Problemlösung für Microsoft Defender für Container

Häufige Bereitstellungsprobleme

• Defender Sensorinstallation schlägt fehl

  • Symptoms:kubectl get pods -n kube-system -l app=defender zeigt Defender Sensor Pods in Pending, CrashLoopBackOff oder Error.
  • Auflösung:
    • Unzureichende Ressourcen: Überprüfen sie die Knotenkapazität. Verwenden Sie kubectl top nodes, um zu überprüfen, ob die Knoten über genügend CPU und Arbeitsspeicher verfügen, um den Sensor zu planen.
    • Netzwerkausgang: Überprüfen Sie, ob Ihre Clusterfirewall oder NSG ausgehenden Datenverkehr zu den erforderlichen FQDNs zulässt.
    • Taints und Toleranzen: Stellen Sie sicher, dass die Taints der Knoten die Pods nicht daran hindern, in bestimmten Knoten-Pools zu planen.

• Fehlende Empfehlungen

  • Symptoms: Cluster werden als "Gesund" angezeigt, aber bestimmte Empfehlungen wie "AKS-Cluster sollten Defender profile aktiviert haben" fehlen.
  • Auflösung:
    • Wartezeit: Es kann bis zu 24 Stunden dauern, bis Bewertungsscans im Dashboard angezeigt werden.
    • Ausschlusstags: Überprüfen Sie, ob die Ressource über das Tag ms_defender_container_exclude_sensors = trueverfügt.
    • Policy-Add-on: Stellen Sie sicher, dass das Azure Policy-Add-On installiert ist. Ohne diese werden konfigurationsbasierte Empfehlungen nicht ausgelöst.

Probleme beim Schwachstellenscan

• Fehlende Ergebnisse der Sicherheitsanalyse von Bildern in Azure Container Registry

  • Symptoms: Sicherheitsrisikoergebnisse werden nicht für Bilder angezeigt, die in Azure Container Registry gespeichert sind.
  • Auflösung:
    • Registry scanning: Vergewissern Sie sich, dass die entsprechende Registrierungsscanfunktion für Defender für Container aktiviert ist. Überprüfen Sie im Azure-Portal, ob Registry-Zugriff für den relevanten Bereich aktiviert ist.
    • Weitere Untersuchungen: Wenn das Scannen der Registrierung aktiviert ist und immer noch keine Ergebnisse vorliegen, öffnen Sie einen Support-Fall mit dem Registrierungsnamen, dem Image-Namen, dem Image-Digest und den erwarteten Ergebnisdetails.

• Fehlende Sicherheitsrisikoergebnisse für Bilder, die auf AKS-Clustern ausgeführt werden

  • Symptome: Sicherheitsrisikoergebnisse werden für Bilder, die derzeit in AKS-Workloads ausgeführt werden, nicht angezeigt.
  • Auflösung:
    • Vulnerability scanning: Vergewissern Sie sich, dass die relevante Sicherheitsrisikoüberprüfungsfunktion für Defender für Container aktiviert ist. Laufzeit-Sicherheitsrisikoergebnisse hängen von den verfügbaren Scanergebnissen für das ausgeführte Image ab, z. B. Registrierungsscan- oder Datenträgerscanergebnisse.
    • Pod-Bestandserfassung: Bestätigen Sie, dass die Pod-Bestandserfassung für den Cluster aktiviert ist. Bei AKS kann der Pod-Bestand je nach Bereitstellungskonfiguration vom Defender Sensor oder durch agentlose Sammlung gesammelt werden.
    • Weitere Untersuchung: Wenn die Überprüfung auf Schwachstellen und die Pod-Bestandserfassung aktiviert sind, aber immer noch keine Ergebnisse vorliegen, öffnen Sie einen Support-Fall mit dem Namen der Cluster, dem Namespace, dem Namen des Workloads, dem Image-Namen und der Image-Zusammenfassung.

Konnektor und Erkennung

• AWS-Connector getrennt

  • CloudFormation-Status: Überprüfen Sie die AWS CloudFormation-Konsole, um sicherzustellen, dass sich der Onboardingstapel im CREATE_COMPLETE Zustand befindet.
  • Berechtigungen: Überprüfen Sie, ob die MDCContainersAgentlessDiscoveryK8sRole Rolle nicht geändert wurde. Diese Rolle ist für Defender for Cloud erforderlich, um Ihre Cluster über die EKS-API zu ermitteln.

• EKS-Cluster werden nicht im Bestand angezeigt

  • Kubernetes-API-Zugriff: Stellen Sie sicher, dass diese Komponente in den AWS-Connectoreinstellungen aktiviert ist.
  • IAM-Identitätszuordnung: Stellen Sie sicher, dass die aws-auth ConfigMap aktualisiert wurde, um die rolle Defender for Cloud einzuschließen, oder dass für die Rolle ein EKS-Zugriffseintrag erstellt wurde.

Probleme beim Schwachstellenscan

• Fehlende Sicherheitsrisikoergebnisse für Bilder in amazon Elastic Container Registry

  • Symptome: Sicherheitsrisikoergebnisse werden nicht für Bilder angezeigt, die in amazon Elastic Container Registry gespeichert sind.
  • Auflösung:
    • Registry scanning: Vergewissern Sie sich, dass die entsprechende Registrierungsscanfunktion für Defender für Container aktiviert ist. Überprüfen Sie in den AWS-Connectoreinstellungen, ob der Registrierungszugriff aktiviert ist.
    • Weitere Untersuchungen: Wenn das Scannen der Registrierung aktiviert ist und immer noch keine Ergebnisse vorliegen, öffnen Sie einen Support-Fall mit dem Registrierungsnamen, dem Image-Namen, dem Image-Digest und den erwarteten Ergebnisdetails.

• Fehlende Sicherheitsrisikoergebnisse für Bilder, die auf EKS-Clustern ausgeführt werden

  • Symptome: Sicherheitsrisikoergebnisse werden für Bilder, die derzeit in EKS-Workloads ausgeführt werden, nicht angezeigt.
  • Auflösung:
    • Vulnerability scanning: Vergewissern Sie sich, dass die relevante Sicherheitsrisikoüberprüfungsfunktion für Defender für Container aktiviert ist. Laufzeit-Sicherheitsrisikoergebnisse hängen von den verfügbaren Scanergebnissen für das ausgeführte Image ab, z. B. Registrierungsscan- oder Datenträgerscanergebnisse.
    • Pod-Bestandserfassung: Bestätigen Sie, dass die Pod-Bestandserfassung für den Cluster aktiviert ist. Der Pod-Bestand kann je nach Bereitstellungskonfiguration vom Defender Sensor oder durch agentlose Sammlung gesammelt werden.
    • Connector und Berechtigungen: Stellen Sie sicher, dass der AWS-Connector und die erforderlichen Cloudberechtigungen ordnungsgemäß konfiguriert sind.
    • Weitere Untersuchung: Wenn die Überprüfung auf Schwachstellen, die Erfassung des Pod-Bestands und die Berechtigungen für den Konnektor konfiguriert sind, aber immer noch keine Ergebnisse vorliegen, öffnen Sie einen Support-Fall mit dem Clusternamen, dem Namespace, dem Workload-Namen, dem Image-Namen und dem Image-Digest.

Laufzeitbenachrichtigungen

• Es wurden keine Warnungen der Steuerungsebene generiert.
  • Überwachungsprotokollierung: Überwachungsprotokolle müssen für jeden Cluster aktiviert sein. Führen Sie aws eks update-cluster-config --name <cluster-name> --logging '{"clusterLogging":[{"types":["audit","authenticator"],"enabled":true}]}' aus.
  • SQS-Konfiguration: Stellen Sie sicher, dass CloudTrail Protokolle ordnungsgemäß an die SQS-Warteschlange sendet, die vom Connector verwendet wird. Vergewissern Sie sich, dass der SQS ARN in den Verbindungseinstellungen korrekt ist.

Haltung und Entdeckung

• GKE Autopilot-Einschränkungen

  Von Bedeutung

  Auf GKE Autopilot-Clustern können Sie Ressourcengrenzwerte für den Defender Sensor nicht manuell konfigurieren oder außer Kraft setzen. Der Sensor ist so konzipiert, dass die minimalen Ressourcen angefordert werden, die von der speziellen Planung von Autopilot automatisch benötigt werden.

• Dienstkontofehler

  • Service-Konto-E-Mail: Bestätigen Sie die E-Mail-Adresse des Dienstkontos im Azure-Portal mit der in der GCP-Konsole generierten E-Mail.
  • IAM-Rollen: Stellen Sie sicher, dass das Dienstkonto auf Projektebene die Rollen container.viewer und container.clusters.update hat.

Probleme mit der Bewertung des Registers

• Fehlende Sicherheitsrisikoergebnisse in der Artefaktregistrierung

  • Symptome: Sicherheitsrisikoergebnisse werden nicht für Bilder angezeigt, die in der Google Artifact Registry gespeichert sind.
  • Auflösung:
    • Registry scanning: Vergewissern Sie sich, dass die entsprechende Registrierungsscanfunktion für Defender für Container aktiviert ist. Überprüfen Sie in den GCP-Connectoreinstellungen, ob der Registrierungszugriff aktiviert ist.
    • Weitere Untersuchungen: Wenn das Scannen der Registrierung aktiviert ist und immer noch keine Ergebnisse vorliegen, öffnen Sie einen Support-Fall mit dem Registrierungsnamen, dem Image-Namen, dem Image-Digest und den erwarteten Ergebnisdetails.

• Fehlende Sicherheitsrisikoergebnisse für Bilder, die auf GKE-Clustern ausgeführt werden

  • Symptome: Sicherheitsrisikoergebnisse werden für Bilder, die derzeit in GKE-Workloads ausgeführt werden, nicht angezeigt.
  • Auflösung:
    • Vulnerability scanning: Vergewissern Sie sich, dass die relevante Sicherheitsrisikoüberprüfungsfunktion für Defender für Container aktiviert ist. Laufzeit-Sicherheitsrisikoergebnisse hängen von den verfügbaren Scanergebnissen für das ausgeführte Image ab, z. B. Registrierungsscan- oder Datenträgerscanergebnisse.
    • Pod-Bestandserfassung: Bestätigen Sie, dass die Pod-Bestandserfassung für den Cluster aktiviert ist. Der Pod-Bestand kann je nach Bereitstellungskonfiguration vom Defender Sensor oder durch agentlose Sammlung gesammelt werden.
    • Connector und Berechtigungen: Stellen Sie sicher, dass der GCP-Connector und die erforderlichen Cloudberechtigungen ordnungsgemäß konfiguriert sind.
    • Weitere Untersuchung: Wenn die Überprüfung auf Schwachstellen und die Pod-Bestandserfassung aktiviert sind, aber immer noch keine Ergebnisse vorliegen, öffnen Sie einen Support-Fall mit dem Namen der Cluster, dem Namespace, dem Namen des Workloads, dem Image-Namen und der Image-Zusammenfassung.

Arc Connectivity

• Clusterstatus "Getrennt"
  • Network Egress: Stellen Sie sicher, dass der Cluster die erforderlichen Azure Arc Endpunkte auf TCP 443 erreichen kann.
  • Zeitsynchronisierung: Stellen Sie sicher, dass die Knotensystemzeit korrekt ist und über NTP synchronisiert wird. Wenn die Knotenzeit erheblich abweicht, schlägt der Handshake des Arc-Zertifikats fehl und verhindert die Bereitstellung der Komponenten.
  • Proxy-Konfiguration: Wenn Ihre Umgebung einen Proxy verwendet, stellen Sie sicher, dass die Arc-Agenten im Schritt http_proxy mit den richtigen https_proxy- und az connectedk8s connect-Einstellungen konfiguriert sind.

Erweiterungsverwaltung

• Defender-Erweiterung steckt in „Erstellen“ oder „Fehlgeschlagen“ fest

  • Agentprotokolle: Überprüfen Sie die Arc-Agent-Protokolle auf detaillierte Fehler: kubectl logs -n azure-arc -l app.kubernetes.io/component=cluster-agent
  • Neuinstallation: Wenn die Erweiterung hängen bleibt, löschen Sie sie, und erstellen Sie sie über CLI neu: az k8s-extension delete --cluster-name <name> --resource-group <rg> --cluster-type connectedClusters --name microsoft.azuredefender.kubernetes

• Defender Sensor Pod „ImagePullBackOff“

  • Symptome: Pods können aufgrund eines Image-Pull-Fehlers nicht gestartet werden.
  • Auflösung:
    • MCR Connectivity: Stellen Sie sicher, dass Knoten mcr.microsoft.com erreichen können, um das Defender-Sensor Bild abzurufen.
    • Namespace-Konflikte: Stellen Sie sicher, dass keine anderen Sicherheitslösungen oder Zulassungssteuerungen in Konflikt mit dem mdc-Namespace stehen.