Schadsoftwareerkennung und -blockierung während der Containerlaufzeit

Antischadsoftware zur Containerlaufzeit erkennt und blockiert Schadsoftware, wenn ein Container eine ausführbare Datei ausführt, die als böswillig identifiziert wird.

Dieses Feature sendet Warnungen und kann die Ausführung von Schadsoftware blockieren.

Sie können Antischadsoftwarerichtlinien definieren, die Bedingungen für Warnungen und Blockieren festlegen. Diese Richtlinien helfen dabei, legitime Aktivitäten von potenziellen Bedrohungen zu unterscheiden.

Containerlaufzeit-Antischadsoftwareerkennung und -blockierung ist Teil des Defender for Containers-Plans. Dieses Feature ist für Azure Kubernetes Service (AKS), Amazon Elastic Kubernetes Service (EKS) und Google Kubernetes Engine (GKE) verfügbar.

Voraussetzungen

• Defender for Containers ist in Ihrem Abonnement aktiviert.

  • Aktivieren Sie den Defender for Containers-Sensor für die Abonnements und Connectors.

• Um Antischadsoftwarerichtlinien zu erstellen und zu ändern, benötigen Sie einen Sicherheitsadministrator oder höhere Berechtigungen für den Mandanten. Zum Anzeigen der Policies für Antischadsoftware benötigen Sie einen Sicherheitsleser oder höhere Berechtigungen für den Mandanten.

• Zusätzlich zu den Anforderungen des Kernsensorspeichers und der zentralen Verarbeitungseinheit (CENTRAL Processing Unit, CPU) benötigen Sie Folgendes:

  Bestandteil	Anforderung	Limit
  CPU	50 m	300 m
  Memory	128Mi	500 MiB

Erfahren Sie mehr über die Erkennung und Blockierung der Verfügbarkeit von Antischadsoftware.

Komponenten

Die folgenden Komponenten sind Teil der Antischadsoftwareerkennung und -blockierung:

• Ein verbesserter Sensor, der Schadsoftware erkennt und verhindert.
• Konfigurationsoptionen für Antischadsoftwarerichtlinien.
• Antischadsoftwarewarnungen.

Aktivieren der Antischadsoftwareerkennung und -blockierung

Antischadsoftware ist standardmäßig nicht aktiviert, da zusätzliche Clusterressourcen verwendet werden. Verwenden Sie eine der folgenden Methoden, die auf Ihrer Clusterplattform basieren.

Azure Kubernetes Service (AKS)

Sie können den Antischadsoftwaresammler mit einer der folgenden Methoden aktivieren:

--set microsoft-defender-for-containers-sensor.antimalwareCollector.enabled=true

az rest --method GET `
  --url "https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerService/managedClusters/{clusterName}?api-version=2026-03-02-preview" `
  --query "properties.securityProfile.defender" `
  --output json

{
  "location": "<cluster-location>",
  "properties": {
    "securityProfile": {
      "defender": {
        "antimalware": {
          "enabled": true
        },
        "logAnalyticsWorkspaceResourceId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}",
        "securityMonitoring": {
          "enabled": true
        }
      }
    }
  }
}

az rest --method PUT `
  --url "https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerService/managedClusters/{clusterName}?api-version=2026-03-02-preview" `
  --body "@enable-am.json"

Amazon EKS und Google GKE

Für verbundene Multicloudcluster können Sie den Antischadsoftwaresammler mit einer der folgenden Methoden aktivieren:

az k8s-extension create \
  --name microsoft.azuredefender.kubernetes \
  --extension-type microsoft.azuredefender.kubernetes \
  --cluster-name <cluster-name> \
  --resource-group <resource-group> \
  --cluster-type connectedClusters \
  --configuration-settings antimalwareCollector.enabled='true'

--set microsoft-defender-for-containers-sensor.antimalwareCollector.enabled=true

Hinzufügen von Antischadsoftwareregeln

Wenn Sie den Sensor mit aktivierter Antischadsoftware installieren, werden standardmäßig drei Antischadsoftwareregeln konfiguriert. Zu diesen Regeln gehören:

• Malware alert on binaries not originated from original image: eine vorgeschlagene Regel für Situationen, in denen das System eine abgedriftete Binärdatei erkennt.
• Default antimalware workload rule.
• Default antimalware host rule.

Die beiden Standard-Antischadsoftwareregeln (Workload und Host) gelten für jede potenzielle Situation, wenn keine andere Regel zuerst übereinstimmt. Sie können die Aktionen der Standardregeln nur ändern und auf Warnungen, Blockieren oder Ignorieren festlegen.

Sie können neue Antischadsoftwareregeln erstellen, um anzugeben, ob erkannte Schadsoftware ignoriert, eine Warnung generiert oder blockiert wird. Jede Regel kann die Bedingungen für das Generieren von Warnungen definieren. Mit dieser Struktur können Sie das System auf Ihre spezifischen Anforderungen anpassen und falsch positive Ergebnisse reduzieren. Sie können Ausschlüsse erstellen, indem Sie Regeln mit höherer Priorität für bestimmte Bereiche, Cluster, Bilder, Pods, Kubernetes-Bezeichnungen oder Namespaces konfigurieren.

1. Melden Sie sich im Azure-Portal an.

2. Navigieren Sie zu Defender for Cloud>Umgebungseinstellungen.

3. Wählen Sie Sicherheitsregeln aus. 

   

4. Wählen Sie Antischadsoftware>+ Regel hinzufügen aus. 

   

5. Geben Sie einen Regelnamen ein.

6. Wählen Sie eine verfügbare Aktion aus:

   • Schadsoftware ignorieren: Ignorieren Sie die ausgewählte Schadsoftware.
   • Warnung bei Schadsoftware: Generieren Sie eine Warnung, wenn Schadsoftware erkannt wird, z. B. wenn eine Regel eine abgedriftete Binärdatei erkennt.
   • Schadsoftware blockieren: Verhindern Sie die Ausführung der Schadsoftware.

7. Geben Sie einen Bereichsnamen ein.

8. Wählen Sie einen Cloudbereich und ggf. ein bestimmtes Abonnement aus.

9. Wählen Sie bei Bedarf einen Ressourcenbereich aus.

10. Fügen Sie bei Bedarf bedingungen für den Ressourcenbereich basierend auf den folgenden Kategorien hinzu: Containername, Imagename, Namespace, Pod-Bezeichnungen, Pod-Name oder Clustername. Wählen Sie dann einen Operator aus: Beginnt mit, endet mit, entspricht oder enthält. Geben Sie schließlich den übereinstimmenden Wert ein. Sie können beliebig viele Bedingungen hinzufügen, indem Sie +Bedingung hinzufügen auswählen.

11. Aktivieren Sie bei Bedarf das Kontrollkästchen, um Binärdateien aus dem Containerimage auszuschließen.

12. Fügen Sie bei Bedarf eine Zulassungsliste für Prozesse hinzu, um die Prozesse anzugeben, die im Container ausgeführt werden dürfen. Wenn sich ein Prozess nicht in der Liste befindet, wird eine Warnung generiert.

13. Wählen Sie Anwenden aus.

14. Wählen Sie Speichern aus.

Nach 30 Minuten werden die Sensoren auf den geschützten Clustern mit der neuen Regel aktualisiert.

Antimalware-Regeln verwalten

Basierend auf den Benachrichtigungen, die Sie erhalten und überprüfen, müssen Sie möglicherweise die Regeln in der Antischadsoftwarerichtlinie anpassen. Diese Anpassungen können das Verfeinern von Bedingungen, das Hinzufügen von Regeln oder das Entfernen von Regeln umfassen, die viele falsch positive Ergebnisse erzeugen. Ziel ist es, die Sicherheitsanforderungen mit der betrieblichen Effizienz zu ausgleichen, indem effektive Antischadsoftwarerichtlinien und -regeln verwendet werden.

Effektive Antischadsoftwareerkennung basiert auf Ihrer aktiven Rolle beim Konfigurieren, Überwachen und Anpassen von Richtlinien für Ihre Umgebung.

Sie können Regeln nach Priorität anordnen, indem Sie den Pfeil nach oben oder unten auswählen. Die Regel mit der höchsten Priorität (niedrigste Zahl) wird als erste ausgeführt. Wenn eine Regel übereinstimmt, wird die Regelaktion ausgeführt und die Auswertung beendet. Wenn eine Regel nicht übereinstimmt, wertet das System die nächste Regel aus. Wenn keine Regel übereinstimmt, wendet das System die Standardregeln an.

Sie können jede Regel mithilfe der Symbolleistensteuerelemente verwalten.

Mit der Symbolleiste können Sie Regeln bearbeiten, duplizieren, löschen, aktivieren und deaktivieren. Wählen Sie eine Regel und eine Aktion aus.

Wenn Sie eine Regel deaktivieren, können Sie die Regel und deren Konfiguration beibehalten, ohne die Regel anzuwenden. Diese Option ist nützlich, wenn Sie eine Regel vorübergehend beenden möchten, ohne die Konfiguration zu verlieren.

Nachdem Sie Ihre Regeln konfiguriert haben, wählen Sie "Speichern" aus, um die Änderungen anzuwenden und die Richtlinie zu erstellen. Innerhalb von 30 Minuten aktualisieren die Sensoren auf den geschützten Clustern mit der neuen Richtlinie.

Nächster Schritt