Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

3.2. Central

红帽管理 Central，RHACS 云服务的 control plane。这些服务包括以下组件：

  • Central ： Central 是 RHACS 应用程序管理界面和服务。它处理 API 交互和用户界面 (RHACS Portal) 访问。您可以使用同一中实例来保护多个 OpenShift Container Platform 或 Kubernetes 集群。
  • Central DB ： Central DB 是 RHACS 的数据库，并处理所有数据持久性。它目前基于 PostgreSQL 13。

  • 扫描程序 V4 ：从版本 4.4 开始，RHACS 包含 Scanner V4 漏洞扫描程序，用于扫描容器镜像。扫描程序 V4 基于 Claircore 构建，它还为 Clair 扫描程序提供支持。扫描程序 V4 支持语言和特定于操作系统的镜像组件、节点和平台扫描。扫描程序 V4 包含索引器、匹配器和 DB 组件。

    • 扫描程序 V4 Indexer ： Scanner V4 Indexer 执行镜像索引，以前称为镜像分析。根据镜像和 registry 凭证，索引器从 registry 拉取镜像，找到基础操作系统（如果存在），并查找软件包。然后，索引器会存储和输出一个索引报告，其中包含给定镜像的发现。
    • 扫描程序 V4 Matcher ：Scanner V4 Matcher 执行漏洞匹配。如果在 Central 索引中安装的 Indexer，则 Matcher 从索引器获取索引报告，并将报告与 Scanner V4 数据库中存储的漏洞匹配。如果安装在安全集群中安装的 Indexer 执行索引，则 Matcher 将使用从该索引程序发送的索引报告，然后与漏洞匹配。Matcher 还获取漏洞数据，并使用最新的漏洞数据更新 Scanner V4 数据库。Scanner V4 Matcher 输出漏洞报告，其中包含镜像的最终结果。
    • 扫描程序 V4 DB ：此数据库存储 Scanner V4 的信息，包括所有漏洞数据和索引报告。在安装 Central 的集群上，Scanner V4 DB 需要持久性卷声明(PVC)。
  • stackrox Scanner: StackRox Scanner 源自 Clair v2 开源扫描程序的分叉，是 Scanner V4 之前 RHACS 的默认扫描程序。
  • scanner-DB ：此数据库包含 StackRox Scanner 的数据。

RHACS 扫描程序分析每个镜像层，以确定基础操作系统，并确定操作系统软件包管理器安装的编程语言软件包和软件包。它与来自各种漏洞源的已知漏洞匹配。另外，它会识别节点的操作系统和平台中的漏洞。

3.2.1. 漏洞数据源
复制链接

漏洞的来源取决于系统中使用的扫描程序。RHACS 包含两个扫描程序： StackRox Scanner 和 Scanner V4。StackRox Scanner 已被弃用。扫描程序 V4 是默认镜像扫描程序。

3.2.1.1. 扫描程序 V4 源
复制链接

扫描程序 V4 使用以下漏洞源：

Red Hat VEX

此源用于发行版本 4.6 及更新的版本。此源以 漏洞利用性 eXchange (VEX)格式提供漏洞数据。RHACS 利用 VEX 优势来显著减少初始加载漏洞数据所需的时间，以及存储漏洞数据所需的空间。VEX 还比 OVAL 提供更高的准确性。

当使用 OVAL 版本（如 RHACS 版本 4.5）和使用 VEX 版本（如版本 4.6）的 RHACS 版本扫描时，RHACS 可能会列出不同的漏洞数。例如，当这些漏洞包含在之前使用 OVAL 数据的版本中，RHACS 不再显示状态为 "under investigation" 的漏洞。

对于来自红帽生态系统目录的容器上的容器，RHACS 提供了一个选项，用于只显示红帽 VEX 数据的漏洞。红帽镜像的 VEX 数据是最准确的，因为红帽安全团队对这些镜像中的漏洞进行了审查，并报告了 VEX 的结果。其他安全漏洞源（如 OSV）可能会报告红帽已确定的漏洞不适用于镜像。这可能会在漏洞结果中造成假的正状态。启用该设置，使其只为红帽镜像使用 VEX 数据，可最大程度降低这些误报。

默认情况下，禁用将 VEX 数据用于红帽容器的选项。要启用这个选项，在 Scanner V4 Matcher 中，将环境变量 ROX_SCANNER_V4_RED_HAT_RED_HAT_VULNS_ONLY 设置为 true。请注意，在个别情况下，使用这个选项可能会导致扫描结果中没有出现有效的漏洞，或假的负状态。例如，红帽不会跟踪已结束生命周期的产品的漏洞。另请注意，红帽的 VEX 数据对许多 中间件产品缺少准确的安全数据。

有关红帽安全数据的更多信息，包括关于使用 OVAL、通用安全公告框架 2.0 (CSAF)和 VEX 的信息，请参阅 红帽安全数据的未来。

OSV

这用于与语言相关的漏洞，如 Go、Java、Java、Java、Python 和 Ruby。此源可能会提供 CVE ID 以外的漏洞 ID，如 GitHub 安全公告(GHSA) ID。

注意

RHACS 使用 Apache License 2.0 下的 OSV 数据库，位于 OSV.dev 中。

NVD

这用于各种目的，如在供应商不提供信息时填补信息差距。例如，Alpine 不提供描述、CVSS 分数、严重性或发布日期。

注意

此产品使用 NVD API，但不由 NVD 结束或认证。

其他漏洞源
扫描程序 V4 Indexer 源

扫描程序 V4 索引器使用以下文件来索引红帽容器：

3.2.1.2. stackrox Scanner 源
复制链接

stackrox Scanner 使用以下漏洞源：

返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat