Zarządzanie lukami w zabezpieczeniach dla kontenerów

Microsoft Defender dla Chmury używa rozwiązania Zarządzanie lukami w zabezpieczeniach w usłudze Microsoft Defender (MDVM) do identyfikowania luk w zabezpieczeniach w obrazach w rejestrze oraz w obrazach kontenerów używanych przez uruchomione kontenery w obsługiwanych środowiskach Kubernetes. Wyniki są udostępniane jako zalecenia dotyczące zabezpieczeń w Microsoft Defender dla Chmury.

Note

Microsoft Defender dla Chmury przechodzi z grupowanych zaleceń dotyczących luk w zabezpieczeniach kontenerów do poszczególnych zaleceń. Podczas przejścia grupowane i indywidualne rekomendacje mogą być wyświetlane obok siebie w portalu. Dowiedz się więcej na temat przechodzenia z grupowania do poszczególnych zaleceń.

Ocena luk w zabezpieczeniach kontenerów jest dostępna za pośrednictwem Defender dla kontenerów i, w przypadku obsługiwanych scenariuszy, CSPM w usłudze Defender. Po włączeniu CSPM w usłudze Defender zalecenia dotyczące luk w zabezpieczeniach kontenerów mogą obejmować kontekstowe sygnały ryzyka i priorytetyzację opartą na ryzyku.

Ocena luk w zabezpieczeniach rejestru

Ocena podatności rejestru identyfikuje podatności obrazów kontenerów przechowywanych w obsługiwanych rejestrach przed wdrożeniem.

Obsługiwane rejestry obejmują:

  • Azure Container Registry (ACR)
  • Amazon Elastic Container Registry (ECR)
  • Rejestr artefaktów Google (GAR)
  • Google Container Registry (GCR)
  • Skonfigurowane rejestry zewnętrzne, takie jak Docker Hub i JFrog Artifactory

Ocena luk w zabezpieczeniach rejestru wymaga włączenia dostępu do rejestru .

Obsługa skanowania rejestru

Skanowanie rejestru obsługuje:

  • Ocena luk w zabezpieczeniach pakietów systemu operacyjnego (Linux i Windows)
  • Ocena luk w zabezpieczeniach pakietu językowego (tylko system Linux)

Aby uzyskać pełną listę obsługiwanych systemów operacyjnych, typów pakietów, rejestrów i chmur, zobacz macierz obsługi Defender for Containers.

Skanowanie środowiska uruchomieniowego pod kątem uruchamiania kontenerów

Ocena podatności kontenerów w czasie działania analizuje obrazy kontenerów wykorzystywane przez uruchomione kontenery w obsługiwanych środowiskach Kubernetes.

Istnieją dwa scenariusze środowiska uruchomieniowego:

  • Wyniki środowiska uruchomieniowego z kontekstem rejestru: Obrazy skanowane przez rejestr są mapowane na uruchomione obciążenia w klastrze.

    • Wymaga dostępu do rejestru i dostępu do interfejsu API K8S lub czujnika Defender.

  • Skanowanie środowiska uruchomieniowego niezależnego od rejestru: Obrazy są zbierane bezpośrednio ze środowiska uruchomieniowego i skanowane niezależnie od rejestru źródłowego.

    • Wymaga skanowania bez agenta dla maszyn i dostępu do interfejsu API kubernetes lub czujnika Defender.

Ocena środowiska uruchomieniowego może obejmować:

  • Kontenery należące do klienta
  • Dodatki kubernetes
  • Narzędzia innych firm uruchomione w klastrze

Mimo że ocena środowiska uruchomieniowego może być niezależna od rejestru, połączenie z obsługiwanymi rejestrami pomaga zachować kontekst obrazu i repozytorium na potrzeby procesów naprawczych.

Note

Ocena podatności środowiska uruchomieniowego skanuje obrazy kontenerów działających w klastrze. Nie skanuje warstwy środowiska uruchomieniowego kontenera.

Ocena luk w zabezpieczeniach środowiska uruchomieniowego nie jest obsługiwana w przypadku obrazów kontenerów uruchomionych w węzłach Windows lub węzłach korzystających z efemerycznych dysków systemu operacyjnego usługi AKS. Klastry AKS skonfigurowane automatycznie mogą dostarczać częściowe lub żadne wyniki, jeśli jakiekolwiek węzły klastra nie działają w czasie skanowania.

Sposób skanowania i czas

Skanowanie oraz wykrywanie obciążeń roboczych to procesy asynchroniczne.

W przypadku oceny luk w zabezpieczeniach rejestru:

  • Nowo przesłane lub zaimportowane obrazy są zwykle skanowane w ciągu kilku godzin.
  • Codzienne ponowne skanowanie aktualizuje wyniki dla:
    • Obrazy przesłane w ciągu ostatnich 30 dni
    • Obrazy pobierane w ciągu ostatnich 30 dni
    • Obrazy aktualnie uruchomione w klastrach Kubernetes monitorowanych przez Defender dla Chmury

Note

Obrazy, które nie zostały wypchnięte lub pobrane w ciągu ostatnich 30 dni i nie są obecnie uruchomione w monitorowanym klastrze Kubernetes, nie są uwzględniane w codziennym ponownym skanowaniu i nie będą otrzymywać zaktualizowanych wyników luk w zabezpieczeniach. Jeśli obraz nie pojawia się w wynikach, pobranie go z rejestru ponownie aktywuje skanowanie.

W przypadku oceny luk w zabezpieczeniach środowiska uruchomieniowego:

  • Uruchomione kontenery są inwentaryzowane mniej więcej co 24 godziny przy użyciu wykrywania bezagentowego.
  • W przypadku korzystania z czujnika Defender aktualizacje spisu są wykonywane niemal w czasie rzeczywistym.

Ponieważ wykrywanie zasobów i analiza luk w zabezpieczeniach odbywają się w oddzielnych cyklach, może minąć trochę czasu, zanim nowo wdrożone lub zaktualizowane obrazy zostaną w pełni uwzględnione w zaleceniach.

Usunięte obrazy

Po usunięciu obrazu z Azure Container Registry usługa ACR powiadamia Defender dla Chmury. Wyniki oceny luk w zabezpieczeniach dla usuniętych obrazów są zwykle usuwane w ciągu jednej godziny. W rzadkich przypadkach Defender dla Chmury może nie otrzymywać powiadomienia o usunięciu natychmiast, a usunięcie skojarzonych wyników luk w zabezpieczeniach może potrwać do trzech dni.

Usunięcie tylko tagu może nie usunąć podstawowego manifestu obrazu. Aby dowiedzieć się więcej na temat usuwania obrazów z usługi ACR, zobacz Usuwanie obrazów kontenerów w Azure Container Registry.

Treści powiązane

  • Ostatnia aktualizacja o