Notitie
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen u aan te melden of de directory te wijzigen.
Voor toegang tot deze pagina is autorisatie vereist. U kunt proberen de mappen te wijzigen.
Antimalware voor containerruntime detecteert en blokkeert malware wanneer een container een uitvoerbaar bestand uitvoert dat als schadelijk wordt geïdentificeerd.
Met deze functie worden waarschuwingen verzonden en kan de uitvoering van malware worden geblokkeerd.
U kunt antimalwarebeleid definiëren waarmee voorwaarden voor waarschuwingen en blokkeringen worden ingesteld. Met deze beleidsregels kunt u legitieme activiteiten onderscheiden van mogelijke bedreigingen.
Detectie en blokkering van containerruntime-antimalware maakt deel uit van het Defender for Containers-plan. Deze functie is beschikbaar voor Azure Kubernetes Service (AKS), Amazon Elastic Kubernetes Service (EKS) en Google Kubernetes Engine (GKE).
Prerequisites
Defender voor containers ingeschakeld voor uw abonnement.
- Schakel de sensor voor Defender for Containers in op de abonnementen en connectoren.
Als u antimalwarebeleid wilt maken en wijzigen, hebt u beveiligingsbeheerder of hogere machtigingen voor de tenant nodig. Als u antimalwarebeleid wilt weergeven, hebt u beveiligingslezer of hogere machtigingen voor de tenant nodig.
Naast de vereisten voor het kernsensorgeheugen en de CPU-vereisten (Central Processing Unit), hebt u het volgende nodig:
Onderdeel Verzoek Limit CPU 50 m 300 m Memory 128Mi 500Mi
Meer informatie over detectie en blokkering van beschikbaarheid van antimalware.
Onderdelen
De volgende onderdelen maken deel uit van antimalwaredetectie en -blokkering:
- Een verbeterde sensor die malware detecteert en voorkomt.
- Configuratieopties voor antimalwarebeleid.
- Waarschuwingen voor antimalware.
Detectie en blokkering van antimalware inschakelen
Antimalware is niet standaard ingeschakeld omdat er extra clusterbronnen worden gebruikt. Gebruik een van de volgende methoden op basis van uw clusterplatform.
Azure Kubernetes Service (AKS)
U kunt de antimalwareverzamelaar inschakelen met een van de volgende methoden:
Schakel in de configuratie van de Defender-sensor Defender Runtime Anti-malware inschakelen in.
Amazon EKS en Google GKE
Voor verbonden clusters met meerdere clouds kunt u de antimalwareverzamelaar inschakelen met een van de volgende methoden:
Schakel op de pagina Inschakeling Automatisch de sensor van Defender inrichten voor Azure Arc en Defender Antimalware inschakelen in.
Antimalwareregels toevoegen
Wanneer u de sensor installeert waarvoor antimalware is ingeschakeld, worden standaard drie antimalwareregels geconfigureerd. Deze regels zijn onder andere:
-
Malware alert on binaries not originated from original image: een voorgestelde regel voor situaties waarin het systeem een afgedwaald binair bestand detecteert. -
Default antimalware workload rule. -
Default antimalware host rule.
De twee standaard antimalwareregels (workload en host) zijn van toepassing in elke mogelijke situatie, als er geen andere regel als eerste overeenkomt. U kunt de standaardregels alleen wijzigen en deze instellen op waarschuwingen, blokkeren of negeren.
U kunt nieuwe antimalwareregels maken om op te geven of gedetecteerde malware wordt genegeerd, een waarschuwing wordt gegenereerd of wordt geblokkeerd. Elke regel kan de voorwaarden voor het genereren van waarschuwingen definiëren. Met deze structuur kunt u het systeem aanpassen aan uw specifieke behoeften en fout-positieven verminderen. U kunt uitsluitingen maken door regels met een hogere prioriteit te configureren voor specifieke bereiken, clusters, afbeeldingen, pods, Kubernetes-labels of naamruimten.
Meld u aan bij het Azure-portaal.
Ga naar Defender voor Cloud>Omgevingsinstellingen.
Selecteer Beveiligingsregels.
Selecteer Antimalware>+ Regel toevoegen.
Voer een regelnaam in.
Selecteer een beschikbare actie:
- Malware negeren: Negeer de geselecteerde malware.
- Waarschuwing bij malware: Genereer een waarschuwing wanneer malware wordt gedetecteerd, bijvoorbeeld wanneer een regel een gewijzigd binair bestand detecteert.
- Malware blokkeren: Voorkom dat de malware wordt uitgevoerd.
Voer een bereiknaam in.
Selecteer een cloudbereik en, indien nodig, een specifiek abonnement.
Selecteer indien nodig een resourceomvang.
Voeg indien nodig voorwaarden toe aan het resourcebereik op basis van de volgende categorieën: Containernaam, Afbeeldingsnaam, Naamruimte, Podlabels, Podnaam of Clusternaam. Kies vervolgens een operator: Begint met, Eindigt met, Is gelijk aan of Bevat. Voer ten slotte de overeenkomende waarde in. U kunt zoveel voorwaarden toevoegen als nodig is door +Voorwaarde toevoegen te selecteren.
Schakel indien nodig het selectievakje in om binaries uit te sluiten van de containerimage.
Voeg indien nodig een acceptatielijst toe voor processen om de processen op te geven die mogen worden uitgevoerd in de container. Als een proces niet in de lijst staat, wordt er een waarschuwing gegenereerd.
Selecteer Toepassing.
Kies Opslaan.
Na 30 minuten worden de sensoren op de beveiligde clusters bijgewerkt met de nieuwe regel.
Antimalwareregels beheren
Op basis van de waarschuwingen die u ontvangt en bekijkt, moet u mogelijk de regels in het antimalwarebeleid aanpassen. Deze aanpassingen kunnen bestaan uit het verfijnen van voorwaarden, het toevoegen van regels of het verwijderen van regels die veel valse positieven genereren. Het doel is om de beveiligingsbehoeften te verdelen met operationele efficiëntie door gebruik te maken van effectief antimalwarebeleid en -regels.
Effectieve antimalwaredetectie is afhankelijk van uw actieve rol bij het configureren, bewaken en aanpassen van beleid voor uw omgeving.
U kunt regels rangschikken op prioriteit door de pijl-omhoog of pijl-omlaag te selecteren. De regel met de hoogste prioriteit (het laagste getal) wordt eerst uitgevoerd. Als een regel voldoet, wordt de actie van de regel uitgevoerd en eindigt de evaluatie. Als een regel niet overeenkomt, evalueert het systeem de volgende regel. Als er geen regel overeenkomt, past het systeem de standaardregels toe.
U kunt elke regel beheren met behulp van de werkbalkbesturingselementen.
Met de werkbalk kunt u regels bewerken, dupliceren, verwijderen, inschakelen en uitschakelen. Selecteer een regel en een actie.
Als u een regel uitschakelt, kunt u de regel en de configuratie ervan behouden zonder de regel toe te passen. Deze optie is handig als u een regel tijdelijk wilt stoppen zonder de configuratie te verliezen.
Nadat u de regels hebt geconfigureerd, selecteert u Opslaan om de wijzigingen toe te passen en maakt u het beleid. Binnen 30 minuten worden de sensoren op de beveiligde clusters bijgewerkt met het nieuwe beleid.