HummerRisk 使用教程：资源态势

Posted 2023-03-22

1. 概览

HummerRisk 是开源的云原生安全平台，以非侵入的方式解决云原生环境的安全和治理问题。核心能力包括混合云的安全治理和容器云安全检测。

本文将介绍如何使用HummerRisk 中的资源态势相关功能，HummerRisk 中的资源态势在两个核心部分都有，所以我们也会分两部分来介绍相关的使用。

2. 混合云资源态势

使用资源态势相关功能的前提是要完成绑定云账号，相关绑定云账号的内容，请查看多云检测相关的使用说明，这里我们假定您已经在系统中绑定好了云账号。在完成云账号绑定后，系统会自动执行一次资源同步，同步完成后即可在资源态势中查看相关云账号的资源情况。

资源清单

在资源态势页面，可以通过统一的界面查看多云账号中的资源情况。

• 左侧的「全部云账号」会列出目前绑定账号中支持资源态势的账号，点击某一账号，即可查看对应账号的云资源。
• 「资源汇总」部分会将云资源按类别汇总数量，比如huawei.iam等。汇总打分时候会夸账号统计。
• 「资源清单」会列出详细的资源信息，每条记录就是云上的一个相关资源。点击左侧的箭头，可以展开资源的详细信息。

风险情况

每条记录都会显示风险情况，这里的风险依赖于「多云检测」的结果。如果在多云检测的过程中，发现对应的云资源存在风险，那么这里就会显示「有风险」，而如果没有风险，则对应显示「无风险」。风险状态分为「有风险」，「无风险」，「未检测」。

点击「有风险」的状态按钮，可以查看检测出本资源存在风险的检测规则，再根据相关检测历史，方便修复对应风险。

云资源拓扑图

云资源拓扑图中会将所有云账号中的资源以拓扑图的形式呈现。

每一个大圈代表一个云账号，其下还会有3层，分别代表区域 -> 资源类型 -> 具体资源。同时上层的圈中会汇总下层资源的数量，便于看到统计信息。

另一个需要注意的事颜色，白色的资源代表该资源没有风险，而橘色的资源代表有风险，和前面介绍「资源清单」中的风险情况一致。

云资源同步任务

除了首次绑定云账号后的自动同步任务外，还可以在系统中手动进行资源同步，在云资源同步日志列表中可以查看到全部的同步任务。

点击「创建资源同步任务」，选择希望手动同步的云账号，即可创建同步任务。

创建完任务后，可以在列表中查看到任务执行情况。列表中的状态包括「正在处理」，「已完成」，「异常」，「告警」，点击状态中的按钮，可以查看同步任务的详细日志信息。

任务列表中还提供了「资源类型」的显示，因为各个公有云资源类型繁多，我们会逐步扩充和支持，所以通过资源类型，可以更加方便用户了解目前支持的资源。

点击云账号中的对应按钮，可以查看到该云账号支持同步的云资源类型。

3. 容器云资源态势

系统中另一个资源态势，是针对 K8s 容器云的部分。这里我们会将系统中绑定的多个容器云环境进行汇总，统一将资源信息进行展示和拓扑呈现。和混合云部分相同，想要使用资源态势也需要先绑定 K8s 环境的账号。

资源清单

点击「云原生安全」->「资源态势」进入页面，在这里可以统一查看系统中绑定的多个K8s账号的资源情况。如下图：

• 左侧的「全部K8s账号」会列出目全部K8s账号，点击某一账号，即可查看对应账号的资源。
• 「资源汇总」部分会将云资源按类别汇总数量，同时下方我们突出显示了5中常用资源，namespace，pod，node，deployment，service。
• 「资源清单」会列出详细的资源信息，点击资源名称会看到详细资源描述文件内容

K8s资源拓扑图

在资源拓扑图中，我们通过4个视角来图形化展示K8s集群的资源情况，分别是：「K8s 风险视角」，「节点视角」，「命名空间视角」，「资源视角」。

K8s风险视角

本视角的资源拓扑核心目标是展示集群的风险情况，如下图：

在本视角中，一次只显示一个K8s账号的资源风险，可以通过顶部下拉菜单切换到不同的K8s账号。

图形中部的圈代表不同的资源，资源会以namespace分类，每一个外层的圆圈代表一个namespace。内层的圆圈代表处于namespace中的具体资源。圆圈会被显示为不同的颜色，这些颜色代表风险等级，目前分为5类风险等级，具体如下：

等级

可以通过右上角的选项，可以通过风险等级对资源进行过滤，还可以点击「导出PDF」将拓扑图下载下来。如图：

左侧的images列出K8s中使用的全部镜像，并且基于「K8s 检测」和「镜像检测」的结果，其中存在风险的镜像会显示为红色，展开镜像信息，可以看到具体的漏洞情况。

节点视角

本视角是以K8s中的node作为分类进行聚合，然后将node中资源展现出来，在本视角中会同时显示全部K8s账号的资源。

如下图：

命名空间视角

本视角是以K8s中的namespace作为分类进行聚合，然后将全部K8s账号中namespace的资源展现出来。如下图：

资源视角

本视角会按K8s账号进行分类，将一个K8s账号中的全部资源都显示到一起。如下图：

K8s RBAC拓扑图

K8s中的权限依托RBAC进行实现和管理，但其复杂性一直困扰安全管理，本拓扑图的核心目标是展示K8s集群中的RBAC情况，包括SA，Role，resource直接的关联关系。如下图：

每次只能显示一个K8s账号的情况，点击左上角的下拉菜单，可以切换显示不同K8s账号。

点击顶部的图例，可以将部分资源内容显示或隐藏。

K8s资源同步任务

除了首次绑定K8s账号后会自动同步资源外，还可以在系统中手动进行资源同步，在K8s资源同步日志列表中可以查看到全部的同步任务。

点击「创建资源同步任务」，选择希望手动同步的云账号，即可创建同步任务。

HummerRisk V0.3发布：新增源码依赖检测SBOM 管理镜像仓库同步云操作审计等功能

2022 年 9 月，HummerRisk v0.3 版本发布，本版本中软件安全方面新增源码依赖漏洞检测和SBOM 管理，现在绑定的镜像仓库支持自动同步获取镜像列表，公有云方面新增云操作审计功能，同时优化K8s 检测、首页等。

HummerRisk 保持高速的迭代，期待您的关注。

​​https://docs.hummerrisk.com/release/release-0.3.0/​​

重大更新解读

 源码检测

新增源码检测功能，添加 GitHub 或 GitLab 项目地址、branch 分支名称、 tag 标签名称或 commit 提交记录，即可进行源码安全检测，发现源码库中存在的依赖漏洞。

检测后可以查看详细的检测结果报告

 Sbom 管理

新增 SBOM 管理功能，源码、镜像和软件包的依赖检测都需要关联到一个SBOM项目和版本，最终根据检测结果生成分析报告并进行下载

可以在 SBOM 管理界面绑定检测资源，也可以在每个检测菜单创建资源时绑定 Sbom 的项目。

最终根据检测结果生成统计分析报告，并进行下载。

 镜像仓库对接

新增镜像仓库 Harbor 对接功能，绑定 HarBor 镜像仓库自动获取镜像列表。

 云操作审计

新增云操作审计功能，根据公有云账号，同步获取资源操作事件日志。

功能优化