Wzorce dostępu i obsługa klastra prywatnego dla funkcji Defender for Containers

Ta strona zawiera podsumowanie wzorców dostępu używanych przez Microsoft Defender dla funkcji kontenerów, wymaganej metody włączania, odpowiedniego planu i obsługi klastra prywatnego.

Zapoznaj się z dokumentacją dotyczącą dostępu do sieci i uprawnień , aby uzyskać szczegółowe wymagania dotyczące sieci i uprawnień dla każdego wzorca dostępu.

Note

Kolumna Obsługa klastra prywatnego zawiera wymagania dotyczące obsługi i powiązane wymagania wstępne dotyczące niektórych funkcji.

  • Obsługiwane przez włączenie ograniczonego publicznego punktu końcowego interfejsu API oznacza, że funkcja obsługuje klastry prywatne, gdy interfejs API Kubernetes jest udostępniany za pośrednictwem ograniczonego publicznego punktu końcowego.
  • Wymagaj wychodzącego dostępu HTTPS oznacza, że klaster musi zezwalać na wychodzącą łączność HTTPS z Microsoft Defender dla Chmury.
  • Niektóre wpisy opisują wymagania wstępne dotyczące funkcji zamiast zachowania obsługi klastra prywatnego.

Aby uzyskać instrukcje dotyczące wdrażania w wersji zapoznawczej dla klastrów prywatnych, zobacz Deploy Defender for Containers to private clusters (preview).

Wzorce łączności używane przez Defender dla kontenerów

Microsoft Defender dla kontenerów używa wielu wzorców łączności do zbierania sygnałów zabezpieczeń i zapewnienia ochrony w całym środowisku, w tym:

  • Registry access: Połączenia z Microsoft Defender dla Chmury do rejestrów kontenerów w celu skanowania obrazów pod kątem luk w zabezpieczeniach i, w niektórych przypadkach, publikowania wyników oceny z powrotem do rejestru.
  • Ubernetes API access: Połączenia z Microsoft Defender dla Chmury do punktów końcowych interfejsu API Kubernetes na potrzeby odnajdywania klastra, oceny stanu i analizy ryzyka.
  • Sensor łączności wychodzącej: dane telemetryczne środowiska uruchomieniowego wysyłane z węzłów roboczych platformy Kubernetes do Microsoft Defender dla Chmury na potrzeby wykrywania zagrożeń.
  • Pozyskiwanie dzienników inspekcji natywnych dla chmury: pozyskiwanie dzienników inspekcji platformy Kubernetes z natywnych dla chmury usług rejestrowania na potrzeby wykrywania zagrożeń na płaszczyźnie sterowania.
  • Dostęp dostawcy chmury: Połączenia z Microsoft Defender dla Chmury do interfejsów API dostawcy usług w chmurze na potrzeby odnajdywania zasobów, oceny stanu, spisu i analizy ryzyka.

Funkcje oceny luk w zabezpieczeniach

W poniższej tabeli przedstawiono podsumowanie funkcji oceny luk w zabezpieczeniach i ich wzorców dostępu.

Funkcja Obsługiwane zasoby Metoda aktywacji Plany usługi Defender Wzorzec dostępu Obsługa i wymagania wstępne dotyczące klastra prywatnego
Ocena luk w zabezpieczeniach rejestru kontenerów ACR, ECR, GAR, GCR, Docker Hub, JFrog Artifactory Dostęp do rejestru Pojemniki; CSPM Dostęp do rejestru Supported
Ocena luk w zabezpieczeniach kontenera środowiska uruchomieniowego (oparte na skanowaniu rejestru) ACR, ECR, GAR, GCR, Docker Hub, JFrog Artifactory Skanowanie bez agenta pod kątem maszyn i dostępu do interfejsu API Kubernetes lub czujnika Defender Pojemniki; CSPM Dostęp do rejestru i interfejsu API Kubernetes Obsługiwane przez włączenie ograniczonego publicznego punktu końcowego interfejsu API
Ocena luk w zabezpieczeniach kontenera środowiska uruchomieniowego (niezależna od rejestru) AKS Skanowanie bez agenta pod kątem maszyn i dostępu do interfejsu API Kubernetes lub czujnika Defender Pojemniki; CSPM Dostęp dostawcy chmury i dostęp do interfejsu API Kubernetes Obsługiwane przez włączenie ograniczonego publicznego punktu końcowego interfejsu API
Wdrożenie kontrolowane AKS, EKS, GKE Defender czujnika, ustaleń zabezpieczeń i dostępu do rejestru Containers Dostęp do interfejsu API platformy Kubernetes i łączność wychodząca czujnika Obsługiwane przez włączenie ograniczonego publicznego punktu końcowego interfejsu API lub użycie Defender wersji prywatnych klastrów czujnika (wersja zapoznawcza)

Funkcje ochrony środowiska uruchomieniowego

W poniższej tabeli przedstawiono podsumowanie funkcji ochrony środowiska uruchomieniowego i ich wzorców dostępu.

Funkcja Obsługiwane zasoby Metoda aktywacji Plany usługi Defender Wzorzec dostępu Obsługa i wymagania wstępne dotyczące klastra prywatnego
Wykrywanie płaszczyzny sterowania AKS, EKS, GKE Włączone z planem kontenerów Containers Pozyskiwanie dzienników inspekcji natywnych dla chmury Supported
Wykrywanie obciążenia AKS, EKS, GKE Czujnik Defender Containers Łączność wychodząca czujnika Wymaga wychodzącego dostępu HTTPS
Wykrywanie binarnego przesunięcia AKS, EKS, GKE Czujnik Defender Containers Dostęp do interfejsu API platformy Kubernetes i łączność wychodząca czujnika Definicje zasad wymagają włączenia ograniczonego publicznego punktu końcowego interfejsu API lub przy użyciu wersji prywatnej Defender Sensor (wersja zapoznawcza). Wymaga wychodzącego dostępu HTTPS.
Wykrywanie DNS AKS, EKS, GKE Defender czujnik zainstalowany przy użyciu narzędzia Helm Containers Łączność wychodząca czujnika Wymaga wychodzącego dostępu HTTPS
Zaawansowane polowanie na zagrożenia w ramach usługi XDR AKS, EKS, GKE Czujnik Defender Containers Łączność wychodząca czujnika Wymaga wychodzącego dostępu HTTPS
Akcje odpowiedzi w systemie XDR AKS, EKS, GKE Defender czujnik i dostęp do interfejsu API platformy Kubernetes Containers Dostęp do interfejsu API platformy Kubernetes Obsługiwane przez włączenie ograniczonego publicznego punktu końcowego interfejsu API
Wykrywanie złośliwego oprogramowania Węzły usługi AKS, EKS, GKE Skanowanie bez agenta dla maszyn Pojemniki; Serwery P2 Dostęp do interfejsu API platformy Kubernetes i łączność wychodząca czujnika Obsługiwane przez włączenie ograniczonego publicznego punktu końcowego interfejsu API lub użycie Defender wersji prywatnych klastrów czujnika (wersja zapoznawcza). Wymaga wychodzącego dostępu HTTPS.

Funkcje zarządzania stanem

W poniższej tabeli przedstawiono podsumowanie funkcji zarządzania stanem i ich wzorców dostępu.

Funkcja Obsługiwane zasoby Metoda aktywacji Plany usługi Defender Wzorzec dostępu Obsługa i wymagania wstępne dotyczące klastra prywatnego
Odnajdywanie bez agenta dla platformy Kubernetes AKS, EKS, GKE Dostęp do interfejsu API platformy Kubernetes Pojemniki; CSPM Dostęp dostawcy chmury Supported
Kompleksowe możliwości inwentaryzacji Rejestry: ACR, ECR, GAR, GCR, Docker Hub, JFrog Artifactory. Klastry: AKS, EKS, GKE Dostęp do interfejsu API platformy Kubernetes Pojemniki; CSPM Dostęp do interfejsu API platformy Kubernetes i dostęp do dostawcy chmury Obsługiwane przez włączenie ograniczonego publicznego punktu końcowego interfejsu API lub użycie Defender wersji prywatnych klastrów czujnika (wersja zapoznawcza)
Analiza ścieżki ataku Rejestry: ACR, ECR, GAR, GCR, Docker Hub, JFrog Artifactory. Klastry: AKS, EKS, GKE Dostęp do interfejsu API platformy Kubernetes Obrońca CSPM Dostęp do interfejsu API platformy Kubernetes i dostęp do dostawcy chmury Możliwości spisu są wymaganiem wstępnym
Ulepszone polowanie na ryzyko Rejestry: ACR, ECR, GAR, GCR, Docker Hub, JFrog Artifactory. Klastry: AKS, EKS, GKE Dostęp do interfejsu API platformy Kubernetes Pojemniki; CSPM Dostęp do interfejsu API platformy Kubernetes i dostęp do dostawcy chmury Możliwości spisu są wymaganiem wstępnym
Wzmacnianie płaszczyzny sterowania Rejestry: ACR. Klastry: AKS, EKS, GKE Włączone z planem kontenerów Bezpłatna Dostęp dostawcy chmury Supported
Wzmacnianie zabezpieczeń obciążenia AKS, EKS, GKE Azure Policy dla platformy Kubernetes Bezpłatna Dostęp do interfejsu API platformy Kubernetes Obsługiwane przez włączenie ograniczonego publicznego punktu końcowego interfejsu API lub użycie Defender wersji prywatnych klastrów czujnika (wersja zapoznawcza)
CIS Kubernetes Service AKS, EKS, GKE Przypisane jako standard zabezpieczeń Pojemniki; CSPM Dostęp do interfejsu API platformy Kubernetes Obsługiwane przez włączenie ograniczonego publicznego punktu końcowego interfejsu API lub użycie Defender wersji prywatnych klastrów czujnika (wersja zapoznawcza)

Następny krok

Sieć dokumentacja dostępu i uprawnień dla Defender dla kontenerów

  • Ostatnia aktualizacja o