Wykrywanie i blokowanie złośliwego oprogramowania w środowisku uruchomieniowym kontenerów

Oprogramowanie chroniące przed złośliwym kodem środowiska uruchomieniowego kontenera wykrywa i blokuje złośliwe oprogramowanie, gdy kontener uruchamia plik wykonywalny, który jest identyfikowany jako złośliwy.

Ta funkcja wysyła alerty i może blokować wykonywanie złośliwego oprogramowania.

Można zdefiniować zasady ochrony przed złośliwym kodem, które ustawiają warunki alertów i blokowania. Te zasady pomagają odróżnić uzasadnione działania od potencjalnych zagrożeń.

Wykrywanie i blokowanie oprogramowania chroniącego przed złośliwym kodem środowiska uruchomieniowego kontenera jest częścią planu Defender for Containers. Ta funkcja jest dostępna dla usług Azure Kubernetes Service (AKS), Amazon Elastic Kubernetes Service (EKS) i Google Kubernetes Engine (GKE).

Wymagania wstępne

• Usługa Defender for Containers jest włączona w Twojej subskrypcji.

  • Włącz czujnik Defender for Containers w subskrypcjach i łącznikach.

• Aby utworzyć i zmodyfikować zasady ochrony przed złośliwym kodem, musisz mieć uprawnienia administratora zabezpieczeń lub wyższego poziomu w dzierżawie. Aby wyświetlić zasady ochrony przed złośliwym kodem, musisz mieć uprawnienia na poziomie Security Reader lub wyższym w dzierżawie.

• Oprócz podstawowych wymagań dotyczących pamięci czujnika i jednostki centralnej (CPU) potrzebne są:

  Składnik	Żądanie	Limit
  CPU	50 m	300 m
  Memory	128Mi	500Mi

Dowiedz się więcej na temat wykrywania i blokowania złośliwego oprogramowania.

Components

Następujące składniki są częścią wykrywania i blokowania oprogramowania chroniącego przed złośliwym kodem:

• Ulepszony czujnik, który wykrywa i zapobiega złośliwemu oprogramowaniu.
• Opcje konfiguracji zasad ochrony przed złośliwym kodem.
• Alerty ochrony przed złośliwym kodem.

Włączanie wykrywania i blokowania oprogramowania chroniącego przed złośliwym kodem

Oprogramowanie chroniące przed złośliwym kodem nie jest domyślnie włączone, ponieważ używa dodatkowych zasobów klastra. Użyj jednej z następujących metod na podstawie platformy klastra.

Azure Kubernetes Service (AKS)

Kolektor ochrony przed złośliwym oprogramowaniem można włączyć jedną z poniższych metod:

--set microsoft-defender-for-containers-sensor.antimalwareCollector.enabled=true

az rest --method GET `
  --url "https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerService/managedClusters/{clusterName}?api-version=2026-03-02-preview" `
  --query "properties.securityProfile.defender" `
  --output json

{
  "location": "<cluster-location>",
  "properties": {
    "securityProfile": {
      "defender": {
        "antimalware": {
          "enabled": true
        },
        "logAnalyticsWorkspaceResourceId": "/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.OperationalInsights/workspaces/{workspaceName}",
        "securityMonitoring": {
          "enabled": true
        }
      }
    }
  }
}

az rest --method PUT `
  --url "https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroup}/providers/Microsoft.ContainerService/managedClusters/{clusterName}?api-version=2026-03-02-preview" `
  --body "@enable-am.json"

Amazon EKS i Google GKE

W przypadku połączonych klastrów wielochmurowych można włączyć moduł zbierający chroniący przed złośliwym kodem przy użyciu jednej z następujących metod:

az k8s-extension create \
  --name microsoft.azuredefender.kubernetes \
  --extension-type microsoft.azuredefender.kubernetes \
  --cluster-name <cluster-name> \
  --resource-group <resource-group> \
  --cluster-type connectedClusters \
  --configuration-settings antimalwareCollector.enabled='true'

--set microsoft-defender-for-containers-sensor.antimalwareCollector.enabled=true

Dodawanie reguł ochrony przed złośliwym kodem

Po zainstalowaniu czujnika z włączonym oprogramowaniem chroniącym przed złośliwym kodem domyślnie konfiguruje trzy reguły ochrony przed złośliwym kodem. Te reguły obejmują:

• Malware alert on binaries not originated from original image: sugerowana reguła w sytuacjach, w których system wykrywa dryfowany plik binarny.
• Default antimalware workload rule.
• Default antimalware host rule.

Dwie domyślne reguły antywirusowego oprogramowania (obciążenie i host) mają zastosowanie do każdej potencjalnej sytuacji, jeśli żadna inna reguła nie zostanie zastosowana wcześniej. Możesz modyfikować tylko akcje reguł domyślnych i ustawiać je na alerty, blokowanie lub ignorowanie.

Możesz utworzyć nowe reguły ochrony przed złośliwym kodem, aby określić, czy wykryte złośliwe oprogramowanie jest ignorowane, generuje alert lub jest blokowane. Każda reguła może definiować warunki generowania alertów. Ta struktura umożliwia dostosowanie systemu do konkretnych potrzeb i zmniejszenie liczby wyników fałszywie dodatnich. Wykluczenia można tworzyć, konfigurując reguły o wyższym priorytcie dla określonych zakresów, klastrów, obrazów, zasobników, etykiet Kubernetes lub przestrzeni nazw.

1. Zaloguj się do portalu Azure.

2. Przejdź do Defender dla Chmury>Ustawienia środowiska.

3. Wybierz pozycję Reguły zabezpieczeń. 

   

4. Wybierz pozycję Oprogramowanie chroniące przed złośliwym kodem>+ Dodaj regułę. 

   

5. Wprowadź nazwę reguły.

6. Wybierz dostępną akcję:

   • Ignoruj złośliwe oprogramowanie: Ignoruj wybrane złośliwe oprogramowanie.
   • Alert dotyczący złośliwego oprogramowania: Wygeneruj alert po wykryciu złośliwego oprogramowania, na przykład w przypadku wykrycia dryfowanego pliku binarnego przez regułę.
   • Blokuj złośliwe oprogramowanie: Zablokuj uruchamianie złośliwego oprogramowania.

7. Wprowadź nazwę zakresu.

8. Wybierz zakres chmury i, w razie potrzeby, określoną subskrypcję.

9. W razie potrzeby wybierz zakres zasobów.

10. W razie potrzeby dodaj warunki do zakresu zasobu na podstawie następujących kategorii: Nazwa kontenera, Nazwa obrazu, przestrzeń nazw, etykiety zasobnika, nazwa zasobnika lub nazwa klastra. Następnie wybierz operator: Rozpoczyna się od, Kończy się, Równa lub Zawiera. Na koniec wprowadź wartość, która ma być zgodna. Możesz dodać dowolną liczbę warunków, wybierając pozycję +Dodaj warunek.

11. W razie potrzeby zaznacz pole wyboru, aby wykluczyć pliki binarne z obrazu kontenera.

12. W razie potrzeby dodaj listę dozwolonych procesów, aby określić procesy, które mogą być uruchamiane w kontenerze. Jeśli proces nie znajduje się na liście, zostanie wygenerowany alert.

13. Wybierz opcję Zastosuj.

14. Wybierz opcję Zapisz.

Po upływie 30 minut czujniki w chronionych klastrach zostaną zaktualizowane przy użyciu nowej reguły.

Zarządzanie regułami ochrony przed złośliwym kodem

Na podstawie otrzymywanych i przeglądanych alertów może być konieczne dostosowanie reguł w zasadach ochrony przed złośliwym kodem. Te korekty mogą obejmować warunki uściśliania, dodawanie reguł lub usuwanie reguł, które generują wiele wyników fałszywie dodatnich. Celem jest zrównoważenie potrzeb związanych z zabezpieczeniami z wydajnością operacyjną przy użyciu skutecznych zasad i reguł ochrony przed złośliwym kodem.

Skuteczne wykrywanie antymalware opiera się na Twojej aktywnej roli w konfigurowaniu, monitorowaniu i dostosowywaniu zasad Twojego środowiska.

Reguły można rozmieścić według priorytetu, wybierając strzałkę w górę lub w dół. Reguła o najwyższym priorytcie (najniższa liczba) jest uruchamiana jako pierwsza. Jeśli reguła jest zgodna, akcja reguły uruchomi się i ocena kończy się. Jeśli reguła nie jest zgodna, system ocenia następną regułę. Jeśli żadna reguła nie pasuje, system stosuje reguły domyślne.

Każdą regułę można zarządzać za pomocą kontrolek paska narzędzi.

Pasek narzędzi umożliwia edytowanie, duplikowanie, usuwanie, włączanie i wyłączanie reguł. Wybierz regułę i akcję.

Wyłączenie reguły umożliwia zachowanie reguły i jej konfiguracji bez stosowania reguły. Ta opcja jest przydatna, jeśli chcesz tymczasowo zatrzymać regułę bez utraty jej konfiguracji.

Po skonfigurowaniu reguł wybierz pozycję Zapisz , aby zastosować zmiany i utworzyć zasady. W ciągu 30 minut czujniki w chronionych klastrach są aktualizowane przy użyciu nowych zasad.

Następny krok