为何？

SBOM 和漏洞检测挑战

• 有效的漏洞扫描需要准确的软件物料清单 (SBOM) 检测：
  • 多种编程语言和包管理器
  • 多种操作系统发行版
  • 包依赖信息通常在构建时被剥离
• 哪个是最好的扫描器/SBOM 分析器？
• 我们应该扫描什么：Git 仓库、构建产物、容器镜像还是运行时？
• 每个扫描器/分析器都有自己的格式——如何比较结果？
• 如何管理已发现的 SBOM 和漏洞？
• 我的应用如何受到新发现漏洞的影响？

解决方案

• 将漏洞扫描分为两个阶段：
  • 内容分析以生成 SBOM
  • 扫描 SBOM 以发现漏洞
• 创建一个可插拔的基础设施以：
  • 并行运行多个内容分析器
  • 并行运行多个漏洞扫描器
• 使用 KubeClarity CLI 扫描并合并不同 CI 阶段之间的结果
• 运行时 K8s 扫描以检测部署后发现的漏洞
• 将扫描的资源（镜像/目录）分组到定义的应用下，以便导航对象树依赖关系（应用、资源、包、漏洞）

功能

• 仪表盘
  • 按严重程度划分的可修复漏洞
  • 前5个易受攻击的元素（应用、资源、包）
  • 新漏洞趋势
  • 按许可证类型统计的包数量
  • 按编程语言统计的包数量
  • 通用计数器
• 应用
  • 在 K8s 运行时中自动检测应用
  • 创建/编辑/删除应用
  • 对于每个应用，导航到相关的：
    • 资源（镜像/目录）
    • 包
    • 漏洞
    • 资源使用的许可证
• 应用资源（镜像/目录）
  • 对于每个资源，导航到相关的：
    • 应用
    • 包
    • 漏洞
• 包
  • 对于每个包，导航到相关的：
    • 应用
    • 可链接的资源列表及检测到的 SBOM 分析器
    • 漏洞
• 漏洞
  • 对于每个漏洞，导航到相关的：
    • 应用
    • 资源
    • 检测扫描器列表
• K8s 运行时扫描
  • 按需或定时扫描
  • 自动检测目标命名空间
  • 按受影响元素（应用、资源、包、漏洞）的扫描进度和结果导航
  • CIS Docker 基准测试
• CLI（CI/CD）
  • 使用多个集成的分析器（Syft、cyclonedx-gomod）生成 SBOM
  • 使用多个集成的扫描器（Grype、Dependency-track）对 SBOM/镜像/目录进行漏洞扫描
  • 跨不同 CI/CD 阶段合并 SBOM 和漏洞
  • 将结果导出到 KubeClarity 后端
• API
  • KubeClarity 的 API 可在此处找到

集成的 SBOM 生成器和漏洞扫描器

KubeClarity 内容分析器集成了以下 SBOM 生成器：

• Syft
• Cyclonedx-gomod
• Trivy

KubeClarity 漏洞扫描器集成了以下扫描器：

• Grype
• Dependency-Track
• Trivy

架构

开始使用

KubeClarity 后端

使用 Helm 安装：

1. 添加 Helm 仓库 ```shell helm repo add kubeclarity https://openclarity.github.io/kubeclarity

   root@kitploit:~

2. 保存 KubeClarity 默认 chart 值

   root@kitploit:~

   helm show values kubeclarity/kubeclarity > values.yaml
   

3. 检查 values.yaml 中的配置，并根据需要更新所需的值。 要启用和配置支持的 SBOM 生成器和漏洞扫描器，请检查 Helm values 中 "vulnerability-scanner" 部分下的 "analyzer" 和 "scanner" 配置。

4. 使用 Helm 部署 KubeClarity ```shell helm install --values values.yaml --create-namespace kubeclarity kubeclarity/kubeclarity -n kubeclarity

   root@kitploit:~

或用于兼容 OpenShift Restricted SCC 的安装： ```shell helm install --values values.yaml --create-namespace kubeclarity kubeclarity/kubeclarity -n kubeclarity --set global.openShiftRestricted=true
--set kubeclarity-postgresql.securityContext.enabled=false --set kubeclarity-postgresql.containerSecurityContext.enabled=false
--set kubeclarity-postgresql.volumePermissions.enabled=true --set kubeclarity-postgresql.volumePermissions.securityContext.runAsUser="auto"
--set kubeclarity-postgresql.shmVolume.chmod.enabled=false

4. 在浏览器中打开 KubeClarity UI：http://localhost:9999/

注意
KubeClarity 需要以下 K8s 权限：

权限	原因
读取 CREDS_SECRET_NAMESPACE（默认：kubeclarity）中的 secret	允许您配置镜像拉取 secret 以扫描私有镜像仓库。
读取 KubeClarity 部署命名空间中的 ConfigMap	用于获取扫描作业的已配置模板。
列出集群范围内的 Pod	用于计算需要扫描的目标 Pod。
列出命名空间	用于在 K8s 运行时扫描 UI 中获取要扫描的目标命名空间。
在集群范围内创建和删除作业	用于管理将在其命名空间中扫描目标 Pod 的作业。

使用 Helm 卸载：

1. Helm 卸载 ```shell helm uninstall kubeclarity -n kubeclarity

   root@kitploit:~

2. 清理资源

   默认情况下，Helm 不会删除 StatefulSets 的 PVC 和 PV。运行以下命令可以全部删除：

   root@kitploit:~

   kubectl delete pvc -l app.kubernetes.io/instance=kubeclarity -n kubeclarity
   

使用演示数据在本地构建和运行

1. 构建 UI 和 后端，并在本地启动后端（两种方式）：

   1. 使用 Docker：
      1. 构建 UI 和 后端（镜像标签通过 VERSION 设置）：
         root@kitploit:~

         VERSION=test make docker-backend
         

      2. 使用演示数据运行后端：
         root@kitploit:~

         docker run -p 8080:8080 -e FAKE_RUNTIME_SCANNER=true -e FAKE_DATA=true -e ENABLE_DB_INFO_LOGS=true -e DATABASE_DRIVER=LOCAL ghcr.io/openclarity/kubeclarity:test run
         

   2. 本地构建：
      1. 构建 UI 和 后端
         root@kitploit:~

         make ui && make backend
         

      2. 复制构建好的站点：
         root@kitploit:~

         cp -r ./ui/build ./site
         

      3. 使用演示数据在本地运行后端：
         root@kitploit:~

         FAKE_RUNTIME_SCANNER=true DATABASE_DRIVER=LOCAL FAKE_DATA=true ENABLE_DB_INFO_LOGS=true ./backend/bin/backend run
         

2. 在浏览器中打开 KubeClarity UI：http://localhost:8080/

CLI

KubeClarity 包含一个 CLI 工具，可以在本地运行，特别适用于 CI/CD 流水线。它允许分析镜像和目录以生成 SBOM，并扫描其中的漏洞。结果可以导出到 KubeClarity 后端。

Installation

SBOM 生成

用法：``` kubeclarity-cli analyze <image/directory name> --input-type <dir|file|image(default)> -o

Optionally a list of the content analyzers to use can be configured using the ANALYZER_LIST env variable seperated by a space (e.g ANALYZER_LIST="<analyzer 1 name> <analyzer 2 name>")

Example:``` ANALYZER_LIST="syft gomod" kubeclarity-cli analyze --input-type image nginx:latest -o nginx.sbom

示例：``` kubeclarity-cli scan nginx.sbom --input-type sbom

导出结果到 KubeClarity 后端

要将 CLI 结果导出到 KubeClarity 后端，需要使用由 KubeClarity 后端定义的应用程序 ID。 应用程序 ID 可以在 UI 的应用程序屏幕中找到，或通过 KubeClarity API 获取。

导出 SBOM```

The SBOM can be exported to KubeClarity backend by setting the BACKEND_HOST env variable and the -e flag.

Note: Until TLS is supported, BACKEND_DISABLE_TLS=true should be set.

BACKEND_HOST= BACKEND_DISABLE_TLS=true kubeclarity-cli analyze --application-id -e -o

For example:

BACKEND_HOST=localhost:9999 BACKEND_DISABLE_TLS=true kubeclarity-cli analyze nginx:latest --application-id 23452f9c-6e31-5845-bf53-6566b81a2906 -e -o nginx.sbom

高级配置

使用本地 Docker 镜像作为输入的 SBOM 生成```

Local docker images can be analyzed using the LOCAL_IMAGE_SCAN env variable

For example:

LOCAL_IMAGE_SCAN=true kubeclarity-cli analyze nginx:latest -o nginx.sbom

Private registry support For CLI

KubeClarity cli可以读取一个存储私有仓库凭据的配置文件。

示例配置文件中的仓库部分：``` registry: auths: - authority: <registry 1> username: <username for registry 1> password: <password for registry 1> - authority: <registry 2> token: <token for registry 2>

指定CLI配置文件```

The default config path is $HOME/.kubeclarity or it can be specified by --config command line flag.

kubeclarity <scan/analyze> --config

For example:

kubeclarity scan registry/nginx:private --config $HOME/own-kubeclarity-config

注意：

1. Secret 名称必须为 ecr-sa
2. Secret 数据键必须设置为 AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY 和 AWS_DEFAULT_REGION

Google GCR

使用 Artifact Registry Reader 权限创建一个 Google 服务账号。

使用服务账号 json 文件创建以下 secret``` kubectl -n kubeclarity create secret generic --from-file=sa.json gcr-sa

输出不同的SBOM格式

kubeclarity-cli analyze 命令可以根据需要将生成的SBOM格式化为不同格式，以便与另一个系统集成。支持的格式如下：

警告
KubeClarity 在内部处理 CycloneDX 格式，其他格式通过转换得到支持。由于格式之间的不兼容性，转换过程可能造成信息丢失，因此不保证结果输出中包含所有字段/信息。

要将 kubeclarity-cli 配置为使用除默认格式以外的格式，可以使用 ANALYZER_OUTPUT_FORMAT 环境变量，并传入上表中的配置名称：``` ANALYZER_OUTPUT_FORMAT="spdx-json" kubeclarity-cli analyze nginx:latest -o nginx.sbom

要使用服务器运行扫描：``` SCANNERS_LIST="trivy" SCANNER_TRIVY_SERVER_ADDRESS="http://:8080" ./kubeclarity_cli scan --input-type sbom nginx.sbom

并将令牌传递给扫描器：``` SCANNERS_LIST="trivy" SCANNER_TRIVY_SERVER_ADDRESS="http://:8080" SCANNER_TRIVY_SERVER_TOKEN="mytoken" ./kubeclarity_cli scan --input-type sbom nginx.sbom

使用服务器运行扫描：``` SCANNERS_LIST="grype" SCANNER_GRYPE_MODE="remote" SCANNER_REMOTE_GRYPE_SERVER_ADDRESS=":9991" SCANNER_REMOTE_GRYPE_SERVER_SCHEMES="https" ./kubeclarity_cli scan --input-type sbom nginx.sbom

Dependency Track

参见示例配置 此处

限制

1. 支持 Docker 镜像清单 V2，Schema 2（https://docs.docker.com/registry/spec/manifest-v2-2/）。扫描早期版本会失败。

路线图

• 集成更多内容分析器（SBOM 生成器）
• 集成更多漏洞扫描器
• UI 中实现 CIS Docker 基准检查
• 使用 Cosign 进行镜像签名
• 使用 Cosign 和 in-toto 进行 CI/CD 元数据签名和认证（供应链安全）
• 系统设置与用户管理

贡献

欢迎提交 Pull Request 和错误报告。

对于较大的更改，请先在 GitHub 上创建一个 Issue 来讨论您的 提议变更及可能的影响。

更多细节请参阅本项目贡献指南

许可证

Apache 许可证，版本 2.0