Partilhar via

Ativar a implementação com bloqueio no Defender para Contentores

Este artigo mostra como ativar e configurar a implementação bloqueada para clusters Kubernetes com o Microsoft Defender for Containers.

A implementação com bloqueio impõe as políticas de segurança de imagens de contentores durante a implementação, utilizando resultados de varredura de vulnerabilidades de registos suportados - Azure Container Registry (ACR), Amazon Elastic Container Registry (ECR) e Google Artifact Registry. Trabalha com o controlador de admissões Kubernetes para avaliar imagens antes de o cluster as admitir.

Pré-requisitos

Requisito Detalhes
Plano Defender Ative o Defender for Containers tanto no registo de contentores como nas subscrições/contas do cluster Kubernetes.
Importante: Se o seu registo de contentores e o cluster Kubernetes estiverem em subscrições Azure diferentes (ou projetos de contas AWS/GCP), deve ativar o plano Defender for Containers e as extensões relevantes em ambas as contas cloud.
Extensões de planos Sensor Defender, Portões de Segurança, Descobertas de Segurança e Acesso ao Registo.
Ative ou desative estas extensões do plano na configuração do plano do Defender for Containers. Estão ativados por predefinição nos novos ambientes Defender for Containers.
Suporte a clusters Kubernetes AKS, EKS, GKE - versão 1.31 ou posterior.
Suporte ao registo Use Azure Container Registry (ACR), Amazon Elastic Container Registry (ECR) ou Google Artifact Registry.
Permissions Crie ou altere políticas de implementação bloqueada com permissão de Administrador de Segurança ou inquilino superior. Veja-os com o Security Reader ou permissão de inquilino superior.

Permitir a implementação bloqueada e criar uma regra de segurança

Passo 1: Ativar as extensões obrigatórias do plano

  1. Vai ao Microsoft Defender para Cloud>Definições do Ambiente.

  2. Selecione a subscrição relevante, a conta AWS ou o projeto GCP.

  3. Em Definições & Monitorização, ativa estas alternâncias:

    • Defender Sensor
      • Portões de Segurança
    • Acesso ao Registo
      • Conclusões de Segurança

Captura de ecrã das Definições de Ambiente a mostrar as alternâncias ativadas no Microsoft Defender for Cloud.

Passo 2: Regras de segurança de acesso

  1. Nas Definições do Ambiente, vai ao bloco de Regras de Segurança.

    Captura de ecrã do painel de Regras de Segurança com o separador de Avaliação de Vulnerabilidades no Microsoft Defender for Cloud.

  2. Selecione o separador Avaliação de Vulnerabilidades .

    Captura de ecrã da Avaliação de Vulnerabilidades das Regras de Segurança.

Passo 3: Criar uma nova regra

Observação

Por defeito, depois de ativar os planos Defender e as extensões necessárias, o portal cria uma regra de auditoria que assinala imagens com vulnerabilidades elevadas ou críticas.

  1. Selecione Adicionar Regra.
  2. Preencha os seguintes campos:
Campo Descrição
Nome da regra Um nome único para a regra
Ação Escolha Auditoria ou Negação
Nome do âmbito Um rótulo para o âmbito
Escopo da Nuvem Selecione Subscrição Azure, Conta AWS ou Projeto GCP
Âmbito de Recursos Escolha entre Cluster, Namespace, Pod, Deployment, Image, Seletor de Etiquetas
Critérios de Correspondência Selecione entre igual, começa com, termina com, contém, não é igual a

Captura de ecrã do assistente de criação de regras – configuração básica.

Passo 4: Defina condições

Em Configurações de Varredura, especifique:

  • Condições da Regra de Gatilho: Escolha níveis de gravidade de vulnerabilidade ou IDs específicos de CVE

Captura de ecrã do painel de configuração de regras com tipos de condição e isenções.

Passo 5: Defina as isenções

As isenções permitem que recursos de confiança contornem as regras de bloqueio.

Tipos de isenção suportados

Type Descrição
CVE ID de vulnerabilidade específico
Implantação Desdobramento direcionado
Imagem Digestão específica de imagens
Namespace Namespace do Kubernetes
Cápsula Pod específico
Registry Registo de containers
Repositório Repositório de imagens

Critérios de correspondência

  • Igual
  • Começa Com
  • Termina com
  • Contém

Configuração com limite temporal

State Comportamento
Predefinido A exclusão é indefinida
Ativado com Limitação de Tempo Aparece um escolhedor de datas. A exclusão expira no final do dia selecionado

Configure isenções durante a criação das regras. Aplicam-se a regras de auditoria e negação.

Captura de ecrã do painel de configuração de isenção com alternância temporal.

Passo 6: Finalizar e guardar

  1. Revê a configuração das regras.
  2. Para guardar e ativar a regra, selecione Adicionar Regra.

Configuração de modo de negação

O modo de negação pode introduzir um atraso de um ou dois segundos durante as implementações devido à aplicação de políticas em tempo real. Quando seleciona Negar como ação, aparece uma notificação.

Captura de ecrã da dica de ferramenta mostrada quando o modo Negar é selecionado.

Monitorização de admissões

Os eventos de Implementação Bloqueada aparecem na vista de Monitorização de Admissão no Defender for Cloud. Esta vista oferece visibilidade sobre as avaliações de regras, ações desencadeadas e recursos afetados. Use esta vista para acompanhar decisões de Auditoria e Negação entre os seus clusters Kubernetes.

Captura de ecrã da vista de Monitorização de Admissão a mostrar as avaliações e ações das regras.

Ver detalhes do evento

Para investigar um evento específico de admissão, selecione-o da lista. Abre-se um painel de detalhes que mostra:

  • Hora e ação de admissão: Quando o evento ocorreu e se foi permitido ou recusado
  • Detalhes do gatilho: O resumo da imagem do contentor, quaisquer violações detetadas e o nome da regra que foi ativado
  • Descrição da política: Política e critérios de avaliação de vulnerabilidade utilizados para a avaliação
  • Instantâneo da configuração das regras: As condições e isenções específicas que foram aplicadas

Captura de ecrã do painel de detalhes do evento de admissão mostrando informações sobre gatilhos, descrição da política e configuração das regras.

Boas práticas para o desenho de regras

  • Comece com o modo Auditoria para monitorizar o impacto antes de aplicar o modo Negar.
  • Defina regras de âmbito limitado (por exemplo, por namespace ou implementação) para reduzir falsos positivos.
  • Utilize isenções temporais para desbloquear fluxos de trabalho críticos, mantendo a supervisão.
  • Revise regularmente a atividade das regras na vista de Monitorização de Admissão para refinar a estratégia de aplicação.

Desative ou elimine uma regra de segurança de Implantação Condicionada

  • Desativar uma regra de segurança de Implantação Bloqueada

    • Selecione Regras de Segurança no painel de Definições do Microsoft Defender para o Ambiente Cloud.
    • Selecione Avaliação de Vulnerabilidades para visualizar uma lista de regras de segurança definidas para Implantação Limitada.
    • Selecione uma regra de segurança e depois selecione Desabilitar.

  • Eliminar uma regra de segurança de Gated Deployment

    • Selecione Regras de Segurança no painel de Definições do Microsoft Defender para o Ambiente Cloud.
    • Selecione Avaliação de Vulnerabilidades para ver uma lista de regras de segurança definidas.
    • Selecione uma regra de segurança e depois selecione Eliminar.

Conteúdo relacionado

Para orientações e apoio mais detalhados, consulte a seguinte documentação:

  • Last updated on