外向きの通信
通信先一覧
KestreLynxと、スキャン・依存更新に使用するツールの通信先を示します。 通信は、有効な機能とその回に必要な処理に応じて発生します。
KEVの取得
| 通信主体 | 通信先 | 取得・送信する情報 | 発生条件 |
|---|---|---|---|
| KestreLynx | 既定はwww.cisa.gov |
KEVフィードを一括取得 | トリアージが有効で、フィードの取得・更新が必要な場合 |
検出したCVEとの照合はローカルで行い、検出したCVE一覧は取得先へ送信しません。
取得先は設定、更新と取得失敗時の扱いは脅威情報の更新と脅威情報を利用できない場合を参照してください。
EPSSの取得
| 通信主体 | 通信先 | 取得・送信する情報 | 発生条件 |
|---|---|---|---|
| KestreLynx | 既定はepss.empiricalsecurity.com |
EPSSフィードを一括取得 | トリアージが有効で、フィードの取得・更新が必要な場合 |
検出したCVEとの照合はローカルで行い、検出したCVE一覧は取得先へ送信しません。
取得先は設定、更新と取得失敗時の扱いは脅威情報の更新と脅威情報を利用できない場合を参照してください。
Hacker Newsの検索
| 通信主体 | 通信先 | 取得・送信する情報 | 発生条件 |
|---|---|---|---|
| KestreLynx | hn.algolia.com |
悪用情報によりAct nowとなるCVE IDを検索クエリとして送り、議論のリンクを取得 | トリアージと議論リンクが有効で、対象CVEの検索が必要な場合 |
検索の有効化は設定を参照してください。 検索を無効にしても、通知先への送信は継続します。
Trivyの取得通信
| 通信主体 | 通信先 | 取得・送信する情報 | 発生条件 |
|---|---|---|---|
| Trivy | 脆弱性データベースの配布レジストリ | スキャンに必要なデータベースを取得 | 通常のスキャンや比較スキャンでデータベースの準備が必要な場合 |
| Trivy | 対象イメージのレジストリと配布物の取得先 | スキャン対象または比較用のイメージを取得 | スキャンに必要なイメージをレジストリから取得する場合 |
比較に使う条件は、スキャンの比較条件を参照してください。
GitHubへの通信
| 通信主体 | 通信先 | 取得・送信する情報 | 発生条件 |
|---|---|---|---|
| KestreLynx | api.github.com |
対応付けたリポジトリ・ブランチ・ソースファイルを読み取り | 修正計画でソースを確認する場合 |
| KestreLynx | api.github.com |
既存PRと過去の操作結果を照合 | PR処理が有効な場合 |
| KestreLynx | api.github.com |
コミット・ブランチ・PR・置き換えコメントを作成し、条件を満たした古いPRをクローズ | PR処理が有効で、書き込みの条件を満たした場合 |
PRには、イメージ参照とdigest、Workload名、リポジトリ名、ソースのパス、変更内容が含まれることがあります。 パッケージ名と版、脆弱性ID、比較結果、処理の理由なども含まれることがあります。
依存元からの再解決を採用したPRには、あわせて動かした直接依存の名前・変更前後の版・古い版を要求していた範囲も含まれることがあります。 途中のパッケージがその範囲を要求していた場合は、そのパッケージ名も含みます。
管理の条件はPRの管理、PRによるワークフローの起動はPR作成の有効化を参照してください。
イメージ候補の取得
| 通信主体 | 通信先 | 取得・送信する情報 | 発生条件 |
|---|---|---|---|
| KestreLynx | 公開または認証設定済みのイメージレジストリ | タグ一覧、manifest、configなど、イメージの実体確認に使う情報を取得 | 配布イメージやベースイメージの候補を調べる場合 |
認証の設定はイメージレジストリの認証、候補の探索はイメージ候補の選定を参照してください。
作業用イメージの取得
| 通信主体 | 通信先 | 取得・送信する情報 | 発生条件 |
|---|---|---|---|
| Docker | Docker Hubまたは設定したミラー | 作業用の公式Node.js・Pythonイメージを取得 | 言語パッケージの更新に必要なイメージがローカルにない場合 |
ミラーの設定は作業用イメージの取得先、固定と取得不能時の扱いは公式イメージの固定を参照してください。
ツールの取得
| 通信主体 | 通信先 | 取得・送信する情報 | 発生条件 |
|---|---|---|---|
| KestreLynx | registry.npmjs.org |
npm・pnpmの版情報と配布物を取得 | ツールの版情報の確認や配布物の取得が必要な場合 |
| KestreLynx | pypi.org・files.pythonhosted.org |
uvの版情報と配布物を取得 | ツールの版情報の確認や配布物の取得が必要な場合 |
ツール取得の要求とリダイレクトは、この表のホストへのHTTPS通信に制限します。
取得・照合はツールの取得と照合、再利用はツールキャッシュの再利用を参照してください。
依存パッケージの取得
| 通信主体 | 通信先 | 取得・送信する情報 | 発生条件 |
|---|---|---|---|
| KestreLynx | registry.npmjs.org |
依存パッケージの版・依存関係などの情報を取得 | Node.jsの互換条件や更新結果を照合する場合 |
| KestreLynx | pypi.org・files.pythonhosted.org |
Pythonパッケージの情報・配布物を取得 | Pythonの更新結果を照合する場合 |
| KestreLynx | registry.npmjs.org |
パッケージ名・版を使って依存宣言と公開日時を取得 | npm・pnpmの依存元からの再解決で、古い版を要求する依存元や公開後72時間の経過を確認する場合 |
| KestreLynx | pypi.org |
パッケージ名・版を使って依存宣言と配布物のアップロード時刻を取得 | uvの依存元からの再解決で、古い版を要求する依存元や公開後72時間の経過を確認する場合 |
| 作業用コンテナ | 公開npmレジストリ・PyPIと配布物の取得先 | 依存解決、lockfile生成、検査に必要な情報・配布物を取得 | 言語パッケージの依存更新を実行する場合 |
更新処理は、マネージャー別の更新処理を参照してください。
依存元からの再解決では、更新対象に加えて、途中の依存元や再解決後に新たに入る版の情報も照会します。 照会数と受信量の制限は、再解決の対応範囲と上限を参照してください。
通知先への送信
| 通信主体 | 通信先 | 取得・送信する情報 | 発生条件 |
|---|---|---|---|
| KestreLynx | 設定したSlack・汎用Webhook | 所見、計画、理由、PRのリンクや操作結果を送信 | 各通知の送信条件を満たした場合 |
通知には、イメージ参照とdigest、Workload名、リポジトリ名、ソースのパスが含まれることがあります。 パッケージ名と版、脆弱性ID、比較結果なども含まれるため、共有できる範囲に合わせて通知先を設定してください。
依存元からの再解決の通知には、あわせて動かした依存元、修正版に届かなかった結果、見送りや待機の情報も含まれることがあります。 Webhookには、要求していた版の範囲、変更一覧、処理の使用量、再試行可能な時刻も含まれることがあります。
持ち越した脆弱性については、パッケージ名・変更前後の版・脆弱性ID・位置数・KEV掲載の情報もWebhookに含まれることがあります。 位置の検査で拒否した結果には、パッケージ名・版・依存元の名前・拒否の種類・脆弱性IDも含まれることがあります。
送信条件は通知の送信条件、JSONの内容はWebhookのフィールド仕様を参照してください。
認証情報の送付範囲
| 認証情報・通信 | 送付先・制限 |
|---|---|
| GitHub token | HTTPSのapi.github.comだけに送り、別ホストへのリダイレクトは拒否 |
| イメージレジストリの認証情報 | 設定したレジストリ自身と、同じホストまたはtoken_hostsで許可したtoken serviceにHTTPSで送付 |
| KestreLynxによるイメージレジストリへの要求 | リダイレクト先へ認証情報を引き継がない |
| Trivyによるイメージレジストリへの要求 | 同じホスト内のリダイレクトには認証情報が付く場合があるが、別ホストへは引き継がない |
| 作業用コンテナへの入力 | GitHub tokenとイメージレジストリの認証情報を渡さない |
認証を設定していないレジストリには匿名でアクセスします。
設定形式は、GitHubアクセスとイメージレジストリの認証を参照してください。
作業用コンテナのネットワーク
作業用コンテナはDockerのbridgeネットワークを使います。 通信先をネットワークの許可リストで制限する構成ではありません。
ネットワーク以外の制限は、実行時の制限を参照してください。