Sicherheitsrisikoverwaltung für Container

Microsoft Defender for Cloud verwendet Microsoft Defender Vulnerability Management (MDVM), um Sicherheitsrisiken in Registrierungsimages und in Containerimages zu identifizieren, die von Containern in unterstützten Kubernetes-Umgebungen verwendet werden. Die Ergebnisse werden in Microsoft Defender for Cloud als Sicherheitsempfehlungen angezeigt.

Note

Microsoft Defender for Cloud wechselt von gruppierten Container-Sicherheitsrisiken zu einzelnen Empfehlungen. Während des Übergangs werden gruppierte und einzelne Empfehlungen möglicherweise nebeneinander im Portal angezeigt. Erfahren Sie mehr über den Übergang von gruppiert zu einzelnen Empfehlungen.

Die Sicherheitsrisikobewertung für Container ist über Defender für Container und für unterstützte Szenarien Defender CSPM verfügbar. Wenn Defender CSPM aktiviert ist, können Empfehlungen für Containerrisiken kontextbezogene Risikosignale und risikobasierte Priorisierung umfassen.

Bewertung der Sicherheitsanfälligkeit in der Registrierung

Die Schwachstellenbewertung für Registrys identifiziert Schwachstellen in Container-Images, die in unterstützten Registrys gespeichert sind, bevor sie bereitgestellt werden.

Zu den unterstützten Registrierungen gehören:

  • Azure Container Registry (ACR)
  • Amazon Elastic Container Registry (ECR)
  • Google Artifact Registry (GAR)
  • Google Container Registry (GCR)
  • Konfigurierte externe Registrierungen, z. B. Docker Hub und JFrog Artifactory

Für die Bewertung der Sicherheitsrisiken bei der Registrierung muss der Registrierungszugriff aktiviert werden.

Unterstützung für die Registrierungsüberprüfung

Die Registrierungsüberprüfung unterstützt Folgendes:

  • Bewertung der Sicherheitsrisiken des Betriebssystempakets (Linux und Windows)
  • Sicherheitsrisikobewertung für Sprachpakete (nur Linux)

Die vollständige Liste der unterstützten Betriebssysteme, Pakettypen, Registrys und Clouds finden Sie in der Supportmatrix für Defender für Container.

Laufzeitscan für laufende Container

Die Schwachstellenbewertung für Laufzeitcontainer bewertet Container-Images, die von laufenden Containern in unterstützten Kubernetes-Umgebungen verwendet werden.

Es gibt zwei Laufzeitszenarien:

  • Laufzeitbefunde mit Registry-Kontext: Von der Registry gescannte Images werden laufenden Workloads im Cluster zugeordnet.

    • Erfordert Registrierungszugriff und entweder K8S-API-Zugriff oder Defender Sensor.

  • Registry-agnostische Laufzeitüberprüfung: Bilder werden direkt aus der Laufzeitumgebung erfasst und unabhängig von der ursprünglichen Registrierung gescannt.

    • Erfordert agentloses Scannen auf Computer und entweder Kubernetes-API-Zugriff oder Defender Sensor.

Die Laufzeitbewertung kann Folgendes umfassen:

  • Kundeneigene Container
  • Kubernetes-Add-Ons
  • Tools von Drittanbietern, die im Cluster ausgeführt werden

Obwohl die Laufzeitbewertung registrierungsunabhängig sein kann, hilft das Verbinden unterstützter Registrierungen, den Image- und Repositorykontext für Korrekturworkflows beizubehalten.

Note

Die Sicherheitsrisikobewertung zur Laufzeit überprüft Containerimages, die im Cluster ausgeführt werden. Es scannt die Container-Runtime-Schicht nicht.

Die Sicherheitsrisikobewertung zur Laufzeit wird für Containerimages, die auf Windows-Knoten oder Knoten mit kurzlebigen AKS-Betriebssystemdatenträgern ausgeführt werden, nicht unterstützt. Für die automatische Skalierung konfigurierte AKS-Cluster liefern möglicherweise nur teilweise oder gar keine Ergebnisse, wenn Clusterknoten zum Zeitpunkt der Überprüfung ausgefallen sind.

Scanverhalten und Zeitverhalten

Scannen und Workloadermittlung sind asynchrone Prozesse.

Für die Bewertung der Sicherheitsanfälligkeit in der Registrierung:

  • Neu übertragene oder importierte Bilder werden in der Regel innerhalb weniger Stunden gescannt.
  • Ein täglicher erneuter Scan aktualisiert die Ergebnisse für:
    • In den letzten 30 Tagen gepushte Images
    • Bilder, die in den letzten 30 Tagen abgerufen wurden
    • Images, die derzeit in Kubernetes-Clustern ausgeführt werden, die von Defender for Cloud überwacht werden

Note

Bilder, die nicht innerhalb der letzten 30 Tage verschoben oder abgerufen wurden und derzeit nicht in einem überwachten Kubernetes-Cluster ausgeführt werden, sind nicht in der täglichen Überprüfung enthalten und erhalten keine aktualisierten Sicherheitsrisikoergebnisse. Wenn ein Bild nicht in den Ergebnissen angezeigt wird, wird die Überprüfung erneut aktiviert, wenn es aus der Registry abgerufen wird.

Zur Bewertung der Sicherheitsanfälligkeit zur Laufzeit:

  • Laufende Container werden bei Verwendung der agentenlosen Erkennung etwa alle 24 Stunden inventarisiert.
  • Bei Verwendung des Defender Sensors treten Bestandsaktualisierungen in Echtzeit auf.

Da die Analyse der Bestandsermittlung und Sicherheitsrisikoanalyse in separaten Zyklen ausgeführt wird, kann es zeitlang dauern, bis neu bereitgestellte oder aktualisierte Images vollständig in Empfehlungen widergespiegelt werden.

Gelöschte Bilder

Wenn ein Bild aus Azure Container Registry gelöscht wird, benachrichtigt ACR Defender for Cloud. Ergebnisse der Sicherheitsrisikobewertung für gelöschte Bilder werden in der Regel innerhalb einer Stunde entfernt. In seltenen Fällen erhalten Defender for Cloud möglicherweise nicht sofort die Löschbenachrichtigung, und das Entfernen der zugehörigen Sicherheitsrisikoergebnisse kann bis zu drei Tage dauern.

Das Löschen eines Tags löscht möglicherweise nicht das zugrunde liegende Bildmanifest. Weitere Informationen zum Löschen von Images aus ACR finden Sie unter "Löschen von Containerimages in Azure Container Registry".

Verwandte Inhalte

  • Last updated on