Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
In diesem Artikel werden alle Sicherheitsempfehlungen für serverlose Container aufgelistet, die in Microsoft Defender for Cloud angezeigt werden.
Die Empfehlungen, die in Ihrer Umgebung angezeigt werden, basieren auf den Ressourcen, die Sie schützen und auf Ihrer angepassten Konfiguration. Sie können die Empfehlungen im Portal sehen, die für Ihre Ressourcen gelten.
Informationen zu Aktionen, die Sie als Reaktion auf diese Empfehlungen ausführen können, finden Sie unter "Korrekturempfehlungen" in Defender für Cloud.
Diese Empfehlungen umfassen Azure Container Apps-, Azure Container Instances- und AWS - Amazon Elastic Container Service (ECS) Fargate-Workloads. Sie umfassen auch Die Berechtigungsleitfaden für Identitäts- und Zugriffsverwaltung (IAM).
Tipp
Wenn eine Empfehlungsbeschreibung "Keine verwandte Richtlinie" besagt, hängt sie in der Regel von einer anderen Empfehlung ab, die über die Richtlinie verfügt.
Defender for Cloud ordnet Richtlinienlinks grundlegenden Empfehlungen zu. Dieser Ansatz trägt dazu bei, die Richtlinienverwaltung einfacher zu halten.
Empfehlungen für serverlose Container
Die Authentifizierung sollte auf Azure Container Apps aktiviert sein.
Description: Defender for Cloud Azure Container Apps identifiziert, wobei die vom Plattform verwaltete Authentifizierung nicht konfiguriert ist. Durch aktivieren der Authentifizierung wird sichergestellt, dass nur autorisierte Benutzer und Dienste auf Anwendungsendpunkte zugreifen können. (Keine zugehörige Richtlinie)
Schweregrad: Hoch
Azure Container Apps sollte nicht für das öffentliche Internet verfügbar gemacht werden, es sei denn, dies ist erforderlich.
Description: Defender for Cloud einen oder mehrere Azure Container Apps identifiziert, die mit einem externen Eingangs konfiguriert sind, wodurch die Anwendung über das Internet öffentlich zugänglich ist. (Keine zugehörige Richtlinie)
Schweregrad: Hoch
Verwaltete Identitäten, die Azure Container Apps zugewiesen sind, sollten den geringsten Berechtigungen folgen
Description: Defender for Cloud identifiziert, dass der Azure verwaltete Identität oder der Dienstprinzipal der Container-App über unzulässige Zugriffsrichtlinien (privilegierte Administratorrollen mit breitem Umfang) für andere Ressourcen verfügt. (Keine zugehörige Richtlinie)
Schweregrad: Hoch
Azure Container Instances sollte nicht öffentlich verfügbar gemacht werden
Description: Defender for Cloud hat eine Azure Containerinstanz erkannt, die mit einer öffentlichen IP-Adresse konfiguriert ist, wodurch die Anwendung über das Internet in den konfigurierten Ports öffentlich zugänglich ist. (Keine zugehörige Richtlinie)
Schweregrad: Hoch
Verwaltete Identitäten, die Azure Container Instances zugewiesen sind, sollten den geringsten Berechtigungen folgen
Description: Defender for Cloud identifiziert, dass die verwaltete Identität oder der Dienstprinzipal der Azure Containerinstanz über unzulässige Zugriffsrichtlinien verfügt (privilegierte Administratorrollen mit breitem Umfang). (Keine zugehörige Richtlinie)
Schweregrad: Hoch
DER ECS Fargate-Aufgabenrollen zugewiesene IAM-Aufgaben sollten den geringsten Berechtigungen entsprechen.
Description: Defender for Cloud identifizierte IAM-Aufgabenrollen mit übermäßigen Berechtigungen (z. B. AdministratorAccess, Wildcardaktionen oder zulässige benutzerdefinierte Richtlinien). Über privilegierte IAM-Aufgabenrollen erhöhen die Auswirkungen eines kompromittierten Containers. (Keine zugehörige Richtlinie)
Schweregrad: Hoch
ECS Fargate-Aufgaben sollten keine Container mit erhöhten Berechtigungen ausführen
Description: Defender for Cloud erkannte ECS Fargate-Aufgabendefinitionen, bei denen Container als Stammbenutzer ausgeführt werden oder zusätzliche Linux-Funktionen anfordern. Das Ausführen von Containern mit erhöhten Rechten erhöht das Risiko eines nicht autorisierten Dateizugriffs und einer Eskalation der Rechte. (Keine zugehörige Richtlinie)
Schweregrad: Hoch
Schreibgeschütztes Stammdateisystem sollte für ECS-Container aktiviert sein
Beschreibung: Defender für Cloud identifizierte ECS-Aufgabendefinitionen mit beschreibbaren Stammdateisystemen. Diese Konfiguration stellt ein Risiko dar, indem Laufzeitänderungen an kritischen Systempfaden ermöglicht werden, wodurch manipulationsfähige Änderungen, Persistenz von nicht autorisierten Änderungen und die Nutzung von veränderbaren Verzeichnissen möglich sind. (Keine zugehörige Richtlinie)
Schweregrad: Mittel
ECS Fargate-Aufgaben sollten nicht öffentlich verfügbar gemacht werden
Description: Defender for Cloud identifizierte eine oder mehrere ECS Fargate-Aufgaben, die aufgrund ihrer Netzwerkkonfiguration öffentlich über das Internet zugänglich sind. Die öffentliche Exposition erhöht die Wahrscheinlichkeit eines nicht autorisierten Zugriffs und der Nutzung von Sicherheitsrisiken auf Anwendungsebene. (Keine zugehörige Richtlinie)
Schweregrad: Hoch
Die Protokollierung sollte für ECS Exec für ECS-Cluster konfiguriert werden.
Description: Defender for Cloud festgestellt, dass ein ECS-Cluster, der Diensten mit ECS Exec zugeordnet ist, die Überwachungsprotokollierung nicht ordnungsgemäß konfiguriert hat. Ohne explizite Protokollierung kann die Befehlsaktivität nicht aufgezeichnet werden, was das Risiko eines nicht erkannten nicht autorisierten Zugriffs darstellt. (Keine zugehörige Richtlinie)
Schweregrad: Mittel
ECS Exec sollte für Fargate ECS-Dienste deaktiviert werden
Description: Defender for Cloud identifiziert, dass ECS Exec auf einem Amazon ECS Fargate-Dienst aktiviert ist. ECS Exec ermöglicht die Befehlsausführung innerhalb der Ausführung von Containern über AWS Systems Manager und stellt einen interaktiven Zugriffspfad bereit. Sofern für genehmigte Debugszenarien nicht explizit erforderlich, sollte ECS Exec deaktiviert bleiben. (Keine zugehörige Richtlinie)
Schweregrad: Mittel