Vex8s

vex8s (このロゴはAI生成ではありません)

Vex8sは、コンテナの脆弱性とKubernetesの設定を関連付けて、クラスター内で実際に悪用可能なCVEを特定し、VEXドキュメントを生成します。

これは実験的なプロジェクトであることにご注意ください。仕様は急速に変更される可能性があります。

仕組み

このプロジェクトは、脆弱性の分類とsecurityContextの分析を組み合わせて、Kubernetesワークロード内の既知のCVEの悪用可能性を評価することを目的としています。

vex8s-logic

以下のコンセプトに基づいています:

各CVEは、1つ以上の脆弱性クラス(CWE)に分類されます。
CVEの説明は、組み込みのMLモデルによって処理され、その悪用カテゴリが予測されます。
CWEと予測された悪用カテゴリの両方を組み合わせて、CVEが緩和可能かどうかを判断します。
各悪用カテゴリは、影響をブロックまたは軽減できるKubernetes設定のセットに対応付けられます。
Kubernetesマニフェストを解析することで、コンテナ設定を検査し、関連する設定が適用されているかどうかを評価できます。
両方の分析を組み合わせることで、システムは特定のワークロード構成においてCVEが悪用可能かどうかを判断できます。
CVEの緩和が可能な場合、それを最終的なVEXドキュメントに追加します。

より詳細な情報については、以下の論文を参照してください: 環境認識型のKubernetesセキュリティコンテキストとVEXを用いた脆弱性抑制

インストール

最新のバイナリはリリースページからダウンロードできます。

または、手動でビルドすることもできます:

make build

使用方法

vex8sは現在、VEXドキュメントを生成する2つの方法をサポートしています:

パッシブモード: trivyまたはgrypeによって生成された既存の脆弱性レポートを渡します。
アクティブモード: trivyまたはgrypeエンジンを使用してイメージを積極的にスキャンし、その結果に基づいてドキュメントを生成します。

パッシブモード(推奨)

trivyを使用する場合:

# 脆弱性レポートを生成します。
trivy image --format json --output nginx.trivy.json nginx:1.21.0

# 脆弱性レポートを処理してVEXドキュメントを生成します。
vex8s generate --manifest examples/nginx.yaml --report nginx.trivy.json --output nginx.vex.json

# VEXドキュメントを使用して再スキャンし、脆弱性を抑制します。
trivy image --vex nginx.vex.json --show-suppressed nginx:1.21.0

grypeを使用する場合も同様です:

# SBOMレポートを生成します。
grype --output cyclonedx-json --file nginx.grype.json nginx:1.21.0

# 脆弱性レポートを生成します。
grype sbom:./nginx.grype.json --output json --file nginx.grype-vr.json

# 脆弱性レポートを処理してVEXドキュメントを生成します。
vex8s generate --manifest examples/nginx.yaml --report nginx.grype-vr.json --output nginx.vex.json

# VEXドキュメントを使用してSBOMをスキャンし、脆弱性を抑制します。
grype sbom:./nginx.grype.json --output table --vex nginx.vex.json --show-suppressed

アクティブモード

trivyを使用する場合:

# イメージをスキャンし、VEXドキュメントを自動生成します。
vex8s generate --manifest examples/nginx.yaml --scan.engine trivy --output nginx.vex.json

# VEXドキュメントを使用して再スキャンし、脆弱性を抑制します。
trivy image --vex nginx.vex.json --show-suppressed nginx:1.21.0

grypeを使用する場合も同様です:

# SBOMレポートを生成します。
grype --output cyclonedx-json --file nginx.grype.json nginx:1.21.0

# イメージをスキャンし、VEXドキュメントを自動生成します。
vex8s generate --manifest examples/nginx.yaml --scan.engine grype --output nginx.vex.json

# VEXドキュメントを使用してSBOMをスキャンし、脆弱性を抑制します。
grype sbom:./nginx.grype.json --output table --vex nginx.vex.json --show-suppressed

分類器

各CVEは、1つ以上の悪用クラスに分類され、これが緩和の判断を導きます。vex8sは--classifierを介して2つの分類エンジンをサポートしています:

embedded(デフォルト): バイナリにバンドルされているオフラインのONNX MLモデルです。ネットワークアクセスは不要です。
gemini: GoogleのGemini LLMを使用してCVEの説明を分類します。GEMINI_API_KEY環境変数(オプションでGEMINI_MODEL)が必要です。

export GEMINI_API_KEY="your-api-key"

vex8s generate --manifest examples/nginx.yaml --report nginx.trivy.json \
  --output nginx.vex.json --classifier gemini

完全なチュートリアル、Gemini分類器のセットアップ、および完全なフラグリファレンスについては、ドキュメント、特にユーザーガイドを参照してください。

参考

このプロジェクトは、Akihiro Suda氏のプロジェクトvexllmに触発されました。