ROX_SOURCED_AUTOGENERATED_INTEGRATIONS","value":"false"},{"name":"ROX_SYSLOG_EXTRA_FIELDS","value":"true"},{"name":"ROX_SYSTEM_HEALTH_PF","value":"false"},{"name":"ROX_VULN_MGMT_WORKLOAD_CVES","value":"false"}],"image":"registry.redhat.io/advanced-cluster-security/rhacs-scanner-slim-rhel8:4.7.3","imagePullPolicy":"IfNotPresent","name":"node-inventory","ports":[{"containerPort":8444,"name":"grpc","protocol":"TCP"}],"volumeMounts":[{"mountPath":"/host","name":"host-root-ro","readOnly":true},{"mountPath":"/tmp/","name":"tmp-volume"},{"mountPath":"/cache","name":"cache-volume"}]}]}}}}'

1. scanner V4가 Central 클러스터에 배포되었는지 확인합니다.

   Copy to Clipboard Toggle word wrap

   $ kubectl -n stackrox get deployment scanner-v4-indexer scanner-v4-matcher scanner-v4-db

   1

   1

   OpenShift Container Platform의 경우 kubectl 대신 oc 를 사용합니다.

2. 중앙 포드에서 중앙 컨테이너에서 ROX_NODE_INDEX_ENABLED 및 ROX_SCANNER_V4 변수를 Central 클러스터에서 다음 명령을 실행하여 true 로 설정합니다.

   Copy to Clipboard Toggle word wrap

   $ kubectl -n stackrox set env deployment/central ROX_NODE_INDEX_ENABLED=true ROX_SCANNER_V4=true

   1

   1

   OpenShift Container Platform의 경우 kubectl 대신 oc 를 사용합니다.

3. 센서 컨테이너에서 노드 검사를 활성화하려는 모든 보안 클러스터에서 다음 명령을 실행하여 센서 컨테이너에서 ROX_NODE_INDEX_ENABLED 및 ROX_SCANNER_V4 변수를 true 로 설정합니다.

   Copy to Clipboard Toggle word wrap

   $ kubectl -n stackrox set env deployment/sensor ROX_NODE_INDEX_ENABLED=true ROX_SCANNER_V4=true

   1

   1

   OpenShift Container Platform의 경우 kubectl 대신 oc 를 사용합니다.

4. 수집기 데몬 세트에서 노드 스캔을 활성화하려는 모든 보안 클러스터에서 다음 명령을 실행하여 규정 준수 컨테이너에서 ROX_NODE_INDEX_ENABLED 및 ROX_SCANNER_V4 변수를 true 로 설정합니다.

   Copy to Clipboard Toggle word wrap

   $ kubectl -n stackrox set env daemonset/collector ROX_NODE_INDEX_ENABLED=true ROX_SCANNER_V4=true

   1

   1

   OpenShift Container Platform의 경우 kubectl 대신 oc 를 사용합니다.

5. 노드 검사가 작동하는지 확인하려면 중앙 로그에서 다음 메시지를 검사합니다.

   Copy to Clipboard Toggle word wrap

   Scanned index report and found <number> components for node <node_name>.

   다음과 같습니다.

   <number>

   검색된 구성 요소의 수를 지정합니다.

   <node_name>

   노드의 이름을 지정합니다.

1. StackRox 스캐너가 중앙 클러스터에 배포되었는지 확인합니다.

   Copy to Clipboard Toggle word wrap

   $ kubectl -n stackrox get deployment scanner scanner-db

   1

   1

   OpenShift Container Platform의 경우 kubectl 대신 oc 를 사용합니다.

2. 중앙 포드에서 중앙 컨테이너에서 다음 명령을 실행하여 중앙 컨테이너에서 ROX_NODE_INDEX_ENABLED 를 false 로 설정합니다.

   Copy to Clipboard Toggle word wrap

   $ kubectl -n stackrox set env deployment/central ROX_NODE_INDEX_ENABLED=false

   1

   1

   OpenShift Container Platform의 경우 kubectl 대신 oc 를 사용합니다.

3. 수집기 데몬 세트에서 노드 스캔을 활성화하려는 모든 보안 클러스터에서 다음 명령을 실행하여 규정 준수 컨테이너에서 ROX_CALL_NODE_INVENTORY_ENABLED 를 true 로 설정합니다.

   Copy to Clipboard Toggle word wrap

   $ kubectl -n stackrox set env daemonset/collector ROX_CALL_NODE_INVENTORY_ENABLED=true

   1

   1

   OpenShift Container Platform의 경우 kubectl 대신 oc 를 사용합니다.

4. 노드 검사가 작동하는지 확인하려면 중앙 로그에서 다음 메시지를 검사합니다.

   Copy to Clipboard Toggle word wrap

   Scanned node inventory <node_name> (id: <node_id>) with <number> components.

   다음과 같습니다.

   <number>

   검색된 구성 요소의 수를 지정합니다.

   <node_name>

   노드의 이름을 지정합니다.

   <node_id>

   노드의 내부 ID를 지정합니다.

프로세스

1. RHACS 포털에서 취약점 관리 대시보드 로 이동합니다.
2. 헤더 에서 노드를 선택하여 노드에 영향을 미치는 모든 CVE 목록을 확인합니다.

3. 목록에서 노드를 선택하여 해당 노드에 영향을 미치는 모든 CVE의 세부 정보를 확인합니다.

   1. 노드를 선택하면 선택한 노드에 대한 노드 세부 정보 패널이 열립니다. 노드 보기에는 노드에 대한 심층적인 세부 정보가 표시되고 CVSS 점수별 CVE 및 해당 노드의 수정 가능한 CVE에 대한 정보가 포함되어 있습니다.
   2. CVSS별 CVE 점수 위젯 헤더에서 View All on the CVEs by CVSS score widget 헤더를 선택하여 선택한 노드의 모든 CVE 목록을 확인합니다. CVE 목록을 필터링할 수도 있습니다.
   3. 수정 가능한 CVE를 CSV 파일로 내보내려면 Node Findings 섹션에서 CSV로 내보내기 를 선택합니다.

프로세스

1. RHACS 포털에서 취약점 관리 결과 로 이동합니다.
2. 노드 탭을 선택합니다.
3. 선택 사항: 페이지가 기본적으로 관찰된 CVE 목록으로 설정됩니다. Show sno#159ed CVE를 클릭하여 확인합니다.

4. 선택 사항: 엔터티에 따라 CVE를 필터링하려면 적절한 필터 및 속성을 선택합니다. 필터링 기준을 추가하려면 다음 단계를 따르십시오.

   1. 목록에서 엔터티 또는 특성을 선택합니다.
   2. 선택 사항에 따라 텍스트와 같은 적절한 정보를 입력하거나 날짜 또는 개체를 선택합니다.
   3. 오른쪽 화살표 아이콘을 클릭합니다.

   4. 선택 사항: 추가 엔터티 및 특성을 선택한 다음 오른쪽 화살표 아이콘을 클릭하여 추가합니다. 필터 엔터티 및 속성은 다음 표에 나열되어 있습니다.

      표 15.9. 필터 옵션

      엔터티	속성
      노드	name: 노드의 이름입니다. 운영 체제: 노드의 운영 체제(예: RHEL(Red Hat Enterprise Linux))입니다. label: 노드의 레이블입니다. annotation: 노드의 주석입니다. 검사 시간: 노드의 검사 날짜입니다.
      CVE	name: CVE의 이름입니다. 검색된 시간: RHACS가 CVE를 발견한 날짜입니다. CVSS: CVE의 심각도 수준입니다. 다음 값은 CVE의 심각도 수준과 관련이 있습니다. 보다 크거나 크거나 같음 이 값과 같습니다 작거나 같음 보다 작음
      노드 구성 요소	name: 구성 요소의 이름입니다. Version: 구성 요소의 버전입니다(예: 4.15.0-2024 ). 이를 사용하여 구성 요소 이름과 함께 특정 버전의 구성 요소(예:)를 검색할 수 있습니다.
      Cluster	id: 클러스터의 영숫자 ID입니다. RHACS에서 추적을 위해 할당하는 내부 식별자입니다. name: 클러스터의 이름입니다. label : 클러스터의 레이블입니다. type: 클러스터 유형입니다(예: OCP). 플랫폼 유형: 플랫폼의 유형입니다(예: OpenShift 4 클러스터).

5. 선택 사항: 결과 목록을 구체화하려면 다음 작업 중 하나를 수행합니다.

   • CVE 심각도 를 클릭한 다음 하나 이상의 수준을 선택합니다.
   • CVE 상태를 클릭한 다음 Fixable 또는 Not fixable 을 선택합니다.

6. 데이터를 보려면 다음 탭 중 하나를 클릭합니다.

   • <number> CVE: 모든 노드에 영향을 미치는 모든 CVE 목록을 표시합니다.
   • <number> 노드: CVE가 포함된 노드 목록을 표시합니다.
7. 노드의 세부 정보와 CVSS 점수 및 수정 가능한 CVE에 대한 정보를 보려면 노드 목록에서 노드 이름을 클릭합니다.