3.2. Central

红帽管理 Central，RHACS 云服务的 control plane。这些服务包括以下组件：

Central ： Central 是 RHACS 应用程序管理界面和服务。它处理 API 交互和用户界面 (RHACS Portal) 访问。
Central DB ： Central DB 是 RHACS 的数据库，并处理所有数据持久性。它目前基于 PostgreSQL 13。
扫描程序 V4 ：从版本 4.4 开始，RHACS 包含 Scanner V4 漏洞扫描程序，用于扫描容器镜像。扫描程序 V4 基于 ClairCore 构建，它还为 Clair 扫描程序提供支持。扫描程序 V4 包括索引器、Matcher 和 Scanner V4 DB 组件，它们用于扫描。
stackrox Scanner ： StackRox Scanner 是 RHACS 中的默认扫描程序。StackRox Scanner 源自 Clair v2 开源扫描程序的分叉。
scanner-DB ：此数据库包含 StackRox Scanner 的数据。

RHACS 扫描程序分析每个镜像层，以确定基础操作系统，并确定操作系统软件包管理器安装的编程语言软件包和软件包。它们与来自各种漏洞源的已知漏洞匹配。另外，StackRox Scanner 会识别节点的操作系统和平台中的漏洞。在以后的版本中计划为 Scanner V4 计划使用这些功能。

漏洞的来源取决于系统中使用的扫描程序。RHACS 包含两个扫描程序： StackRox Scanner 和 Scanner V4。stackrox Scanner 是默认的扫描程序，已弃用，从版本 4.6 开始。扫描程序 V4 在版本 4.4 中引入，是推荐的镜像扫描程序。

stackrox Scanner 使用以下漏洞源：

Red Hat OVAL v2
Alpine 安全数据库
Amazon Linux Security Center中跟踪的数据
Debian 安全跟踪器
Ubuntu CVE 跟踪器
NVD ：这用于各种目的，如在供应商不提供信息时填补信息差距。例如，Alpine 不提供描述、CVSS 分数、严重性或发布日期。
注意
此产品使用 NVD API，但不由 NVD 结束或认证。
Linux manual entries 和 NVD manual 条目：上游 StackRox 项目维护一组可能因为其他源或没有数据的数据格式而发现的漏洞。
repository-to-cpe.json: 将 RPM 存储库映射到其相关的 CPEs，这是匹配基于 RHEL 的镜像的漏洞所必需的。

扫描程序 V4 使用以下漏洞源：

与版本 4.6 及之后的版本一起使用。此源以漏洞利用性 eXchange (VEX)格式提供漏洞数据。RHACS 利用 VEX 优势来显著减少初始加载漏洞数据所需的时间，以及存储漏洞数据所需的空间。

当使用 OVAL 版本（如 RHACS 版本 4.5）和使用 VEX 版本（如版本 4.6）的 RHACS 版本扫描时，RHACS 可能会列出不同的漏洞数。例如，当这些漏洞包含在之前使用 OVAL 数据的版本中，RHACS 不再显示状态为 "under investigation" 的漏洞。

有关红帽安全数据的更多信息，包括关于使用 OVAL、通用安全公告框架 2.0 (CSAF)和 VEX 的信息，请参阅红帽安全数据的未来。

这还用于 Red Hat Container Catalog 中出现的镜像的 VEX 数据。

这用于与语言相关的漏洞，如 Go、Java、Java、Java、Python 和 Ruby。此源可能会提供 CVE ID 以外的漏洞 ID，如 GitHub 安全公告(GHSA) ID。

注意

RHACS 使用 Apache License 2.0 下的 OSV 数据库，位于 OSV.dev 中。

这用于各种目的，如在供应商不提供信息时填补信息差距。例如，Alpine 不提供描述、CVSS 分数、严重性或发布日期。

注意

此产品使用 NVD API，但不由 NVD 结束或认证。

其他漏洞源

扫描程序 V4 Indexer 源

扫描程序 V4 索引器使用以下文件来索引红帽容器：