Freigeben über

Aktivieren der gesteuerten Bereitstellung in Defender for Containers

In diesem Artikel wird erläutert, wie Sie die Gated-Bereitstellung für Kubernetes-Cluster mit Microsoft Defender für Container aktivieren und konfigurieren.

Die Gated-Bereitstellung erzwingt Sicherheitsrichtlinien für Container-Images während der Bereitstellung mithilfe von Schwachstellen-Scan-Ergebnissen aus unterstützten Registries – Azure Container Registry (ACR), Amazon Elastic Container Registry (ECR) und Google Artifact Registry. Es arbeitet mit dem Kubernetes-Zulassungscontroller zusammen, um Bilder auszuwerten, bevor der Cluster sie zulässt.

Voraussetzungen

Anforderung Details
Defender-Plan Aktivieren Sie Defender für Container sowohl in der Containerregistrierung als auch in Kubernetes-Clusterabonnements/-Konten.
Wichtig: Wenn sich Ihre Containerregistrierung und Ihr Kubernetes-Cluster in verschiedenen Azure-Abonnements (oder AWS-Konten/GCP-Projekten) befinden, müssen Sie den Defender for Containers-Plan und relevante Erweiterungen für beide Cloudkonten aktivieren.
Planen von Erweiterungen Defender-Sensor, Sicherheitsbeschränkung, Sicherheitsergebnisse und Registrierungszugriff.
Sie können diese Planerweiterungen in der Planeinstellung von Defender for Containers aktivieren oder deaktivieren. Sie sind standardmäßig in neuen Defender für Containerumgebungen aktiviert.
Kubernetes-Clusterunterstützung AKS, EKS, GKE - Version 1.31 oder höher.
Registrierungsunterstützung Verwenden Sie Azure Container Registry (ACR), Amazon Elastic Container Registry (ECR) oder Google Artifact Registry.
Erlaubnisse Erstellen oder ändern Sie Gated-Bereitstellungsrichtlinien mit der Mandantenberechtigung „Sicherheitsadministrator“ oder höher. Zeigen Sie diese mit der Mandantenberechtigung „Sicherheitsleseberechtigt“ oder höher an.

Aktivieren Sie die Gated-Bereitstellung und erstellen Sie eine Sicherheitsregel

Schritt 1: Aktivieren erforderlicher Planerweiterungen

  1. Wechseln Sie zu Microsoft Defender für Cloud>Umgebungseinstellungen.

  2. Wählen Sie das relevante Abonnement, das AWS-Konto oder das GCP-Projekt aus.

  3. Aktivieren Sie unter Einstellungen und Überwachung die folgenden Umschaltflächen:

    • Defender Sensor
      • Sicherheitsbeschränkung
    • Registrierungszugriff
      • Sicherheitsergebnisse

Screenshot der Umgebungseinstellungen mit aktivierten Umschaltvorgängen in Microsoft Defender für Cloud.

Schritt 2: Zugriffssicherheitsregeln

  1. Wechseln Sie in den Umgebungseinstellungen zur Kachel "Sicherheitsregeln" .

    Screenshot des Bereichs

  2. Wählen Sie die Registerkarte "Sicherheitsrisikobewertung " aus.

    Screenshot der Sicherheitsregel-Bewertung von Schwachstellen.

Schritt 3: Erstellen einer neuen Regel

Hinweis

Nachdem Sie die Defender-Pläne und die erforderlichen Erweiterungen aktiviert haben, erstellt das Portal standardmäßig eine Überwachungsregel, die Bilder mit hohen oder kritischen Sicherheitsrisiken kennzeichnet.

  1. Wählen Sie Regel hinzufügen aus.
  2. Füllen Sie die folgenden Felder aus:
Feld Beschreibung
Regelname Ein eindeutiger Name für die Regel
Maßnahme Wählen Sie "Überwachen" oder "Ablehnen" aus.
Bereichsname Ein Etikett für den Geltungsbereich
Cloud-Umfang Azure-Abonnement, AWS-Konto oder GCP-Projekt auswählen
Ressourcenrahmen Wählen Sie aus Cluster, Namespace, Pod, Bereitstellung, Image, Bezeichnungsauswahl
Passende Kriterien Wählen Sie eine der folgenden Optionen aus: „Gleich“, „Beginnt mit“, „Endet mit“, „Enthält“, „Nicht gleich“.

Screenshot des Assistenten zum Erstellen von Regeln – Grundlegende Konfiguration.

Schritt 4: Definieren von Bedingungen

Geben Sie unter Scankonfigurationen Folgendes an:

  • Auslöserregelbedingungen: Wählen Sie die Schweregrade für Sicherheitsanfälligkeiten oder bestimmten CVE-IDs aus.

Screenshot des Regelkonfigurationsbereichs mit Bedingungstypen und Ausnahmen.

Schritt 5: Definieren von Ausnahmen

Ausnahmen ermöglichen es vertrauenswürdigen Ressourcen, Zugangsregeln zu umgehen.

Unterstützte Ausnahmetypen

Typ Beschreibung
CVE Spezifische Sicherheitsrisiko-ID
Einsatz Gezielte Bereitstellung
Bild Spezifischer Bilddigest
Namespace Kubernetes-Namespace
Pod Spezifischer Pod
Registratur Containerregistrierung
Repository Bilder-Repository

Übereinstimmende Kriterien

  • Equals
  • Starts With
  • Endet mit
  • Enthält

Zeitgebundene Konfiguration

State Verhalten
Standard Ausschluss ist unbegrenzt
Time-Bound aktiviert Ein Datumsauswahlfeld erscheint. Der Ausschluss läuft am Ende des ausgewählten Tages ab.

Konfigurieren von Ausnahmen während der Regelerstellung. Sie gelten für Auditierungs- und Ablehnungsregeln.

Screenshot des Ausnahmekonfigurationsbereichs mit zeitgesteuertem Umschalter.

Schritt 6: Fertigstellen und Speichern

  1. Überprüfen Sie die Regelkonfiguration.
  2. Um die Regel zu speichern und zu aktivieren, wählen Sie "Regel hinzufügen" aus.

Konfiguration des Verweigerungsmodus

Der Deny-Modus kann aufgrund der Erzwingung von Echtzeitrichtlinien eine Verzögerung von ein bis zwei Sekunden bei Bereitstellungen einführen. Wenn Sie " Ablehnen " als Aktion auswählen, wird eine Benachrichtigung angezeigt.

Screenshot des Tooltips, der angezeigt wird, wenn der Verweigerungsmodus ausgewählt ist.

Zulassungsüberwachung

Gated Deployment-Ereignisse werden in der Ansicht "Zulassungsüberwachung " in Defender für Cloud angezeigt. Diese Ansicht bietet Einblicke in Regelauswertungen, ausgelöste Aktionen und betroffene Ressourcen. Verwenden Sie diese Ansicht, um Überwachungs- und Ablehnungsentscheidungen in Ihren Kubernetes-Clustern nachzuverfolgen.

Screenshot der Ansicht

Anzeigen von Ereignisdetails

Um ein bestimmtes Zulassungsereignis zu untersuchen, wählen Sie es aus der Liste aus. Ein Detailbereich wird geöffnet, in dem Folgendes angezeigt wird:

  • Zeitstempel und Zugangsaktion: Wann das Ereignis aufgetreten ist und ob es zugelassen oder abgelehnt wurde
  • Angaben zum Trigger: Der Container-Image-Digest, alle erkannten Verstöße und der Regelname, der ausgelöst wurde
  • Richtlinienbeschreibung: Die Richtlinie und Kriterien für die Sicherheitsrisikobewertung, die für die Auswertung verwendet werden
  • Momentaufnahme der Regelkonfiguration: Die spezifischen Bedingungen und Ausnahmen, die angewendet wurden

Screenshot des Bereichs

Bewährte Methoden für den Regelentwurf

  • Starten Sie mit dem Überwachungsmodus, um die Auswirkungen zu überwachen, bevor Sie den Verweigerungsmodus erzwingen.
  • Definieren Sie die Bereichsregeln eng (z. B. nach Namespace oder Bereitstellung), um die Zahl der falsch-positiven Ergebnisse zu reduzieren.
  • Verwenden Sie zeitgebundene Ausnahmen, um kritische Workflows zu entsperren und gleichzeitig die Aufsicht aufrechtzuerhalten.
  • Überprüfen Sie regelmäßig die Regelaktivitäten in der Ansicht "Zulassungsüberwachung", um die Durchsetzungsstrategie zu verfeinern.

Sicherheitsregel für ein Gated Deployment deaktivieren oder löschen

  • Deaktivieren einer Sicherheitsregel für Gated-Bereitstellungen

    • Wählen Sie im Bereich "Einstellungen für Microsoft Defender for Cloud Environment"Die Sicherheitsregeln aus.
    • Wählen Sie Bewertung der Sicherheitsanfälligkeit aus, um eine Liste der definierten Sicherheitsregeln für Gated-Bereitstellungen anzuzeigen.
    • Wählen Sie eine Sicherheitsregel und dann "Deaktivieren" aus.

  • Löschen einer Sicherheitsregel für Gated-Bereitstellungen

    • Wählen Sie im Bereich "Einstellungen für Microsoft Defender for Cloud Environment"Die Sicherheitsregeln aus.
    • Wählen Sie die Sicherheitsrisikobewertung aus, um eine Liste der definierten Sicherheitsregeln anzuzeigen.
    • Wählen Sie eine Sicherheitsregel und dann "Löschen" aus.

Verwandte Inhalte

Ausführlichere Anleitungen und Support finden Sie in der folgenden Dokumentation:

  • Last updated on