14.5. 扫描 RHCOS 节点主机

流程

1. 运行以下命令来更新合规性容器之一。

   • 对于禁用了指标的默认合规容器，请运行以下命令：

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":"disabled"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

   • 对于启用了 Prometheus 指标的合规性容器，请运行以下命令：

     $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"name":"compliance","env":[{"name":"ROX_METRICS_PORT","value":":9091"},{"name":"ROX_NODE_SCANNING_ENDPOINT","value":"127.0.0.1:8444"},{"name":"ROX_NODE_SCANNING_INTERVAL","value":"4h"},{"name":"ROX_NODE_SCANNING_INTERVAL_DEVIATION","value":"24m"},{"name":"ROX_NODE_SCANNING_MAX_INITIAL_WAIT","value":"5m"},{"name":"ROX_RHCOS_NODE_SCANNING","value":"true"},{"name":"ROX_CALL_NODE_INVENTORY_ENABLED","value":"true"}]}]}}}}'

2. 通过执行以下步骤更新 Collector DaemonSet (DS)：

   1. 运行以下命令，将新卷挂载添加到 Collector DS 中：

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"volumes":[{"name":"tmp-volume","emptyDir":{}},{"name":"cache-volume","emptyDir":{"sizeLimit":"200Mi"}}]}}}}'

   2. 运行以下命令添加新 NodeScanner 容器：

      $ oc -n stackrox patch daemonset/collector -p '{"spec":{"template":{"spec":{"containers":[{"command":["/scanner","--nodeinventory","--config=",""],"env":[{"name":"ROX_NODE_NAME","valueFrom":{"fieldRef":{"apiVersion":"v1","fieldPath":"spec.nodeName"}}},{"name":"ROX_CLAIR_V4_SCANNING","value":"true"},{"name":"ROX_COMPLIANCE_OPERATOR_INTEGRATION","value":"true"},{"name":"ROX_CSV_EXPORT","value":"false"},{"name":"ROX_DECLARATIVE_CONFIGURATION","value":"false"},{"name":"ROX_INTEGRATIONS_AS_CONFIG","value":"false"},{"name":"ROX_NETPOL_FIELDS","value":"true"},{"name":"ROX_NETWORK_DETECTION_BASELINE_SIMULATION","value":"true"},{"name":"ROX_NETWORK_GRAPH_PATTERNFLY","value":"true"},{"name":"ROX_NODE_SCANNING_CACHE_TIME","value":"3h36m"},{"name":"ROX_NODE_SCANNING_INITIAL_BACKOFF","value":"30s"},{"name":"ROX_NODE_SCANNING_MAX_BACKOFF","value":"5m"},{"name":"ROX_PROCESSES_LISTENING_ON_PORT","value":"false"},{"name":"ROX_QUAY_ROBOT_ACCOUNTS","value":"true"},{"name":"ROX_ROXCTL_NETPOL_GENERATE","value":"true"},{"name":"ROX_SOURCED_AUTOGENERATED_INTEGRATIONS","value":"false"},{"name":"ROX_SYSLOG_EXTRA_FIELDS","value":"true"},{"name":"ROX_SYSTEM_HEALTH_PF","value":"false"},{"name":"ROX_VULN_MGMT_WORKLOAD_CVES","value":"false"}],"image":"registry.redhat.io/advanced-cluster-security/rhacs-scanner-slim-rhel8:4.6.2","imagePullPolicy":"IfNotPresent","name":"node-inventory","ports":[{"containerPort":8444,"name":"grpc","protocol":"TCP"}],"volumeMounts":[{"mountPath":"/host","name":"host-root-ro","readOnly":true},{"mountPath":"/tmp/","name":"tmp-volume"},{"mountPath":"/cache","name":"cache-volume"}]}]}}}}'

1. 确保在 Central 集群中部署了 Scanner V4：

   $ kubectl -n stackrox get deployment scanner-v4-indexer scanner-v4-matcher scanner-v4-db1

   1

   对于 OpenShift Container Platform，使用 oc 而不是 kubectl。

2. 在 Central pod 中，在 Central 集群上，通过在 Central 集群中运行以下命令来将 ROX_NODE_INDEX_ENABLED 和 ROX_SCANNER_V4 变量设置为 true ：

   $ kubectl -n stackrox set env deployment/central ROX_NODE_INDEX_ENABLED=true ROX_SCANNER_V4=true1

   1

   对于 OpenShift Container Platform，使用 oc 而不是 kubectl。

3. 在 Sensor pod 中，在 sensor 容器上，通过在要启用节点扫描的所有安全集群中运行以下命令，将 ROX_NODE_INDEX_ENABLED 和 ROX_SCANNER_V4 变量设置为 true ：

   $ kubectl -n stackrox set env deployment/sensor ROX_NODE_INDEX_ENABLED=true ROX_SCANNER_V4=true1

   1

   对于 OpenShift Container Platform，使用 oc 而不是 kubectl。

4. 在 Collector Daemonset 中，在 合规 容器中，在您要启用节点扫描的所有安全集群中运行以下命令，将 ROX_NODE_INDEX_ENABLED 和 ROX_SCANNER_V4 变量设置为 true ：

   $ kubectl -n stackrox set env daemonset/collector ROX_NODE_INDEX_ENABLED=true ROX_SCANNER_V4=true1

   1

   对于 OpenShift Container Platform，使用 oc 而不是 kubectl。

5. 要验证节点扫描是否正常工作，请检查以下消息的 Central 日志：

   Scanned index report and found <number> components for node <node_name>.

   其中：

   <number>

   指定发现的组件数量。

   <node_name>

   指定节点的名称。

1. 确保 Central 集群中部署了 StackRox Scanner：

   $ kubectl -n stackrox get deployment scanner scanner-db1

   1

   对于 OpenShift Container Platform，使用 oc 而不是 kubectl。

2. 在 Central pod 中，在 Central 集群中运行以下命令，将 ROX_NODE_INDEX_ENABLED 设置为 false ：

   $ kubectl -n stackrox set env deployment/central ROX_NODE_INDEX_ENABLED=false1

   1

   对于 OpenShift Container Platform，使用 oc 而不是 kubectl。

3. 在 Collector Daemonset 中，在 合规 容器中，在您要启用节点扫描的所有安全集群中运行以下命令，将 ROX_CALL_NODE_ENABLED 设置为 true ：

   $ kubectl -n stackrox set env daemonset/collector ROX_CALL_NODE_INVENTORY_ENABLED=true1

   1

   对于 OpenShift Container Platform，使用 oc 而不是 kubectl。

4. 要验证节点扫描是否正常工作，请检查以下消息的 Central 日志：

   Scanned node inventory <node_name> (id: <node_id>) with <number> components.

   其中：

   <number>

   指定发现的组件数量。

   <node_name>

   指定节点的名称。

   <node_id>

   指定节点的内部 ID。

流程

1. 在 RHACS 门户中，进入 Vulnerability Management Dashboard。
2. 选择标头中的 Nodes，以查看影响您的节点的所有 CVE 列表。

3. 从列表中选择节点，以查看影响该节点的所有 CVE 的详细信息。

   1. 当您选择节点时，Node details 面板会为所选节点打开。Node 视图显示节点的深入详情，包括根据 CVSS 分数以及该节点可修复的 CVE 的信息。
   2. 选择 View All on the CVEs by CVSS score widget header 来查看所选节点中的所有 CVE 列表。您还可以过滤 CVE 列表。
   3. 要将可修复的 CVE 导出为 CSV 文件，请在 Node Findings 部分下选择 Export as CSV。

流程

1. 在 RHACS 门户中，点 Vulnerability Management Node CVEs。

2. 要查看数据，请执行以下任一任务：

   • 要查看影响所有节点的所有 CVE 列表，请选择 < number> CVEs。
   • 要查看包含 CVE 的节点列表，请选择 < number> Nodes。

3. 可选： 要根据实体过滤 CVE，请选择适当的过滤器和属性。要添加更多过滤条件，请按照以下步骤执行：

   1. 从列表中选择 entity 或 属性。
   2. 根据您的选择，输入适当的信息，如文本，或者选择一个日期或对象。
   3. 点向右箭头图标。

   4. 可选：选择其他实体和属性，然后单击右箭头图标来添加它们。下表中列出了过滤器实体和属性。

      表 14.6. CVE 过滤

      实体	属性
      节点	名称 ：节点的名称。 操作系统 ：节点的操作系统，如 Red Hat Enterprise Linux (RHEL)。 label ：节点的标签。 注解 ：节点的注解。 扫描时间 ：节点的扫描日期。
      CVE	名称 ：CVE 的名称。 发现时间 ：当 RHACS 发现 CVE 的日期。 CVSS: CVE 的严重性级别。 以下值与 CVE 的严重性级别关联： 大于 大于或等于 等于 小于或等于 小于
      节点组件	name ：组件的名称。 版本: 组件的版本，如 4.15.0-2024。您可以使用此选项搜索组件的特定版本，例如与组件名称结合使用。
      Cluster	name ：集群名称。 label : 集群 的标签。 类型 ：集群类型，如 OCP。 平台类型 ：平台类型，如 OpenShift 4 集群。

4. 可选： 要优化结果列表，请执行以下任一任务：

   • 单击 CVE 严重性，然后选择一个或多个级别。
   • 单击 CVE 状态，然后选择 Fixable 或 Not fixable。
5. 可选： 要查看节点的详情，并根据该节点的 CVSS 分数和可修复的 CVE 信息，点节点列表中的节点名称。