Azure Linux と Azure Container Linux (ACL) は、専用の共通脆弱性と公開 (CVE) パイプライン、公開されたアドバイザリ、および定義済みのサービス レベル アグリーメント (SLA) を共有しているため、フリート全体の脆弱性を確実に管理できます。 この記事では、使用している Azure Linux または ACL のデプロイ オプションに応じて、CVE がどのように特定され、修正され、システムに提供されるかについて説明します。
Note
Azure Linux 4.0 は現在、preview であり、評価とテストの目的に厳密に限定されています。 運用環境での使用には適していません。
CVE 修正プログラムを更新して確認する
- 展開オプションに最新のセキュリティ更新プログラムを適用します。
- 更新されたパッケージ バージョン、変更ログ、またはノード イメージのバージョンを確認します。
CVE インフラストラクチャと SLA
Microsoftは、Linux カーネルから CVE インフラストラクチャ、サポート、エンド ツー エンドの検証まで、Azure Linux と Azure Container Linux (ACL) スタック全体を担当します。 つまり、サードパーティのディストリビューションの脆弱性を追跡して修正する必要はありません。 Azure Linux では、該当する CVE の識別、修正プログラムの発行、運用パッケージの修正のための SLA の会議が処理されます。
Azure Linux チームは、出荷するパッケージについて、National Vulnerability Database (NVD) を用いて 1日2回 セキュリティ脆弱性のスキャンを実施しています。 脆弱性が確認されると、Azure Linux チームは、Microsoft Security Response Center (MSRC) と協力して、アップストリームで修正プログラムの評価、修正プログラムの適用、投稿を行います。
デプロイ方法別のCVE配信
CVE の修正プログラムは、汎用Azure Linux、Azure Linux Container Host for AKS、または AKS 用の Azure Container Linux (ACL) のどちらで実行するかによって異なります。 次の表は、CVE 修正が各デプロイ オプションにどのように反映されるかをまとめたものです。
| デプロイ オプション | CVE 修正の配信メカニズム |
|---|---|
| General-purpose Azure Linux (Virtual Machines (VM)、Virtual Machine Scale Sets、カスタム イメージ) | CVE 修正は、パッケージの更新プログラムとして配信されます。
dnf updateで適用します。 |
| AKS 用 Azure Linux コンテナー ホスト | CVE 修正は、毎月のノード イメージ リリースにバンドルされたパッケージ更新プログラムとして配信されます。 高および重要な CVE は 、次にスケジュールされたノード イメージの前にパッケージの更新として帯域外でリリースされる可能性があるため、修正プログラムは新しいイメージの前にノードに到達できます。 中および低の CVE は 、次の通常のノード イメージ リリースにロールアウトされます。 |
| AKS 向け Azure Container Linux (ACL) | ACL は不変のイメージ ベースのオペレーティング システム (OS) です。個々のパッケージは更新されません。 代わりに、CVE 修正プログラムは、最新のセキュリティ パッチを含む週 1 回の AKS ノード イメージ リリースを通じて配信されます。
SecurityPatch ノード OS アップグレード チャネルは ACL ではサポートされていないため、NodeImage チャネルを使用してセキュリティ更新プログラムを取得します。 ACL の詳細については、「Azure Container Linux の概要を参照してください。 |
公開済みのアドバイザリ
Note
Azure Linux 4.0 CVE SLA は、プレビュー期間中は適用されません。
Azure Linux および Azure Container Linux (ACL) のセキュリティ アドバイザリは、Microsoft Security Response Center (MSRC) を通じて Vulnerability Exploitability eXchange (VEX) 形式で公開されています。 VEX アドバイザリは、パッケージがインストールされているかどうかだけでなく、脆弱性が実際に特定の構成に影響を与えるかどうかを判断するのに役立ちます。
Azure Linux および ACL CVE は、Microsoft Security Update Guide (SUG) CVRF API を通じて公開されているため、他のMicrosoft製品アドバイザリと共にMicrosoftセキュリティ更新プログラムをプログラムで取り込むことができます。
セキュリティ更新プログラムを適用する
セキュリティ修正プログラムを受け取るために、システムを最新の状態に保ちます。 適切なメカニズムは 、デプロイ オプションによって異なります。
汎用Azure Linux では、dnf でパッケージを更新してセキュリティ更新プログラムを適用します。
sudo dnf update -y
Azure Container Linux では、NodeImage チャネルで Azure Kubernetes Service (AKS) のノード イメージのアップグレードを使用し、イミュータブル OS 上の個々のパッケージを更新しようとしないでください。
修正プログラムを検証する
汎用Azure Linux では、必要に応じてパッケージのバージョンを確認します。
dnf info <PACKAGE_NAME>
Azure Container Linux で、実行中のノード イメージのバージョン (たとえば、az aks nodepool list --query '[].nodeImageVersion') が予想されるリリースと一致するかどうかを確認します。
脆弱性スキャナーとの連携
Azure Linux と Azure Container Linux では、一般的な脆弱性スキャン ツールがサポートされています。 サポートされているスキャナーの一覧については、「Azure Linux パートナー ソリューションを参照してください。
Azure Linux と ACL に対して VEX アドバイザリが公開されると、VEX を使用するスキャナーは、インストールされているパッケージが実際にこれらのプラットフォーム上の特定の CVE に公開されているかどうかを正確に報告し、誤検知を減らすことができます。
セキュリティの問題を報告する
Microsoft Security Response Center (MSRC) に、Azure Linux または Azure Container Linux で発生した可能性のあるセキュリティの脆弱性を報告します。 パブリックなGitHubの問題を通じてセキュリティの脆弱性を報告しないでください。