Regels voor gated deployment configureren voor Kubernetes-containerinstallatiekopieën

In dit artikel wordt uitgelegd hoe u regels voor gated implementatie configureert in Microsoft Defender for Containers.

Afgeschermde implementatie maakt gebruik van een admissioncontroller om containerimages te evalueren voordat deze worden toegelaten tot een Kubernetes-cluster. Het maakt gebruik van scanresultaten voor beveiligingsproblemen van ondersteunde containerregisters om implementaties te controleren of te weigeren wanneer installatiekopieën niet voldoen aan het beveiligingsbeleid van uw organisatie.

Prerequisites

Voordat u begint, moet u ervoor zorgen dat:

• U hebt een Microsoft Azure-abonnement. Als u geen Azure-abonnement hebt, kunt u zich registreren voor een gratis abonnement.

• Defender voor Cloud is ingeschakeld voor uw Azure-abonnement.

• Defender voor containers is ingeschakeld voor de omgeving die uw Kubernetes-cluster en containerregister bevat, waarbij de volgende onderdelen zijn ingeschakeld:

  • Defender sensor met beveiligingscontrole
  • Registertoegang met beveiligingsresultaten

  Note

  Als het Kubernetes-cluster en het containerregister zich in verschillende omgevingen bevinden, schakelt u Defender voor containers en de vereiste onderdelen voor beide omgevingen in.

• AKS-clusters: Voor het cluster is een OIDC-verlener (OpenID Connect) ingeschakeld.

• Uw Kubernetes-omgeving en containerregister worden ondersteund voor gated deployment. Zie de ondersteuningsmatrix voor Defender voor containers.

• De resultaten van de kwetsbaarheidsscan zijn beschikbaar voor de containerimages die u wilt evalueren. Gated deployment maakt gebruik van resultaten van evaluatie van beveiligingsproblemen van ondersteunde registers.

• U beschikt over de vereiste machtigingen:

  • Als u gated-implementatieregels wilt maken of wijzigen, hebt u beveiligingsbeheerder of hogere machtigingen nodig.
  • Als u gated-implementatieregels wilt weergeven, hebt u beveiligingslezer of hogere machtigingen nodig.

Een gecontroleerde implementatieregel configureren

1. Meld u aan bij het Azure-portaal.

2. Ga naar Microsoft Defender voor Cloud>Omgevingsinstellingen.

3. Selecteer Beveiligingsregels.

   

4. Selecteer Evaluatie vanbeveiligingsproblemen met >.

   

   Note

   Standaard maakt Defender for Containers, nadat aan de vereiste voorwaarden is voldaan, een auditregel die implementaties van containerimages met hoge of kritieke kwetsbaarheden markeert.

5. Selecteer Regel toevoegen.

6. Voer een regelnaam in.

7. Selecteer een actie:

   • Audit: Staat de implementatie toe en maakt een toelatingsgebeurtenis ter beoordeling.
   • Weigeren: blokkeert implementaties die overeenkomen met de regelvoorwaarden.

   Tip

   Begin met Controle om inzicht te hebben in het effect van de regel voordat u de modus Weigeren gebruikt om implementaties te blokkeren.

   Note

   De weigeringsmodus kan tijdens de uitrol een vertraging van één of twee seconden veroorzaken, omdat de containerimage wordt geëvalueerd voordat de workload tot het cluster wordt toegelaten.

8. Voer indien nodig een regelbeschrijving in.

9. Voer een bereiknaam in.

10. Selecteer het cloudbereik.

11. Behoud onder Resourcebereik het standaardbereik of selecteer Voorwaarde toevoegen om het regelbereik te beperken.

    Tip

    Begin met een beperkt bereik, zoals naamruimte of implementatie, voordat u bredere afdwinging toepast.

    

12. Kies Volgende.

13. Schakel Alle implementaties met ontbrekende artefacten blokkeren in als u implementaties wilt blokkeren wanneer artefacten met bevindingen over kwetsbaarheden niet beschikbaar zijn.

14. Selecteer Voorwaarde toevoegen en definieer ten minste één voorwaarde voor de regel.

    

15. Kies Volgende.

16. Als u specifieke beveiligingsproblemen wilt uitsluiten, selecteert u Toegestane beveiligingsproblemen toevoegen en voert u vervolgens de CVE-id's in die u wilt uitsluiten.

17. Als u de uitzondering voor beveiligingsproblemen tijdelijk wilt maken, schakelt u de tijdsgrens in en selecteert u vervolgens een geldige datum tot de datum.

18. Als u specifieke resources wilt uitsluiten, selecteert u Uitzondering toevoegen en definieert u vervolgens de uitzondering op basis van resources.

    

19. Selecteer Regel toevoegen.

Gated-implementatiegebeurtenissen bewaken

U kunt gebeurtenissen van gated implementaties controleren om regelbeoordelingen, geactiveerde acties en getroffen resources te bekijken. Gebruik deze gebeurtenissen om regelbereik, voorwaarden en uitzonderingen te verfijnen.

Een specifieke toelatingsgebeurtenis onderzoeken:

1. Meld u aan bij het Azure-portaal.

2. Ga naar Microsoft Defender voor Cloud>Omgevingsinstellingen.

3. Selecteer Beveiligingsregels.

4. Selecteer Gated Deployment>Admission Monitoring.

   

5. Selecteer een gebeurtenis in de lijst.

   In het detailvenster ziet u:

   • De tijdstempel en toegangsactie voor gebeurtenissen.
   • De digest van de containerimage, gedetecteerde schendingen en geactiveerde regel.
   • Het beleid en de criteria voor kwetsbaarheidsbeoordeling die voor de evaluatie worden gebruikt.
   • De regelvoorwaarden en uitzonderingen die zijn toegepast.

   

Een gecontroleerde uitrolregel uitschakelen of verwijderen

Een regel voor gated deployment uitschakelen of verwijderen:

1. Meld u aan bij het Azure-portaal.

2. Ga naar Microsoft Defender voor Cloud>Omgevingsinstellingen.

3. Selecteer Beveiligingsregels.

4. Selecteer het tabblad Evaluatie van beveiligingsproblemen .

5. Selecteer de regel.

6. Selecteer Regel uitschakelen of verwijderen.

Verwante onderwerpen

• Gecontroleerde implementatie voor Kubernetes-containerimages
• Het oplossen van problemen met gated deployment in Kubernetes
• Evaluaties van beveiligingsproblemen voor ondersteunde omgevingen