Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
L'antimalware di runtime del contenitore rileva e blocca il malware quando un contenitore esegue un eseguibile identificato come dannoso.
Questa funzionalità invia avvisi e può bloccare l'esecuzione di malware.
È possibile definire criteri antimalware che impostano le condizioni per gli avvisi e il blocco. Questi criteri consentono di distinguere l'attività legittima dalle potenziali minacce.
Il rilevamento e blocco antimalware del runtime dei container fa parte del piano di Defender per Container. Questa funzionalità è disponibile per il servizio Azure Kubernetes, il servizio Amazon Elastic Kubernetes e il motore di Google Kubernetes (GKE).
Prerequisiti
Defender per i contenitori abilitati nella sottoscrizione.
- Abilitare il sensore Defender per contenitori nelle sottoscrizioni e nei connettori.
Per creare e modificare i criteri antimalware, sono necessarie autorizzazioni di amministratore della sicurezza o superiori nel tenant. Per visualizzare i criteri antimalware, sono necessarie autorizzazioni di lettura per la sicurezza o superiori nel tenant.
Oltre ai requisiti della memoria del sensore principale e dell'unità di elaborazione centrale (CPU), è necessario:
Componente Richiedi Limit CPU (unità centrale di elaborazione) 50m 300 m Memory 128Mi 500 Mebibyte
Ulteriori informazioni sulla disponibilità delle funzioni di rilevamento e blocco antimalware.
Componenti
I componenti seguenti fanno parte del rilevamento e del blocco antimalware:
- Un sensore avanzato che rileva e impedisce il malware.
- Opzioni di configurazione dei criteri antimalware.
- Avvisi antimalware.
Abilitare il rilevamento e il blocco antimalware
L'antimalware non è abilitato per impostazione predefinita perché usa risorse cluster aggiuntive. Usare uno dei metodi seguenti in base alla piattaforma del cluster.
Il servizio Azure Kubernetes (AKS)
È possibile abilitare l'agente di raccolta antimalware usando uno dei metodi seguenti:
Nella configurazione del sensore Defender attivare Abilita antimalware di runtime Defender.
Amazon EKS e Google GKE
Per i cluster multicloud connessi, è possibile abilitare l'agente di raccolta antimalware usando uno dei metodi seguenti:
Nella pagina di abilitazione attivare Il provisioning automatico Defender sensore di Azure Arc e Abilita antimalware Defender.
Aggiungere regole antimalware
Quando si installa il sensore con antimalware abilitato, vengono configurate tre regole antimalware per impostazione predefinita. Queste regole includono:
-
Malware alert on binaries not originated from original image: regola suggerita per situazioni in cui il sistema rileva un file binario deviato. -
Default antimalware workload rule. -
Default antimalware host rule.
Le due regole antimalware predefinite (carico di lavoro e host) si applicano a ogni potenziale situazione se nessun'altra regola corrisponde per prima. È possibile modificare solo le azioni delle regole predefinite e impostarle su avviso, blocco o ignorare.
È possibile creare nuove regole antimalware per specificare se il malware rilevato viene ignorato, genera un avviso o viene bloccato. Ogni regola può definire le condizioni per la generazione di avvisi. Questa struttura consente di personalizzare il sistema in base alle esigenze specifiche e ridurre i falsi positivi. È possibile creare esclusioni configurando regole con priorità più alta per ambiti, cluster, immagini, pod, etichette Kubernetes o spazi dei nomi specifici.
Accedi al portale di Azure.
Passare a Defender per il cloud>Impostazioni ambiente.
Selezionare Regole di sicurezza.
Selezionare Antimalware>+ Aggiungi regola.
Immettere un nome di regola.
Selezionare un'azione disponibile:
- Ignora malware: Ignorare il malware selezionato.
- Avviso sul malware: Generare un avviso quando viene rilevato malware, ad esempio quando una regola rileva un file binario deviato.
- Blocca malware: Blocca l'esecuzione del malware.
Immettere un nome di ambito.
Selezionare un ambito cloud e, se necessario, una sottoscrizione specifica.
Se necessario, selezionare un ambito di risorsa.
Se necessario, aggiungere condizioni all'ambito della risorsa in base alle categorie seguenti: Nome contenitore, Nome immagine, Spazio dei nomi, Etichette pod, Nome pod o Nome cluster. Scegliere quindi un operatore: Inizia con, Termina con, Uguale o Contiene. Inserire infine il valore da corrispondere. È possibile aggiungere tutte le condizioni necessarie selezionando +Aggiungi condizione.
Se necessario, selezionare la casella di controllo per escludere i file binari dall'immagine del contenitore.
Se necessario, aggiungere un elenco Consenti per i processi per specificare i processi che possono essere eseguiti nel contenitore. Se un processo non è presente nell'elenco, viene generato un avviso.
Selezionare Applica.
Seleziona Salva.
Dopo 30 minuti, i sensori nei cluster protetti vengono aggiornati con la nuova regola.
Gestire le regole antimalware
In base agli avvisi ricevuti e esaminati, potrebbe essere necessario modificare le regole nei criteri antimalware. Queste modifiche possono includere condizioni di affinamento, aggiunta di regole o rimozione di regole che generano molti falsi positivi. L'obiettivo è bilanciare le esigenze di sicurezza con l'efficienza operativa usando criteri e regole antimalware efficaci.
Un rilevamento antimalware efficace si basa sul tuo ruolo attivo per la configurazione, il monitoraggio e la regolazione delle politiche per l'ambiente.
È possibile disporre le regole in base alla priorità selezionando la freccia su o giù. La regola con la priorità più alta (il numero più basso) viene eseguita per prima. Se una regola corrisponde, la relativa azione viene eseguita e la valutazione termina. Se una regola non corrisponde, il sistema valuta la regola successiva. Se nessuna regola corrisponde, il sistema applica le regole predefinite.
È possibile gestire ogni regola usando i controlli della barra degli strumenti.
La barra degli strumenti consente di modificare, duplicare, eliminare, abilitare e disabilitare le regole. Selezionare una regola e un'azione.
La disabilitazione di una regola consente di mantenere la regola e la relativa configurazione senza applicare la regola. Questa opzione è utile se si vuole arrestare temporaneamente una regola senza perderne la configurazione.
Dopo aver configurato le regole, selezionare Salva per applicare le modifiche e creare i criteri. Entro 30 minuti, i sensori nei cluster protetti vengono aggiornati con i nuovi criteri.