Quels fichiers twistlock recherche-t-il lors de la numérisation d’images ?
9793
Created On 02/07/22 11:54 AM - Last Modified 04/22/22 17:40 PM
Question
- Quels fichiers Twistlock recherche-t-il ?
- Quels fichiers d’informations sur les packages recherchons-nous lors de la numérisation d’images ?
- Prenons-nous en charge l’analyse des fichiers jar imbriqués ?
- En quoi l’analyse des conteneurs et des hôtes diffère-t-elle en ce qui concerne les informations sur les progiciels ?
Environment
- Prisma Cloud Calcul (Twistlock)
- Analyse des vulnérabilités
- Dépendances logicielles
- Informations sur le forfait
Answer
Prisma Cloud peut numériser des images, des référentiels, des fonctions, etc. et identifier les vulnérabilités dans les dépendances de votre logiciel.
- Comme dans le contexte de Java, nous recherchons pom.xml à l’intérieur des fichiers jar.
- Pour Python, nous recherchons PKG-INFO (METADATA et .dist-info) et .egg-info.
- En ce qui concerne les pots imbriqués, oui, nous le soutenons. En particulier, nous détectons les fichiers jar qui se trouvent à l’intérieur des fichiers .ear, les fichiers .ear peuvent contenir une collection de jars en effet. Donc, fondamentalement, nous détectons le pot lui-même et les fichiers à l’intérieur (une couche) et pour l’oreille, nous détectons les pots à l’intérieur de l’oreille et leur contenu (deux couches d’imbrication).
- Paquets de distribution (deb, rpm).
- Binaires.
- Paquets Nodejs.
- Paquets Python.
- Gemmes de rubis.
- Artefacts Java (JAR fichiers).
- Lorsque nous numérisons un conteneur/image, nous analysons tous les fichiers existants dans le système de fichiers conteneur/image.
- Pour les hôtes, nous avons un impact sur les performances si nous analysons tous les fichiers, de sorte que la conception est que nous analysons uniquement les fichiers utilisés par les processus en cours d’exécution dans le système.
- Avoir un jar dans le disque hôte ne suffit pas pour l’analyser, nous analysons ce jar uniquement s’il est en cours d’exécution, en d’autres termes dans les hôtes, nous analysons les vulnérabilités uniquement pour les services / processus en cours d’exécution.