14.5. 扫描 RHCOS 节点主机

流程

1. 运行以下命令来更新合规性容器之一。

   • 对于禁用了指标的默认合规容器，请运行以下命令：

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":"disabled"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

     Copy to Clipboard Toggle word wrap

   • 对于启用了 Prometheus 指标的合规性容器，请运行以下命令：

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":":9091"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

     Copy to Clipboard Toggle word wrap

2. 通过执行以下步骤更新 Collector DaemonSet (DS)：

   1. 运行以下命令，将新卷挂载添加到 Collector DS 中：

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"volumes":[{"name":"tmp-volume","emptyDir":{}},{"name":"cache-volume","emptyDir":{"sizeLimit":"200Mi"}}]}}}}'

      Copy to Clipboard Toggle word wrap

   2. 运行以下命令添加新 NodeScanner 容器：

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"command":["/scanner","--nodeinventory","--config=",""],"env":[{"name":"ROX_NODE_NAME","valueFrom":{"fieldRef":{"apiVersion":"v1","fieldPath":"spec.nodeName"}}},{"name":"ROX_CLAIR_V4_SCANNING","value":"true"},{"name":"ROX_COMPLIANCE_OPERATOR_INTEGRATION","value":"true"},{"name":"ROX_CSV_EXPORT","value":"false"},{"name":"ROX_DECLARATIVE_CONFIGURATION","value":"false"},{"name":"ROX_INTEGRATIONS_AS_CONFIG","value":"false"},{"name":"ROX_NETPOL_FIELDS","value":"true"},{"name":"ROX_NETWORK_DETECTION_BASELINE_SIMULATION","value":"true"},{"name":"ROX_NETWORK_GRAPH_PATTERNFLY","value":"true"},{"name":"ROX_NODE_SCANNING_CACHE_TIME","value":"3h36m"},{"name":"ROX_NODE_SCANNING_INITIAL_BACKOFF","value":"30s"},{"name":"ROX_NODE_SCANNING_MAX_BACKOFF","value":"5m"},{"name":"ROX_PROCESSES_LISTENING_ON_PORT","value":"false"},{"name":"ROX_QUAY_ROBOT_ACCOUNTS","value":"true"},{"name":"ROX_ROXCTL_NETPOL_GENERATE","value":"true"},{"name":"ROX_SOURCED_AUTOGENERATED_INTEGRATIONS","value":"false"},{"name":"ROX_SYSLOG_EXTRA_FIELDS","value":"true"},{"name":"ROX_SYSTEM_HEALTH_PF","value":"false"},{"name":"ROX_VULN_MGMT_WORKLOAD_CVES","value":"false"}],"image":"registry.redhat.io/advanced-cluster-security/rhacs-scanner-slim-rhel8:4.5.9","imagePullPolicy":"IfNotPresent","name":"node-inventory","ports":[{"containerPort":8444,"name":"grpc","protocol":"TCP"}],"volumeMounts":[{"mountPath":"/host","name":"host-root-ro","readOnly":true},{"mountPath":"/tmp/","name":"tmp-volume"},{"mountPath":"/cache","name":"cache-volume"}]}]}}}}'

      Copy to Clipboard Toggle word wrap

流程

1. 在 RHACS 门户中，进入 Vulnerability Management Dashboard。
2. 选择标头中的 Nodes，以查看影响您的节点的所有 CVE 列表。

3. 从列表中选择节点，以查看影响该节点的所有 CVE 的详细信息。

   1. 当您选择节点时，为所选节点打开 Node details 面板。Node 视图显示节点的深入详情，并包含由 CVSS 分数以及该节点可修复的 CVE 的信息。
   2. 选择 View All on the CVE by CVSS score widget 标头来查看所选节点上所有 CVE 的列表。您还可以过滤 CVE 列表。
   3. 要将可修复的 CVE 导出为 CSV 文件，请在 Node Findings 部分选择 Export as CSV。

流程

1. 在 RHACS 门户中，点 Vulnerability Management Node CVEs。

2. 要查看数据，请执行以下任一任务：

   • 要查看影响所有节点的所有 CVE 列表，请选择 < number> CVEs。
   • 要查看包含 CVE 的节点列表，请选择 < number> Nodes。

3. 可选： 要根据实体过滤 CVE，请选择适当的过滤器和属性。要添加更多过滤条件，请按照以下步骤执行：

   1. 从列表中选择 entity 或 属性。
   2. 根据您的选择，输入适当的信息，如文本，或者选择一个日期或对象。
   3. 点向右箭头图标。

   4. 可选：选择其他实体和属性，然后单击右箭头图标来添加它们。下表中列出了过滤器实体和属性。

      Expand

      表 14.6. CVE 过滤

      实体	属性
      节点	名称 ：节点的名称。 操作系统 ：节点的操作系统，如 Red Hat Enterprise Linux (RHEL)。 label ：节点的标签。 注解 ：节点的注解。 扫描时间 ：节点的扫描日期。
      CVE	名称 ：CVE 的名称。 发现时间 ：当 RHACS 发现 CVE 的日期。 CVSS: CVE 的严重性级别。您可以从严重性级别的以下选项中选择： 大于 大于或等于 等于 小于或等于 小于
      节点组件	name ：组件的名称。 版本: 组件的版本，如 4.15.0-2024。您可以使用此选项搜索组件的特定版本，例如与组件名称结合使用。
      集群	name ：集群名称。 label : 集群 的标签。 类型 ：集群类型，如 OCP。 平台类型 ：平台类型，如 OpenShift 4 集群。

      Show more

4. 可选： 要优化结果列表，请执行以下任一任务：

   • 单击 CVE 严重性，然后选择一个或多个级别。
   • 单击 CVE 状态，然后选择 Fixable 或 Not fixable。
5. 可选： 要查看节点的详情，并根据该节点的 CVSS 分数和可修复的 CVE 信息，点节点列表中的节点名称。