コンテナー ランタイムのマルウェア対策の検出とブロック

コンテナー ランタイムマルウェア対策は、悪意があると識別された実行可能ファイルをコンテナーが実行するときに、マルウェアを検出してブロックします。

この機能はアラートを送信し、マルウェアの実行をブロックできます。

アラートとブロックの条件を設定するマルウェア対策ポリシーを定義できます。 これらのポリシーは、正当なアクティビティと潜在的な脅威を区別するのに役立ちます。

コンテナー ランタイムのマルウェア対策の検出とブロックは、コンテナー計画のDefenderの一部です。 この機能は、Azure Kubernetes Service (AKS)、Amazon Elastic Kubernetes Service (EKS)、Google Kubernetes Engine (GKE) で使用できます。

前提条件

• お使いのサブスクリプションで Defender for Containers が有効になっています。

  • サブスクリプションとコネクタで Defender for Containers センサーを有効にします。

• マルウェア対策ポリシーを作成および変更するには、テナントに対するセキュリティ管理者以上のアクセス許可が必要です。 マルウェア対策ポリシーを表示するには、テナントに対するセキュリティ閲覧者以上のアクセス許可が必要です。

• コア センサー メモリと中央処理装置 (CPU) の要件に加えて、次のものが必要です。

  コンポーネント	依頼	Limit
  CPU	50メートル	300 m
  Memory	128Mi	500Mi

マルウェア対策の検出機能とブロック機能の可用性について詳しく知る

コンポーネント

次のコンポーネントは、マルウェア対策の検出とブロックの一部です。

• マルウェアを検出して防止する強化されたセンサー。
• マルウェア対策ポリシーの構成オプション。
• マルウェア対策アラート。

マルウェア対策の検出とブロックを有効にする

マルウェア対策は、追加のクラスター リソースを使用するため、既定では有効になっていません。 クラスター プラットフォームに基づいて、次のいずれかの方法を使用します。

Azure Kubernetes Service (AKS)

マルウェア対策コレクターを有効にするには、次のいずれかの方法を使用します。

--set microsoft-defender-for-containers-sensor.antimalwareCollector.enabled=true

az rest --method GET `
  --url "https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerService/managedClusters/{clusterName}?api-version=2026-03-02-preview" `
  --query "properties.securityProfile.defender" `
  --output json

{
  "location": "<cluster-location>",
  "properties": {
    "securityProfile": {
      "defender": {
        "antimalware": {
          "enabled": true
        },
        "logAnalyticsWorkspaceResourceId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}",
        "securityMonitoring": {
          "enabled": true
        }
      }
    }
  }
}

az rest --method PUT `
  --url "https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerService/managedClusters/{clusterName}?api-version=2026-03-02-preview" `
  --body "@enable-am.json"

Amazon EKS と Google GKE

接続されたマルチクラウド クラスターの場合は、次のいずれかの方法を使用してマルウェア対策コレクターを有効にすることができます。

az k8s-extension create \
  --name microsoft.azuredefender.kubernetes \
  --extension-type microsoft.azuredefender.kubernetes \
  --cluster-name <cluster-name> \
  --resource-group <resource-group> \
  --cluster-type connectedClusters \
  --configuration-settings antimalwareCollector.enabled='true'

--set microsoft-defender-for-containers-sensor.antimalwareCollector.enabled=true

マルウェア対策ルールを追加する

マルウェア対策が有効な状態でセンサーをインストールすると、既定で 3 つのマルウェア対策ルールが構成されます。 これらのルールには、次のものが含まれます。

• Malware alert on binaries not originated from original image: システムがドリフトしたバイナリを検出する場合に推奨されるルール。
• Default antimalware workload rule。
• Default antimalware host rule。

2 つの既定のマルウェア対策ルール (ワークロードとホスト) は、他のルールが最初に一致しない場合、すべての潜在的な状況に適用されます。 既定のルールのアクションのみを変更し、アラート、ブロック、または無視に設定できます。

新しいマルウェア対策ルールを作成して、検出されたマルウェアを無視するか、アラートを生成するか、ブロックするかを指定できます。 各ルールでは、アラートを生成するための条件を定義できます。 この構造により、特定のニーズに合わせてシステムを調整し、誤検知を減らすことができます。 特定のスコープ、クラスター、イメージ、ポッド、Kubernetes ラベル、または名前空間の優先順位の高い規則を構成することで、除外を作成できます。

1. Azure portal にサインインする

2. [Defender for Cloud]>[環境設定] に移動します。

3. [セキュリティ規則] を選択します。 

   

4. [ マルウェア対策>+ ルールの追加] を選択します。 

   

5. 規則名を入力します。

6. 使用可能なアクションを選択します。

   • マルウェアを無視する: 選択したマルウェアを無視します。
   • マルウェアに関するアラート: ルールがドリフトしたバイナリを検出したときなど、マルウェアが検出されたときにアラートを生成します。
   • マルウェアのブロック: マルウェアの実行をブロックします。

7. スコープ名を入力します。

8. クラウド スコープを選択し、必要に応じて特定のサブスクリプションを選択します。

9. 必要に応じて、リソース スコープを選択します。

10. 必要に応じて、コンテナー名、イメージ名、名前空間、ポッド ラベル、ポッド名、またはクラスター名のカテゴリに基づいて、リソース スコープに条件を追加します。 次に、演算子として で始まる、で終わる、に等しい、または を含む を選択します。 最後に、一致する値を入力します。 [+条件の追加] を選択して、必要な数の条件を追加できます。

11. 必要に応じて、コンテナー イメージからバイナリを除外するチェック ボックスをオンにします。

12. 必要に応じて、コンテナーでの実行を許可するプロセスを指定するプロセスの 許可リスト を追加します。 プロセスが一覧にない場合は、アラートが生成されます。

13. [適用] を選択します。

14. 保存を選びます。

30 分後、保護されたクラスター上のセンサーが新しい規則で更新されます。

マルウェア対策ルールを管理する

受信して確認するアラートに基づいて、マルウェア対策ポリシーのルールを調整することが必要になる場合があります。 これらの調整には、条件の絞り込み、ルールの追加、多くの誤検知を生成するルールの削除が含まれる場合があります。 目標は、効果的なマルウェア対策ポリシーとルールを使用して、セキュリティ ニーズと運用効率のバランスを取ることでします。

効果的なマルウェア対策検出は、環境のポリシーを構成、監視、調整する際のアクティブな役割に依存します。

上向き矢印または下向き矢印を選択すると、優先順位によってルールを配置できます。 優先度が最も高い (最も低い数の) ルールが最初に実行されます。 ルールが一致すると、ルール アクションが実行され、評価が終了します。 ルールが一致しない場合、システムは次のルールを評価します。 一致するルールがない場合は、既定のルールが適用されます。

各ルールは、ツール バー コントロールを使用して管理できます。

ツール バーを使用すると、ルールの編集、複製、削除、有効化、無効化を行うことができます。 ルールとアクションを選択します。

ルールを無効にすると、ルールを適用せずにルールとその構成を保持できます。 このオプションは、構成を失うことなく一時的にルールを停止する場合に便利です。

ルールを構成したら、[ 保存] を選択して変更を適用し、ポリシーを作成します。 30 分以内に、保護されたクラスター上のセンサーが新しいポリシーで更新されます。

次のステップ