Habilite el plan de Microsoft Defender para contenedores en Microsoft Defender para la nube para proteger los clústeres de Kubernetes y las cargas de trabajo de contenedor. Este artículo te guía para habilitar el plan en el portal de Azure para clústeres de Azure Kubernetes Service (AKS), Amazon Elastic Kubernetes Service (EKS), Google Kubernetes Engine (GKE) y los clústeres Kubernetes habilitados para Azure Arc. Cuando activas el plan, puedes configurar componentes de protección como la detección de amenazas en tiempo de ejecución, el escaneo de vulnerabilidades y las evaluaciones de postura de seguridad.
Prerequisites
Antes de comenzar, asegúrese de que:
Habilite el plan de Defender para contenedores
Para habilitar el plan Defender for Containers para tus clústeres AKS en el portal de Azure:
Inicie sesión en Azure Portal.
Vaya a Microsoft Defender para la nube>Configuración del entorno.
Seleccione la suscripción donde se encuentran los clústeres de AKS.
En la página Planes de Defender, busque la fila Contenedores y cambie el estado a Activado.
Seleccione Configuración en la fila Plan de contenedores.
Activar o desactivar los componentes relevantes de Defender para contenedores: Activado o Desactivado
Escaneo sin agente para máquinas
Realiza la detección de vulnerabilidades y secretos sin agente en los nodos de Kubernetes.
- Para excluir máquinas del análisis sin agente, agregue el nombre y el valor de la etiqueta de exclusión.
Sensor de Defender
Implementa el sensor de Defender en nodos de clúster para recopilar telemetría de seguridad en tiempo de ejecución que se usa para la detección de amenazas.
-
Enable Defender Security Gating: Agrega una capa de control de admisión que evalúa las implementaciones en las directivas de seguridad antes de que las cargas de trabajo se ejecuten en el clúster.
-
Enable Defender Runtime Anti Malware: Habilita la detección de malware en tiempo de ejecución para hosts y contenedores de Kubernetes y puede bloquear opcionalmente la ejecución de archivos malintencionados en tiempo real.
Azure Policy
Despliega el complemento de Azure Policy para Kubernetes para habilitar las evaluaciones de la postura de seguridad de Kubernetes y las recomendaciones de seguridad relacionadas.
Acceso a la API de Kubernetes
Permite que Defender for Cloud accedan a la API de Kubernetes para el inventario de clústeres, el análisis de configuración y las funcionalidades que dependen de los metadatos de Kubernetes.
Acceso al Registro
Habilita la evaluación de vulnerabilidades sin agente para las imágenes de contenedor almacenadas en registros conectados.
Captura de pantalla de la página de Configuración y supervisión del plan de Contenedores en Microsoft Defender para la Nube, mostrando los componentes disponibles de Defender para Contenedores.
Selecciona Continuar.
Haga clic en Guardar.
Prerequisites
Antes de comenzar, asegúrese de que:
Habilite el plan de Defender para contenedores
Para habilitar el plan Defender for Containers para tus clústeres EKS:
Inicie sesión en Azure Portal.
Vaya a Microsoft Defender para la nube>Configuración del entorno.
Seleccione el conector de AWS correspondiente.
En la página Planes de Defender, busque la fila Contenedores y cambie el estado a Activado.
Seleccione Configuración en la fila Plan de contenedores.
Activar los componentes pertinentes de Defender para Contenedores:
Protección contra amenazas sin agente
Recopila los registros de auditoría del plano de control de Kubernetes y los analiza para las detecciones de amenazas del plano de control. Los registros se enrutan a través de servicios de AWS (como CloudWatch, S3, Kinesis y SQS).
- Si está habilitado, establezca el período de retención del registro de auditoría (en días) para controlar cuánto tiempo se almacenan los registros de auditoría del plano de control.
Aprovisionamiento automático del sensor de Defender para Azure Arc
Implementa el sensor de Defender como una extensión de Kubernetes Azure Arc. El sensor se ejecuta como daemonSet en nodos de clúster y proporciona detección de amenazas en tiempo de ejecución basada en la telemetría de nodos y cargas de trabajo.
Note
Cuando se habilita el aprovisionamiento automático, el sensor de Defender se instala después de detectar el clúster y puede tardar varias horas en completarse.
Aprovisionamiento automático de la extensión de Azure Policy para Azure Arc
Implementa la extensión Azure Policy en el clúster para habilitar las evaluaciones de la posición de seguridad de Kubernetes y las recomendaciones de seguridad relacionadas.
Acceso a la API de Kubernetes
Permite que Defender for Cloud accedan al servidor de API de Kubernetes para el inventario de clústeres, el análisis de configuración y las funcionalidades que dependen de los metadatos y el estado de Kubernetes.
Acceso al Registro Habilita la evaluación de vulnerabilidades sin agente para imágenes de contenedor en Amazon ECR. Las imágenes insertadas en ECR se examinan automáticamente (normalmente en un plazo de 24 horas).
Haga clic en Guardar.
Seleccione Siguiente: Configurar el acceso >.
Vuelva a generar la plantilla de AWS CloudFormation para el conector y úsela para actualizar la pila existente en AWS CloudFormation.
Seleccione Siguiente: Revisar y generar >.
Selecciona Actualización.
Prerequisites
Antes de comenzar, asegúrese de que:
Habilite el plan de Defender para contenedores
Para habilitar el plan Defender for Containers para tus clústeres GKE:
Inicie sesión en Azure Portal.
Vaya a Microsoft Defender para la nube>Configuración del entorno.
Seleccione el conector de GCP pertinente.
En la página Planes de Defender, busque la fila Contenedores y cambie el estado a Activado.
Seleccione Configuración en la fila Plan de contenedores.
Activar los componentes pertinentes de Defender para Contenedores:
Protección contra amenazas sin agente
Recopila los registros de auditoría del plano de control de Kubernetes y los analiza para las detecciones de amenazas del plano de control. Los registros se exportan desde GKE a su proyecto de Google Cloud.
Aprovisionamiento automático del sensor de Defender para Azure Arc
Implementa el sensor de Defender como una extensión de Kubernetes Azure Arc. El sensor se ejecuta como daemonSet en nodos de clúster y proporciona detección de amenazas en tiempo de ejecución basada en la telemetría de nodos y cargas de trabajo.
-
Habilitar el Filtrado de Seguridad de Defender
Agrega una capa de control de admisión que evalúa las implementaciones con respecto a las directivas de seguridad antes de que las cargas de trabajo se ejecuten en el clúster.
Note
Cuando se habilita el aprovisionamiento automático, el sensor de Defender se instala después de detectar el clúster y puede tardar varias horas en completarse.
Aprovisionamiento automático de la extensión de Azure Policy para Azure Arc
Implementa la extensión Azure Policy en el clúster para habilitar las evaluaciones de la posición de seguridad de Kubernetes y las recomendaciones de seguridad relacionadas.
Acceso a la API de Kubernetes
Permite que Defender for Cloud accedan al servidor de API de Kubernetes para el inventario de clústeres, el análisis de configuración y las funcionalidades que dependen de los metadatos y el estado del clúster de Kubernetes.
Acceso al Registro
Habilita la evaluación de vulnerabilidades sin agente para las imágenes de contenedor almacenadas en Google Container Registry (GCR) y Artifact Registry.
Haga clic en Guardar.
Seleccione Siguiente: Configurar el acceso >.
Vuelva a generar y vuelva a ejecutar el script de incorporación en el proyecto de GCP.
Seleccione Siguiente: Revisar y generar >.
Selecciona Actualización.
Prerequisites
Antes de comenzar, asegúrese de que:
Habilite el plan de Defender para contenedores
Para habilitar el plan Defender for Containers para tus clústeres Kubernetes habilitados con Azure Arc:
Inicie sesión en Azure Portal.
Vaya a Microsoft Defender para la nube>Configuración del entorno.
Seleccione la suscripción Azure que contiene el recurso de clúster de Kubernetes habilitado para Azure Arc.
En la página Planes de Defender, busque la fila Contenedores y cambie el estado a Activado.
Seleccione Configuración en la fila Plan de contenedores.
Activar los componentes pertinentes de Defender para Contenedores:
Escaneo sin agente para máquinas
Realiza la detección de vulnerabilidades y secretos sin agente en los nodos de Kubernetes.
Sensor de Defender
Implementa el sensor de Defender en nodos de clúster para recopilar telemetría de seguridad en tiempo de ejecución que se usa para la detección de amenazas.
Azure Policy
Despliega el complemento de Azure Policy para Kubernetes para habilitar las evaluaciones de la postura de seguridad de Kubernetes y las recomendaciones de seguridad relacionadas.
Acceso a la API de Kubernetes
Permite que Defender for Cloud accedan a la API de Kubernetes para el inventario de clústeres, el análisis de configuración y las funcionalidades que dependen de los metadatos de Kubernetes.
Acceso al Registro
Habilita la evaluación de vulnerabilidades sin agente para las imágenes de contenedor almacenadas en registros conectados.
Captura de pantalla de la página de Configuración y supervisión del plan de Contenedores en Microsoft Defender para la Nube, mostrando los componentes disponibles de Defender para Contenedores.
Haga clic en Guardar.
Comprobación de que el plan está habilitado
Para confirmar que el plan Defender for Containers está habilitado y que los componentes requeridos están activos:
Inicie sesión en Azure Portal.
Vaya a Microsoft Defender para la nube>Configuración del entorno.
Selecciona la suscripción o conector donde activaste Defender para contenedores.
Compruebe que Containers está establecido en Activado.
Seleccione Configuración junto a Contenedores y confirme que los componentes necesarios están habilitados.
Contenido relacionado
