安全性修補功能

本文說明 Google 如何管理 Google Kubernetes Engine (GKE) 和 GKE Enterprise 的安全性漏洞和修補程式。除非另有說明,否則 GKE Enterprise 包含 GKE 和 GKE Enterprise 平台。

本頁面適用於安全專家,他們負責解決需要策略性協助的安全問題或安全漏洞,例如事件和從支援服務提報的問題。如要進一步瞭解內容中提及的常見角色和範例工作,請參閱「常見的 GKE Enterprise 使用者角色和工作」。 Google Cloud

修補程式共同責任

修補程式是 Google 和客戶共同的責任。不同平台有不同的共同責任。如需各平台的詳細資訊,請參閱下列主題:

我們如何發現安全漏洞

Google 大幅投資於主動式安全設計和強化措施,但即使是設計最完善的軟體系統,也可能存在安全漏洞。為找出並修復這些安全漏洞,以免遭到有心人士利用,Google 在多個方面投入了大量資源。

就修補程式而言,GKE Enterprise 是作業系統 (OS) 層,容器則是在其上執行。作業系統 (Container-Optimized OS 或 Ubuntu) 經過強化,且包含執行容器所需的最低軟體量。GKE Enterprise 功能會以容器形式在基本映像檔上執行。

Google 會透過下列方式找出並修正安全漏洞和缺少的修補程式:

  • Container-Optimized OS:Google 會掃描映像檔,找出潛在安全漏洞和缺少的修補程式。Container-Optimized OS 團隊會審查並解決問題。

  • Ubuntu:Canonical 會提供已套用所有可用安全性修補程式的 OS 建構版本給 Google。

Google 會使用 Container Registry 構件分析掃描容器,找出 Kubernetes 和 Google 管理的容器中的安全漏洞和缺少的修補程式。如果掃描器發現可修正的問題,就會自動開始修補及發布程序。

除了自動掃描外,Google 還會透過下列方式,找出並修補掃描器未知的安全漏洞

Google 會對所有 GKE Enterprise 平台執行稽核、滲透測試和探索安全性弱點。Google 內部專責團隊和值得信賴的第三方安全供應商,都會進行自己的攻擊研究。Google 也與 CNCF 合作,為 Kubernetes 安全性稽核提供許多組織和技術諮詢專業知識。

Google 透過多項漏洞獎勵計畫,積極與安全研究社群交流。專屬 Google Cloud 安全漏洞檢舉計畫提供高額獎金,每年針對最佳雲端安全漏洞提供 $133,337 美元的獎金。對於 GKE,如果安全性研究人員能夠破解我們的安全控管措施,即可獲得獎勵。這項計畫涵蓋所有 GKE 軟體依附元件。

Google 會與其他產業和開放原始碼軟體合作夥伴分享安全漏洞、安全性研究和修補程式,確保在公開發布安全漏洞前,這項合作的目標是在公開宣布漏洞前,修補大範圍的網際網路基礎架構。在某些情況下,Google 會將發現的安全漏洞回報給這個社群。舉例來說,Google 的 Project Zero 發現並公開了 Spectre 和 Meltdown 漏洞。 Google Cloud 安全團隊也會定期找出並修正核心式虛擬機器 (KVM) 的安全漏洞

Google 的安全防護合作涵蓋多個層面。有時,機構會透過正式計畫註冊,接收 Kubernetes和 Envoy 等產品的軟體安全漏洞搶先發布通知。此外,我們也參與許多開放原始碼專案 (例如 Linux 核心、容器執行階段和虛擬化技術等),因此也會進行非正式的合作。

就 Kubernetes 而言,Google 是安全回應委員會 (SRC) 的創始成員,並撰寫了大部分的安全發布程序。Google 是 Kubernetes 發行版本清單的成員,可事先收到安全漏洞通知,並參與幾乎所有重大 Kubernetes 安全漏洞的分類、修補、緩解措施開發和通報作業。Google 也自行發現多項 Kubernetes 安全漏洞

雖然較不嚴重的安全漏洞是在這些程序之外發現並修補,但大多數重大安全漏洞都是透過先前列出的其中一個管道私下回報。提早回報可讓 Google 在安全漏洞公開前,有時間研究該漏洞對 GKE Enterprise 的影響、開發修補程式或緩解措施,並為客戶準備建議和通訊內容。如果可以,Google 會在安全漏洞公開發布前,修補所有叢集。

安全漏洞的分類方式

GKE 大幅投入資源,強化整個堆疊的安全性,包括 OS、容器、Kubernetes 和網路層,並設定良好的預設值、強化安全性的設定和代管元件。綜合來看,這些措施有助於降低安全漏洞的影響和發生機率。

GKE Enterprise 安全團隊會根據 Kubernetes 安全漏洞評分系統分類安全漏洞。分類時會考量許多因素,包括 GKE 和 GKE Enterprise 設定,以及安全強化措施。由於上述因素和 GKE 在安全性方面的投資,GKE 和 GKE Enterprise 的安全漏洞分類可能與其他分類來源不同。

下表說明安全漏洞嚴重程度類別:

嚴重性 說明
重大 未經驗證的遠端攻擊者可輕易在所有叢集中利用此漏洞,導致系統全面遭到入侵。
可輕易遭利用的安全性弱點,許多叢集都會受到影響,導致機密性、完整性或可用性受到損害。
部分叢集可遭利用的安全性漏洞,但機密性、完整性或可用性損失會受到常見設定、利用難度、必要存取權或使用者互動的限制。
所有其他安全漏洞。遭濫用的可能性不高,或遭濫用造成的後果有限。

如要查看安全漏洞、修正方式、防範措施和評分範例,請參閱安全性公告

如何修補安全漏洞

修補安全漏洞需要升級至新的 GKE 或 GKE Enterprise 版本號碼。GKE 和 GKE Enterprise 版本包含作業系統、Kubernetes 元件,以及構成 GKE Enterprise 平台的其他容器版本化元件。修正部分安全漏洞時,只需要升級控制層 (Google 會在 GKE 上自動執行),但其他安全漏洞則需要同時升級控制層和節點。

為確保叢集已修補所有嚴重程度的安全漏洞,並強化安全防護,我們建議使用 GKE 的節點自動升級功能 (預設為開啟)。如果叢集已註冊發布管道,系統會根據各管道的資格條件,升級修補程式版本。如果叢集管道尚未發布 GKE 修補程式,但您需要使用該修補程式,只要修補程式與叢集管道中的版本屬於相同子版本,即可手動升級至修補程式版本

在其他 GKE Enterprise 平台上,Google 建議您至少每月升級一次 GKE Enterprise 元件。

部分安全掃描器或手動版本檢查可能會誤判,認為 runc 或 containerd 等元件缺少特定上游安全修補程式。GKE 會定期修補元件,且只會在必要時升級套件版本,因此即使 GKE 元件的版本號碼與上游版本號碼不符,GKE 元件的功能仍與上游對應項目相似。如要瞭解特定 CVE 的詳細資料,請參閱 GKE 安全性公告

修補時間表

Google 的目標是在適當的時間內,減輕偵測到的安全漏洞,以降低相關風險。GKE 包含在 Google Cloud的 FedRAMP 暫時性 ATO 中,因此必須根據「FedRAMP 持續監控策略指南」中「持續監控活動和交付項目摘要」表格的控制項 RA-5(d) 規定,在特定時間範圍內修正已知安全漏洞。

對於每個已知安全漏洞,GKE 的目標是在相應時間範圍內發布修補程式版本,以修復該漏洞。 Google Cloud FedRAMP 暫時性執行授權不包括 Google Distributed Cloud、AWS 上的 GKE 或 Azure 上的 GKE,但我們目標是讓這些產品在相同時間內完成補救措施。GKE 發布修補程式版本來修正已知安全漏洞後,請將叢集升級至這些版本,以符合貴機構的修補時間範圍。

如何通知安全漏洞和修補程式

如要瞭解下列產品的漏洞和安全性修補程式最新資訊,請參閱安全性公告動態消息

  • GKE
  • Google Distributed Cloud
  • GKE on AWS
  • GKE on Azure
  • Google Distributed Cloud

這些公告採用常見的 Google Cloud 安全漏洞編號機制,並連結至主要 Google Cloud 公告頁面GKE 版本資訊。 每個安全公告頁面都有 RSS 動態消息,使用者可以訂閱更新。

有時我們會暫時保密,直到相關單位能夠將安全漏洞解決為止。禁令可防止安全漏洞提早曝光,以免在採取因應措施前,就出現大規模的攻擊嘗試。在保密期間,版本資訊會將漏洞稱為「安全性更新」,直到保密規定撤銷為止。禁運期結束後,Google 會更新發行說明,加入具體安全漏洞。

GKE Enterprise 安全性團隊會發布安全性公告,說明嚴重程度為「高」和「重大」的安全性漏洞。如果需要客戶採取行動來解決這些高嚴重性和重大安全漏洞,Google 會透過電子郵件與客戶聯絡。此外,Google 也可能會透過支援管道,與簽訂支援合約的客戶聯絡。