正在运行Azure资源图查询以进行图像漏洞评估时获取docker图像标记

Question

我们正在使用azure资源图查询生成docker漏洞评估报告，在编写kusto查询以生成具有漏洞的dockerimage列表的报告后，我们正在根据需要获取有关docker存储库及其相应的sha/摘要值的详细信息和其他详细信息，但我们还需要针对特定存储库/digets值的docker标记，而我们无法在azure资源查询中获取该值，我们需要在我们的报告中也有docker图像标签数据下面是我的kql查询：

securityresources
| where type == "microsoft.security/assessments/subassessments"
| where id has "Assesment key" and isnotnull (properties.id)
| mv-expand properties.additionalData.cve
| mv-expand properties.additionalData.data
| mv-expand properties.additionalData.vendorReferences
| project Image=properties.additionalData.repositoryName, Digest=properties.additionalData.imageDigest, Dockertag=properties.additionalData.data.***, CVE=properties_additionalData_cve

有人能告诉我们可以在***部分或其他方式进行哪些修改来获得数据(图像标签(吗？

Answer 1

据我所知，来自MS用于图像的Qualys扫描仪的漏洞扫描结果没有引用图像标签。它们通过指示存储库和图像摘要来引用图像清单。由于资源图似乎没有将ACR图像建模，甚至没有将图像存储库建模为资源或子资源，因此似乎无法使用资源图查询来获取这些信息。此外，您可能有目前根本没有标签的图像，而这些图像可能仍然有可用的漏洞扫描。

MS也在研究他们自己的解决方案，目前似乎正在ACR的预览中。这似乎与子评估的结构略有不同，并且似乎确实包含了对properties.additionalData.artifactDetails.tags中图像标签的引用。