[!IMPORTANT] تم إيقاف KubeClarity وتم استبداله بـ openclarity/openclarity.

راجع بيان الإصدار لمزيد من المعلومات.

هذا المشروع لا يتلقى تحديثات. نشجعك على الترحيل.

KubeClarity هي أداة للكشف عن وإدارة فواتير المواد البرمجية (SBOM) والثغرات الأمنية في صور الحاويات وأنظمة الملفات. وهي تقوم بمسح كل من مجموعات K8s في وقت التشغيل وخطوط أنابيب CI/CD لتعزيز أمان سلسلة التوريد البرمجية.

جدول المحتويات

لماذا؟
- تحديات الكشف عن SBOM والثغرات
- الحل
الميزات
- مولدات SBOM وماسحات الثغرات المدمجة
البنية
بدء الاستخدام
- الخلفية الخاصة بـ KubeClarity
- CLI
التكوين المتقدم
القيود
خارطة الطريق
المساهمة
الترخيص

لماذا؟

تحديات الكشف عن SBOM والثغرات

يتطلب فحص الثغرات الفعال كشفًا دقيقًا لفواتير المواد البرمجية (SBOM):
- لغات برمجة ومديري حزم متنوعين
- توزيعات أنظمة تشغيل مختلفة
- معلومات تبعيات الحزم عادة ما يتم إزالتها أثناء البناء
أي ماسح/محلل SBOM هو الأفضل؟
ما الذي يجب أن نفحصه: مستودعات Git، أو البنيات، أو صور الحاويات، أو وقت التشغيل؟
لكل ماسح/محلل تنسيقه الخاص - كيف نقارن النتائج؟
كيف ندير SBOM والثغرات المكتشفة؟
كيف تؤثر ثغرة مكتشفة حديثًا على تطبيقاتي؟

الحل

فصل فحص الثغرات إلى مرحلتين:
- تحليل المحتوى لإنشاء SBOM
- فحص SBOM بحثًا عن الثغرات
إنشاء بنية تحتية قابلة للتوصيل لـ:
- تشغيل عدة محللي محتوى بالتوازي
- تشغيل عدة ماسحات ثغرات بالتوازي
فحص ودمج النتائج بين مراحل CI المختلفة باستخدام KubeClarity CLI
فحص وقت تشغيل K8s للكشف عن الثغرات المكتشفة بعد النشر
تجميع الموارد المفحوصة (الصور/الدلائل) ضمن تطبيقات محددة للتنقل عبر تبعيات شجرة الكائنات (التطبيقات، الموارد، الحزم، الثغرات)

الميزات

لوحة القيادة
- الثغرات القابلة للإصلاح حسب الشدة
- أفضل 5 عناصر ضعيفة (التطبيقات، الموارد، الحزم)
- اتجاهات الثغرات الجديدة
- عدد الحزم حسب نوع الترخيص
- عدد الحزم حسب لغة البرمجة
- عدادات عامة
التطبيقات
- الكشف التلقائي عن التطبيقات في وقت تشغيل K8s
- إنشاء/تعديل/حذف التطبيقات
- لكل تطبيق، التنقل إلى العناصر ذات الصلة:
  - الموارد (الصور/الدلائل)
  - الحزم
  - الثغرات
  - التراخيص المستخدمة من قبل الموارد
موارد التطبيقات (الصور/الدلائل)
- لكل مورد، التنقل إلى العناصر ذات الصلة:
  - التطبيقات
  - الحزم
  - الثغرات
الحزم
- لكل حزمة، التنقل إلى العناصر ذات الصلة:
  - التطبيقات
  - قائمة قابلة للربط بالموارد ومحللي SBOM المكتشفين
  - الثغرات
الثغرات
- لكل ثغرة، التنقل إلى العناصر ذات الصلة:
  - التطبيقات
  - الموارد
  - قائمة الماسحات المكتشفة
فحص وقت تشغيل K8s
- فحص عند الطلب أو مجدول
- الكشف التلقائي عن مساحات الأسماء المستهدفة
- تقدم الفحص والتنقل في النتائج حسب العنصر المتأثر (التطبيقات، الموارد، الحزم، الثغرات)
- معيار CIS Docker
CLI (CI/CD)
- إنشاء SBOM باستخدام محللي محتوى مدمجين متعددين (Syft, cyclonedx-gomod)
- فحص الثغرات لـ SBOM/الصورة/الدليل باستخدام ماسحات مدمجة متعددة (Grype, Dependency-track)
- دمج SBOM والثغرات عبر مراحل CI/CD المختلفة
- تصدير النتائج إلى الخلفية الخاصة بـ KubeClarity
API
- يمكن العثور على API لـ KubeClarity هنا

مولدات SBOM وماسحات الثغرات المدمجة

محلل المحتوى KubeClarity يتكامل مع مولدات SBOM التالية:

ماسح الثغرات KubeClarity يتكامل مع الماسحات التالية:

البنية

بدء الاستخدام

الخلفية الخاصة بـ KubeClarity

التثبيت باستخدام Helm:

أضف مستودع Helm ```shell helm repo add kubeclarity https://openclarity.github.io/kubeclarity

Save KubeClarity default chart values

helm show values kubeclarity/kubeclarity > values.yaml

تحقق من الإعدادات في values.yaml وقم بتحديث القيم المطلوبة إذا لزم الأمر. لتفعيل وتكوين مولدات SBOM وماسحات الثغرات المدعومة، يرجى التحقق من إعدادات "analyzer" و "scanner" ضمن قسم "vulnerability-scanner" في قيم Helm.
انشر KubeClarity باستخدام Helm ```shell helm install --values values.yaml --create-namespace kubeclarity kubeclarity/kubeclarity -n kubeclarity

أو لتثبيت OpenShift Restricted SCC المتوافق: ```shell helm install --values values.yaml --create-namespace kubeclarity kubeclarity/kubeclarity -n kubeclarity --set global.openShiftRestricted=true
--set kubeclarity-postgresql.securityContext.enabled=false --set kubeclarity-postgresql.containerSecurityContext.enabled=false
--set kubeclarity-postgresql.volumePermissions.enabled=true --set kubeclarity-postgresql.volumePermissions.securityContext.runAsUser="auto"
--set kubeclarity-postgresql.shmVolume.chmod.enabled=false

3. إعادة توجيه المنفذ إلى KubeClarity UI:   ```shell
kubectl port-forward -n kubeclarity svc/kubeclarity-kubeclarity 9999:8080

افتح واجهة مستخدم KubeClarity في المتصفح: http://localhost:9999/

ملاحظة
تتطلب KubeClarity هذه الأذونات من K8s:

الإذن السبب
قراءة الأسرار في CREDS_SECRET_NAMESPACE (الافتراضي: kubeclarity) هذا يسمح لك بتكوين أسرار سحب الصور لمسح مستودعات الصور الخاصة.
قراءة config maps في مساحة نشر KubeClarity. هذا مطلوب للحصول على القالب المُهيأ لوظيفة الماسح الضوئي.
سرد pods في نطاق الكتلة. هذا مطلوب لحساب pods المستهدفة التي تحتاج إلى المسح.
سرد namespaces. هذا مطلوب لجلب namespaces المستهدفة للمسح في واجهة مسح وقت التشغيل K8s.
إنشاء وحذف jobs في نطاق الكتلة. هذا مطلوب لإدارة jobs التي ستقوم بمسح pods المستهدفة في namespaces الخاصة بها.

إلغاء التثبيت باستخدام Helm:

إلغاء تثبيت Helm ```shell helm uninstall kubeclarity -n kubeclarity
تنظيف الموارد

بشكل افتراضي، لن يقوم Helm بإزالة وحدات تخزين PVCs و PVs الخاصة بـ StatefulSets. قم بتشغيل الأمر التالي لحذفهم جميعًا:

الإذن	السبب
قراءة الأسرار في CREDS_SECRET_NAMESPACE (الافتراضي: kubeclarity)	هذا يسمح لك بتكوين أسرار سحب الصور لمسح مستودعات الصور الخاصة.
قراءة config maps في مساحة نشر KubeClarity.	هذا مطلوب للحصول على القالب المُهيأ لوظيفة الماسح الضوئي.
سرد pods في نطاق الكتلة.	هذا مطلوب لحساب pods المستهدفة التي تحتاج إلى المسح.
سرد namespaces.	هذا مطلوب لجلب namespaces المستهدفة للمسح في واجهة مسح وقت التشغيل K8s.
إنشاء وحذف jobs في نطاق الكتلة.	هذا مطلوب لإدارة jobs التي ستقوم بمسح pods المستهدفة في namespaces الخاصة بها.

kubeclarity

الأكثر شعبية