Docker ホストのセキュリティ強化の推奨事項を確認する

Microsoft Defender for Cloud の Defender for Servers プランでは、IaaS Linux VM 上、または Docker コンテナーを実行している他の Linux マシン上でホストされているアンマネージド コンテナーが識別されます。 Defender for Servers は、これらの Docker ホストの構成を継続的に評価し、Center for Internet Security (CIS) Docker Benchmark と比較します。

この記事では、Dockerのホスト強化推奨事項のレビュー方法、設定問題の特定、そしてDefender for Cloudにおける問題の修正方法について説明します。

• Defender for Cloud には CIS Docker Benchmark のルールセット全体が含まれており、コンテナーがいずれかのコントロールを満たしていない場合は警告が表示されます。
• Defender for Serversが誤設定を見つけた場合、それに対処するためのセキュリティ推奨を生成します。
• 脆弱性が見つかると、1 つの推奨事項内にグループ化されます。

前提条件

Dockerのホスト強化推奨事項を確認する前に、以下の前提条件が満たされていることを確認してください。

• この機能を使うには、Defender for Servers プラン 2 が必要です。
• これらの CIS ベンチマーク チェックは、AKS マネージド インスタンスまたは Databricks マネージド VM では実行されません。
• ホストが接続するワークスペースに対する閲覧者アクセス許可が必要です。

Docker 構成に関する問題を特定する

以下の手順を使って、Defender for CloudでDockerホストの誤設定を見つけて修正してください。

1. Defender for Cloud のメニューから、推奨事項ページを開きます。

2. 推奨事項を [コンテナーのセキュリティ構成の脆弱性を修復する必要があります] でフィルター処理して、推奨事項を選択します。

   [推奨事項] ページには、影響を受けるリソース (Docker ホスト) が表示されます。

   

   注

   Docker を実行していないマシンは、 [適用されないリソース] タブに表示されます。これらは Azure Policy に [準拠] と表示されます。

3. 特定のホストで障害が発生した CIS コントロールを表示して修復するには、調査するホストを選択します。

   ヒント

   [資産インベントリ] ページで開始し、そこからこの推奨事項に到達した場合は、[推奨事項] ページの [アクションの実行] ボタンを選択します。

   

   Log Analytics は、実行できる状態のカスタム操作が表示された状態で開きます。 既定のカスタム クエリには、問題を解決するためのガイドラインと共に評価済みの失敗したルールの全一覧が含まれています。

   

4. 必要に応じて、クエリ パラメーターを調整します。

5. コマンドが適切であり、ホストの準備ができていることを確認したら、 [実行] を選択します。

次のステップ