IKuznetsov: Новая страница: « = Приём и обработка пользовательских обнаружений безопасности = В этом руководстве вы узнаете, как принимать и обрабатывать пользовательские данные безопасности, передавая их из стороннего инструмента в Ключ-АСТРОМ с помощью '''API''' приёма '''OpenPipeline''' д...»

2026-09-24T18:29:57Z

Новая страница: « = Приём и обработка пользовательских обнаружений безопасности = В этом руководстве вы узнаете, как принимать и обрабатывать пользовательские данные безопасности, передавая их из стороннего инструмента в Ключ-АСТРОМ с помощью '''API''' приёма '''OpenPipeline''' д...»

Новая страница

= Приём и обработка пользовательских обнаружений безопасности =
В этом руководстве вы узнаете, как принимать и обрабатывать пользовательские данные безопасности, передавая их из стороннего инструмента в Ключ-АСТРОМ с помощью '''API''' приёма '''OpenPipeline''' для событий безопасности.

== Целевая аудитория ==
Специалисты по безопасности, стремящиеся анализировать, визуализировать и автоматизировать пользовательские данные безопасности с помощью Ключ-АСТРОМ.

== Сценарий ==
Вы архитектор по безопасности, использующий Ключ-АСТРОМ для мониторинга работоспособности приложений и сервисов. В рамках практик безопасности жизненного цикла разработки '''SDLC''' вам нужно обеспечить, чтобы разработчики сканировали образы контейнеров перед развёртыванием в продуктив.

Для этого вы хотите:

* Непрерывно загружать результаты сканирования контейнеров в Ключ-АСТРОМ.
* Связывать обнаружения с отслеживаемыми продуктивными контейнерами.
* Создавать автоматические тикеты '''Jira''' для владельцев-разработчиков контейнеров, если для соответствующих образов контейнеров отсутствуют проверки безопасности.

Эта статья охватывает первую часть: приём пользовательских обнаружений безопасности и их сопоставление с '''Семантическим словарём''' Ключ-АСТРОМ для обнаружений уязвимостей.

'''Пример входных данных для обнаружений безопасности — отчёт сканирования Trivy JSON'''<pre>
{
"SchemaVersion": 2,
"CreatedAt": "2021-08-25T12:20:30.000000005Z",
"ArtifactName": "testdata/fixtures/images/alpine-39.tar.gz",
"ArtifactType": "container_image",
"Metadata": {
"OS": {
"Family": "alpine",
"Name": "3.9.4",
"EOSL": true
},
"ImageID": "sha256:055936d3920576da37aa9bc460d70c5f212028bda1c08c0879aedf03d7a66ea1",
"DiffIDs": [
"sha256:f1b5933fe4b5f49bbe8258745cf396afe07e625bdab3168e364daf7c956b6b81"
],
"ImageConfig": {
"architecture": "amd64",
"container": "c10d36fa368a7ea673683682666758adf35efe98e10989505f4f566b5b18538f",
"created": "2019-05-11T00:07:03.510395965Z",
"docker_version": "18.06.1-ce",
"history": [
{
"created": "2019-05-11T00:07:03.358250803Z",
"created_by": "/bin/sh -c #(nop) ADD file:a86aea1f3a7d68f6ae03397b99ea77f2e9ee901c5c59e59f76f93adbb4035913 in / "
},
{
"created": "2019-05-11T00:07:03.510395965Z",
"created_by": "/bin/sh -c #(nop) CMD [\"/bin/sh\"]",
"empty_layer": true
}
],
"os": "linux",
"rootfs": {
"type": "layers",
"diff_ids": [
"sha256:f1b5933fe4b5f49bbe8258745cf396afe07e625bdab3168e364daf7c956b6b81"
]
},
"config": {
"Cmd": [
"/bin/sh"
],
"Env": [
"PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"
],
"Image": "sha256:09f2bbe58e774849d74dc1391c2e01731896c745c4aba1ecf69a283bdb4b537a",
"ArgsEscaped": true
}
}
},
"Results": [
{
"Target": "testdata/fixtures/images/alpine-39.tar.gz (alpine 3.9.4)",
"Class": "os-pkgs",
"Type": "alpine",
"Vulnerabilities": [
{
"VulnerabilityID": "CVE-2019-14697",
"PkgID": "musl@1.1.20-r4",
"PkgName": "musl",
"PkgIdentifier": {
"PURL": "pkg:apk/alpine/musl@1.1.20-r4?arch=x86_64\u0026distro=3.9.4",
"UID": "d6abd271e71d3ce2"
},
"InstalledVersion": "1.1.20-r4",
"FixedVersion": "1.1.20-r5",
"Status": "fixed",
"Layer": {
"Digest": "sha256:e7c96db7181be991f19a9fb6975cdbbd73c65f4a2681348e63a141a2192a5f10",
"DiffID": "sha256:f1b5933fe4b5f49bbe8258745cf396afe07e625bdab3168e364daf7c956b6b81"
},
"SeveritySource": "nvd",
"PrimaryURL": "https://avd.aquasec.com/nvd/cve-2019-14697",
"DataSource": {
"ID": "alpine",
"Name": "Alpine Secdb",
"URL": "https://secdb.alpinelinux.org/"
},
"Description": "musl libc through 1.1.23 has an x87 floating-point stack adjustment imbalance, related to the math/i386/ directory. In some cases, use of this library could introduce out-of-bounds writes that are not present in an application's source code.",
"Severity": "CRITICAL",
"CweIDs": [
"CWE-787"
],
"VendorSeverity": {
"nvd": 4
},
"CVSS": {
"nvd": {
"V2Vector": "AV:N/AC:L/Au:N/C:P/I:P/A:P",
"V3Vector": "CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
"V2Score": 7.5,
"V3Score": 9.8
}
},
"References": [
"http://www.openwall.com/lists/oss-security/2019/08/06/4",
"https://security.gentoo.org/glsa/202003-13",
"https://www.openwall.com/lists/musl/2019/08/06/1"
],
"PublishedDate": "2019-08-06T16:15:00Z",
"LastModifiedDate": "2020-03-14T19:15:00Z"
},
{
"VulnerabilityID": "CVE-2019-14697",
"PkgID": "musl-utils@1.1.20-r4",
"PkgName": "musl-utils",
"PkgIdentifier": {
"PURL": "pkg:apk/alpine/musl-utils@1.1.20-r4?arch=x86_64\u0026distro=3.9.4",
"UID": "8c341199f4077fc8"
},
"InstalledVersion": "1.1.20-r4",
"FixedVersion": "1.1.20-r5",
"Status": "fixed",
"Layer": {
"Digest": "sha256:e7c96db7181be991f19a9fb6975cdbbd73c65f4a2681348e63a141a2192a5f10",
"DiffID": "sha256:f1b5933fe4b5f49bbe8258745cf396afe07e625bdab3168e364daf7c956b6b81"
},
"SeveritySource": "nvd",
"PrimaryURL": "https://avd.aquasec.com/nvd/cve-2019-14697",
"DataSource": {
"ID": "alpine",
"Name": "Alpine Secdb",
"URL": "https://secdb.alpinelinux.org/"
},
"Description": "musl libc through 1.1.23 has an x87 floating-point stack adjustment imbalance, related to the math/i386/ directory. In some cases, use of this library could introduce out-of-bounds writes that are not present in an application's source code.",
"Severity": "CRITICAL",
"CweIDs": [
"CWE-787"
],
"VendorSeverity": {
"nvd": 4
},
"CVSS": {
"nvd": {
"V2Vector": "AV:N/AC:L/Au:N/C:P/I:P/A:P",
"V3Vector": "CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H",
"V2Score": 7.5,
"V3Score": 9.8
}
},
"References": [
"http://www.openwall.com/lists/oss-security/2019/08/06/4",
"https://security.gentoo.org/glsa/202003-13",
"https://www.openwall.com/lists/musl/2019/08/06/1"
],
"PublishedDate": "2019-08-06T16:15:00Z",
"LastModifiedDate": "2020-03-14T19:15:00Z"
}
]
}
]
}
</pre>

== Предварительные требования ==

* Ваши контейнеры развёрнуты в '''Kubernetes''' и отслеживаются Ключ-АСТРОМ.
* Соответствующие образы контейнеров сканируются сторонним инструментом (в данном случае — '''Trivy''').

== Разрешения ==
Чтобы добавить новые источники и обработку конвейера в '''OpenPipeline''', вам нужны оба разрешения ниже:

* <code>openpipeline:configurations:read</code>
* <code>openpipeline:configurations:write</code>

Как настроить разрешения, см. в разделе «Разрешения».

== Начало работы ==
Инструкции по приёму любого типа событий см. в разделе «Как принимать данные (события)».

==== Шаг 1. Настройте конечную точку ====

# Перейдите в '''Настройки''' > '''Обработка и контекстуализация''' > '''OpenPipeline''' > '''События безопасности''' > '''Источники приёма'''.
# У вас есть два варианта приёма:
#* '''Рекомендуемый вариант 1 — использовать встроенную конечную точку событий безопасности'''. Скопируйте '''URL''' встроенной конечной точки событий безопасности.
#* '''Вариант 2 — создать пользовательскую конечную точку'''. Выберите '''Источник''', чтобы создать пользовательский источник приёма, затем скопируйте его '''URL'''.
#* Подробнее о вариантах приёма см. в разделе «Приём событий безопасности».
# Создайте токен доступа с необходимой областью действия в соответствии с выбранным на шаге 3 вариантом приёма.
#* Подробности о необходимых областях действия см. в разделе «Начало работы».

==== Шаг 2. Передайте данные ====
Используйте '''URL''' конечной точки приёма и токен доступа, созданные ранее, чтобы настроить сторонний продукт.

Чтобы в дальнейшем работать с обнаружениями безопасности, загруженными в Ключ-АСТРОМ, гранулярно, агрегированные отчёты следует разбивать и загружать как отдельные обнаружения.

В данном случае мы изменили события перед приёмом, чтобы включить только один образ контейнера, одну уязвимость и одну уязвимую библиотеку.

'''Пример загруженного события с одним обнаружением уязвимости'''

==== Шаг 3. Проверьте данные в Блокнотах ====
Чтобы проверить данные, откройте '''Блокноты''' и запросите события безопасности.

'''Пример запроса DQL:'''<pre>
fetch security.events
| filter dt.system.bucket == "default_securityevents"
| sort timestamp desc
</pre>Чтобы чётко отличать загруженные данные от других принятых событий, вы можете добавить фильтры по ожидаемым атрибутам.

Пример:<pre>
| filter SchemaVersion == 2 AND ArtifactType == "container_image"
</pre>Результат запроса должен включать загруженное событие в исходном формате с несколькими обогащёнными полями, такими как <code>timestamp</code> и <code>event.kind</code>.

'''Пример результата запроса'''

В текущем случае формат не поддерживается, и данные не сопоставляются. Если Ключ-АСТРОМ поддерживает формат, он автоматически сопоставляет его с соглашениями '''Семантического словаря'''.

==== Шаг 4. Сопоставьте данные с Семантическим словарём ====
В простых случаях вы можете работать с принятыми событиями в их исходном формате. Однако в более сложных случаях это становится затруднительным, поскольку:

* Много вложенных полей.
* Вы не можете единообразно получать доступ к обнаружениям из различных инструментов и продуктов.
* Некоторые поля добавляются для правильной классификации обнаружений, а другие сопоставляются с соглашениями.

В таких сложных случаях вам нужно вручную сопоставить принятые данные с '''Семантическим словарём''' Ключ-АСТРОМ. При сопоставлении данных исходные данные сохраняются рядом с сопоставленными, что позволяет использовать специфичные для поставщика данные в анализе и автоматизации или в качестве дополнительного контекста.

# В '''OpenPipeline''' выберите '''Конвейеры''' > '''Конвейер''', чтобы создать пользовательский конвейер, и назовите его, например, «Пользовательские обнаружения безопасности».
# Добавьте в конвейер обработчик типа '''DQL''' и настройте его для разбора полей, требуемых '''Семантическим словарём''' (в нашем случае мы хотим сопоставить базовые поля обнаружений уязвимостей и, как расширение, сведения об образе контейнера). Введите следующие данные:
#* '''Имя обработчика''': например, «Сопоставить поля Trivy»
#* '''Условие соответствия''': <code>SchemaVersion == 2 AND ArtifactType == "container_image"</code> (таким образом, сопоставление будет предпринято только для relevant событий)
#* '''Определение обработчика DQL''' (в сопоставлении мы предполагаем, что массивы <code>result</code> и <code>vulnerability</code> уже содержат отдельные элементы):
#** '''Пример определения обработчика DQL'''
#** '''Пример сопоставленного результата'''
# Выберите '''Динамическая маршрутизация''' > '''Динамический маршрут''', чтобы добавить динамическую маршрутизацию в новый конвейер. Введите следующие данные:
#* '''Имя динамического маршрута''': например, «Пользовательское событие»
#* '''Условие соответствия''': <code>SchemaVersion == 2 AND ArtifactType == "container_image"</code>
#* Выберите конвейер, к которому будет применяться динамическая маршрутизация (в нашем случае — «Пользовательские обнаружения безопасности»)
#* '''Добавьте динамическую маршрутизацию'''

Подробности о динамической маршрутизации см. в разделе «Маршрутизация».

== Дальнейшие шаги ==
Теперь вы можете использовать данные для:

* Визуализации обнаружений уязвимостей контейнеров с помощью примера дашборда.
* Автоматизации создания тикетов '''Jira''' и уведомлений '''Slack''' с помощью примеров рабочих процессов.

Приём и обработка пользовательских обнаружений безопасности - История изменений