Habilitar o Defender para Contêineres no AKS por meio do portal

Este artigo mostra como habilitar o Microsoft Defender para Contêineres em seus clusters do AKS (Serviço de Kubernetes do Azure) por meio do portal do Azure. Você pode optar por habilitar todos os recursos de segurança de uma só vez para proteção abrangente ou implantar seletivamente componentes específicos com base em seus requisitos.

Quando usar este guia

Use este guia se desejar:

• Configurar o Defender para Contêineres no Azure pela primeira vez
• Habilitar todos os recursos de segurança para proteção abrangente
• Implantar seletivamente componentes específicos
• Corrigir ou adicionar componentes ausentes a uma implantação existente
• Excluir alguns clusters específicos da proteção

Pré-requisitos

Requisitos de rede

O sensor do Defender deve se conectar ao Microsoft Defender para Nuvem para enviar dados e eventos de segurança. Verifique se os pontos de extremidade necessários estão configurados para acesso de saída.

Requisitos de conexão

O sensor do Defender precisa de conectividade para:

• Microsoft Defender para Nuvem (para enviar dados e eventos de segurança)

Por padrão, os clusters do AKS têm acesso irrestrito de Internet de saída.

Para clusters com saída restrita, você deve permitir que FQDNs específicos do Microsoft Defender para contêineres funcionem corretamente. Consulte Microsoft Defender para contêineres - Regras obrigatórias de FQDN/aplicação na documentação da rede de saída do AKS para os pontos de extremidade obrigatórios.

Configuração do link privado

Caso a saída do cluster exija o uso de um AMPLS (Escopo de Link Privado) do Azure Monitor, você precisará:

1. Definir o cluster com os Insights do Contêiner e um workspace de Análise de Logs

2. Definir o workspace do Log Analytics do cluster como um recurso no AMPLS

3. Crie um ponto de extremidade privado numa rede virtual no AMPLS entre:

   • A rede virtual do cluster
   • O recurso do Log Analytics

   O ponto de extremidade privado da rede virtual se integra a uma zona DNS privada.

Para obter instruções, consulte Criar um escopo de link privado do Azure Monitor.

Habilitar o plano do Defender para Contêineres

Primeiro, habilite o plano do Defender para Contêineres em sua assinatura:

1. Entre no portal do Azure.

2. Vá para o Microsoft Defender para Nuvem.

3. No menu à esquerda, selecione Configurações de ambiente.

4. Selecione a assinatura em que os clusters do AKS estão localizados.

5. Na página de planos do Defender, localize a linha Contêineres e alterne o status para Ativar.

   

Configurar componentes do plano

Depois de habilitar o plano, examine e configure os componentes. Por padrão, todos os componentes são habilitados quando você ativa o plano Defender para Containers.

1. Selecione Configurações na linha do plano de contêineres.

2. Em Configurações, você verá todos os componentes disponíveis.

3. Examine os componentes habilitados por padrão:

   • Verificação sem agente para computadores – verifica seus computadores em busca de software instalado, vulnerabilidades e verificação secreta sem depender de agentes ou afetar o desempenho do computador
   • Sensor do Defender – Implantado em cada nó de trabalho, coleta dados relacionados à segurança, necessários para proteção contra ameaças em runtime
   • Azure Policy – Implantado como um agente no cluster do Kubernetes. Fornece endurecimento do plano de dados do Kubernetes
   • Acesso à API do Kubernetes – Necessário para postura de contêiner sem agente, avaliação de vulnerabilidade de runtime e ações de resposta
   • Acesso ao Registro – Habilita a avaliação de vulnerabilidade sem agente para imagens do Registro

   

4. É possível:

   • Manter todos os componentes habilitados (recomendado para proteção abrangente)
   • Desabilitar componentes específicos que você não precisa
   • Habilite novamente os componentes se você os desabilitou anteriormente

5. Selecione Continuar.

6. Examine a página de cobertura de monitoramento para ver quais recursos estão protegidos.

7. Selecione Continuar.

8. Examine o resumo da configuração e selecione Salvar.

Funções e permissões

Saiba mais sobre as funções para provisionar extensões do Defender para contêineres.

Monitorar o progresso da implantação

Depois de salvar suas alterações, o Defender para Nuvem inicia automaticamente a implantação dos componentes selecionados em seus clusters do AKS:

1. Acesse Microsoft Defender para Nuvem>Recomendações.

2. Filtrar recomendações portipo de recurso = serviços Kubernetes.

3. Procure estas recomendações principais:

   • "Os clusters do Serviço de Kubernetes do Azure devem ter o perfil do Defender habilitado"
   • "O Azure Policy para Kubernetes deve ser instalado e habilitado em seus clusters"

4. Selecione cada recomendação para ver os recursos afetados e o progresso da correção.

Implantar o sensor do Defender

Quando você habilita a configuração do sensor do Defender, ele é implantado automaticamente em todos os clusters do AKS em sua assinatura. Se você desabilitar a implantação automática, poderá implantar manualmente o sensor usando os seguintes métodos:

Implantar em um grupo selecionado de clusters AKS

1. Acesse Microsoft Defender para Nuvem>Recomendações.

2. Pesquise e selecione "Os clusters do Serviço de Kubernetes do Azure devem ter o perfil do Defender habilitado".

   

3. Selecione os clusters do AKS que precisam do sensor.

4. Selecione Corrigir.

   

5. Examine a configuração de implantação.

6. Selecione Corrigir recursos X para implantar.

Implantar em um cluster específico do AKS

Para implantar o sensor do Defender em clusters específicos do AKS:

1. Vá para o seu cluster AKS no portal do Azure.

2. No menu à esquerda, no nome do cluster, selecione Microsoft Defender para Nuvem.

3. Na página do Microsoft Defender para Nuvem do cluster, selecione Configurações na linha superior, localize a linha do sensor do Defender e alterne-a para Ativar.

   

4. Clique em Salvar.

Excluir clusters específicos (opcional)

Você pode excluir clusters específicos do AKS do provisionamento automático aplicando marcas:

1. Vá para o seu cluster AKS.

2. Em Visão geral, selecione Marcas.

3. Adicione uma destas etiquetas:

   • Para sensor do Defender: ms_defender_container_exclude_sensors = true
   • Para Azure Policy: ms_defender_container_exclude_azurepolicy = true

Monitorar a segurança continuamente

Após a configuração inicial, regularmente:

1. Gerenciar vulnerabilidades – examinar as conclusões das verificações de vulnerabilidade de imagem de contêiner
2. Revisar recomendações – Resolver problemas de segurança identificados para seus clusters do AKS
3. Investigar alertas – Responder a ameaças de runtime detectadas pelo sensor do Defender
4. Acompanhar a conformidade – Monitorar a adesão a padrões de segurança e parâmetros de comparação

Limpar os recursos

Para desabilitar o Defender para Contêineres e remover todos os componentes implantados dos clusters do AKS, consulte Remover o Defender para Contêineres do Azure (AKS).

Próximas etapas

• Verificar a implantação
• Definir configurações avançadas para o Defender para Contêineres
• Investigar e responder a alertas de segurança de runtime
• Examinar e corrigir descobertas de vulnerabilidade