Partager via

Activer le déploiement contrôlé dans Defender pour conteneurs

Cet article explique comment activer et configurer le déploiement contrôlé pour les clusters Kubernetes avec Microsoft Defender pour conteneurs.

Le déploiement contrôlé applique des stratégies de sécurité des images conteneur pendant le déploiement à l’aide des résultats de l’analyse des vulnérabilités provenant des registres pris en charge - Azure Container Registry (ACR), Amazon Elastic Container Registry (ERC) et Google Artifact Registry. Il fonctionne avec le contrôleur d’admission Kubernetes pour évaluer les images avant que le cluster ne les admet.

Prerequisites

Prérequis Détails
Plan Defender Activez Defender pour conteneurs sur le registre de conteneurs et les abonnements/comptes de cluster Kubernetes.
Important : si votre registre de conteneurs et votre cluster Kubernetes résident dans différents abonnements Azure (ou comptes AWS/projets GCP), vous devez activer le plan Defender pour conteneurs et les extensions pertinentes sur les deux comptes cloud.
Planifier des extensions Capteur Defender, Contrôle de sécurité, Constats de sécurité et accès au registre.
Activez ou désactivez ces extensions de plan dans le paramètre de plan Defender pour conteneurs. Ils sont activés par défaut dans les nouveaux environnements Defender pour conteneurs.
Prise en charge du cluster Kubernetes AKS, EKS, GKE - version 1.31 ou ultérieure.
Prise en charge du Registre Utilisez Azure Container Registry (ACR), Amazon Elastic Container Registry (ERC) ou Google Artifact Registry.
Permissions Créez ou modifiez des stratégies de déploiement contrôlées avec l’autorisation d’administrateur de sécurité ou d’un locataire supérieur. Affichez-les à l'aide d'une autorisation de locataire Lecteur de sécurité ou supérieure.

Activer le déploiement contrôlé et créer une règle de sécurité

Étape 1 : Activer les extensions de plan requises

  1. Accédez auxparamètres de l’environnement>.

  2. Sélectionnez l’abonnement, le compte AWS ou le projet GCP approprié.

  3. Sous Paramètres & Surveillance, activez ces bascules :

    • Capteur Defender
      • Contrôle de sécurité
    • Accès au Registre
      • Constatations en matière de sécurité

Capture d’écran des paramètres d’environnement montrant les boutons bascule activés dans Microsoft Defender pour le cloud.

Étape 2 : Règles de sécurité d’accès

  1. Dans Paramètres d’environnement, accédez à la vignette Règles de sécurité .

    Capture d’écran du volet Règles de sécurité avec l’onglet Évaluation des vulnérabilités dans Microsoft Defender pour Cloud.

  2. Sélectionnez l’onglet Évaluation des vulnérabilités .

    Capture d’écran de l’évaluation des vulnérabilités des règles de sécurité.

Étape 3 : Créer une règle

Note

Par défaut, après avoir activé les plans Defender et les extensions requises, le portail crée une règle d’audit qui signale les images avec des vulnérabilités élevées ou critiques.

  1. Sélectionnez Ajouter une règle.
  2. Remplissez les champs suivants :
Champ Description
Nom de la règle Nom unique de la règle
Action Choisir Audit ou Refuser
Nom de l’étendue Étiquette pour l'étendue
Étendue du cloud Sélectionner un abonnement Azure, un compte AWS ou un projet GCP
Étendue des ressources Choisir parmi le cluster, l’espace de noms, le pod, le déploiement, l’image, le sélecteur d’étiquette
Critères de correspondance Sélectionnez parmi Égal à, Commence par, Se termine par, Contient, Différent de

Capture d’écran de l’Assistant de Création de Règles : configuration de base.

Étape 4 : Définir des conditions

Sous Configurations d’analyse, spécifiez :

  • Conditions de règle de déclenchement : choisir des niveaux de gravité de vulnérabilité ou des ID CVE spécifiques

Capture d’écran du panneau de configuration de règle avec des types de conditions et des exemptions.

Étape 5 : Définir des exemptions

Les exemptions permettent aux ressources approuvées de contourner les règles de gestion.

Types d’exemption pris en charge

Type Description
CVE ID de vulnérabilité spécifique
Déploiement Déploiement ciblé
Image Synthèse d’image spécifique
Namespace Espace de noms Kubernetes
Pod Pod spécifique
Registry Registre de conteneurs
Référentiel Référentiel d’images

Critères de correspondance

  • Est égal à
  • Starts With
  • Se termine par
  • Contient

Configuration limitée dans le temps

State Comportement
Par défaut L’exclusion est indéfinie
Time-Bound (associé à un délai) activé Un sélecteur de dates s’affiche. L’exclusion expire à la fin du jour sélectionné

Configurez les exemptions lors de la création d’une règle. Ils s’appliquent aux règles d’audit et de refus.

Capture d’écran du panneau de configuration d’exemption avec bascule limitée dans le temps.

Étape 6 : Finaliser et enregistrer

  1. Passez en revue la configuration de la règle.
  2. Pour enregistrer et activer la règle, sélectionnez Ajouter une règle.

Configuration du mode refus

Le mode refus peut introduire un délai d’un ou deux secondes pendant les déploiements en raison de l’application de la stratégie en temps réel. Lorsque vous sélectionnez Refuser en tant qu’action, une notification s’affiche.

Capture d’écran de l’info-bulle affichée lorsque le mode Refuser est sélectionné.

Surveillance des admissions

Les événements de déploiement contrôlé s’affichent dans la vue Surveillance des admissions dans Defender pour cloud. Cette vue fournit une visibilité sur les évaluations de règles, les actions déclenchées et les ressources affectées. Utilisez cette vue pour suivre les décisions d’audit et de refus sur vos clusters Kubernetes.

Capture d’écran de la vue de la surveillance des admissions montrant les évaluations et les actions des règles.

Afficher les détails de l’événement

Pour examiner un événement d’admission spécifique, sélectionnez-le dans la liste. Un volet d’informations s’ouvre et affiche :

  • Horodatage et action d’admission : lorsque l’événement s’est produit et s’il a été autorisé ou refusé
  • Détails du déclencheur : synthèse de l’image conteneur, violations détectées et nom de règle qui a été déclenché
  • Description de la stratégie : stratégie et critères d’évaluation des vulnérabilités utilisés pour l’évaluation
  • Instantané de configuration de règle : conditions et exemptions spécifiques appliquées

Capture d’écran du volet détails de l’événement d’admission montrant les informations du déclencheur, la description de la stratégie et la configuration des règles.

Meilleures pratiques pour la conception de règles

  • Commencez par le mode Audit pour surveiller l’impact avant d’appliquer le mode Refus.
  • Limitez les règles d’étendue (par exemple, par espace de noms ou déploiement) pour réduire les faux positifs.
  • Utilisez des exemptions limitées dans le temps pour débloquer des flux de travail critiques tout en conservant la supervision.
  • Examinez régulièrement l’activité des règles dans la vue Surveillance des admissions pour affiner la stratégie d’application.

Désactiver ou supprimer une règle de sécurité de déploiement contrôlé

  • Désactiver une règle de sécurité de déploiement contrôlé

    • Sélectionnez Règles de sécurité dans le volet Paramètres de l’environnement Cloud de Microsoft Defender.
    • Sélectionnez Évaluation des vulnérabilités pour afficher la liste des règles de sécurité de déploiement contrôlée définies.
    • Sélectionnez une règle de sécurité, puis sélectionnez Désactiver.

  • Supprimer une règle de sécurité de déploiement contrôlé

    • Sélectionnez Règles de sécurité dans le volet Paramètres de l’environnement Microsoft Defender pour le cloud.
    • Sélectionnez Évaluation des vulnérabilités pour afficher la liste des règles de sécurité définies.
    • Sélectionnez une règle de sécurité, puis sélectionnez Supprimer.

Contenu connexe

Pour obtenir des conseils et un support plus détaillés, consultez la documentation suivante :

  • Last updated on