Defender for Containers-Architektur

Microsoft Defender für Container verwendet mehrere Verbindungspfade, um Sicherheitssignale zu sammeln und Schutz für Containerregistrierungen und Kubernetes-Umgebungen bereitzustellen. Die erforderliche Konnektivität hängt von den aktivierten Features und der Umgebung ab, in der Ihre Container ausgeführt werden.

Implementierungsdetails variieren zwischen Azure Kubernetes Service (AKS), Amazon Elastic Kubernetes Service (EKS), Google Kubernetes Engine (GKE) und Arc-fähigen Kubernetes-Clustern.

Erfahren Sie mehr über Netzwerkanforderungen, Berechtigungen und unterstützte Konfigurationen in Network-Zugriffs- und Berechtigungsreferenz für Defender für Container.

Übersicht über das Fähigkeitsmodell

In der folgenden Tabelle wird gezeigt, wie wichtige Defender für Container-Funktionen implementiert werden und ob In-Cluster-Komponenten erforderlich sind.

Fähigkeit Ohne Agents Erfordert In-Cluster-Komponenten
Bewertung von Sicherheitsrisiken für Bilder Yes Nein
Kubernetes-Haltungsbewertung Yes Nein
Erkennung von Bedrohungen zur Laufzeit Nein Yes
Bedrohungserkennung auf der Steuerebene Yes Nein

Verbindung mit Containerregistrierungen

Die Bewertung der Image-Sicherheitsanfälligkeit wird ausgelöst, wenn Images zu unterstützten Registrys übertragen werden und regelmäßig basierend auf der Konfiguration des Registrys. Defender for Cloud analysiert Bildmetadaten und Ebenen, die für die Sicherheitsrisikobewertung erforderlich sind. In unterstützten Szenarien können Ergebnisse der Sicherheitsrisikobewertung wieder in der Registrierung veröffentlicht werden, ohne das ursprüngliche Containerimage zu ändern. Für diese Funktionen müssen keine Komponenten in Ihren Kubernetes-Clustern bereitgestellt werden.

Verbindung mit Kubernetes-Clustern

Microsoft Defender for Cloud stellt eine Verbindung mit dem Kubernetes-API-Endpunkt bereit, um Cluster zu ermitteln, Konfigurationsdaten zu sammeln und Haltungs- und Risikoanalysen durchzuführen. Abhängig von den aktivierten Features und Umgebungen kann diese Konnektivität Lesezugriff auf Clustermetadaten und in einigen Szenarien eingeschränkte Schreibvorgänge erfordern, um erforderliche Zugriffsbindungen oder Erweiterungen zu konfigurieren.

Laufzeitdaten, die von Kubernetes-Clustern gesendet werden

Kubernetes-Cluster senden Laufzeitsicherheitsdaten von Arbeitsknoten an das Microsoft Defender for Cloud-Back-End. Diese Daten werden von Defender for Containers-Komponenten gesammelt, die im Cluster ausgeführt werden und nach außen zur Analyse gesendet werden. Dieser Verbindungspfad unterstützt die Bedrohungserkennung zur Laufzeit und andere sensorbasierte Funktionen.

Verbindung mit Cloudanbieter-APIs

Microsoft Defender for Cloud stellt eine Verbindung mit Cloudanbieter-APIs bereit, um Ressourcen zu ermitteln und Sicherheitsanalysen im Rahmen des Verbindungsprozesses der Cloudumgebung durchzuführen. Dieser Verbindungspfad wird eingerichtet, wenn Sie Ihre Cloudumgebung mit Microsoft Defender for Cloud verbinden.

Kubernetes-Überwachungsprotokolle, die von der Cloudinfrastruktur gesendet werden

Die Cloud-Infrastruktur sendet Kubernetes-Auditprotokolle an Microsoft Defender for Cloud zur Erkennung von Bedrohungen in der Steuerungsebene und für Sicherheitsanalysen. Die Methode zum Sammeln und Senden von Überwachungsprotokollen hängt vom Cloudanbieter und der Umgebung ab, in der die Kubernetes-Cluster ausgeführt werden.

Unterstützung für Proxy- und private Konnektivität

Defender-Komponenten für Container unterstützen ausgehende Konnektivität über konfigurierte Proxys und private Konnektivitätseinstellungen.

Architektur für die einzelnen Kubernetes-Umgebungen

Architekturkomponenten

Wenn Defender for Cloud einen in Azure Kubernetes Service gehosteten Cluster schützt, sammelt er Kubernetes Überwachungsprotokolldaten nativ über Azure Infrastruktur, ohne dass zusätzliche Agents oder Konfiguration erforderlich sind. Um den vollständigen Schutz von Microsoft Defender für Container zu erhalten, benötigen Sie die folgenden Komponenten:

  • Defender sensor: Ein einfaches DaemonSet, das auf AKS-Knoten bereitgestellt wird, die Laufzeittelemetrie (Kubernetes-Ereignisse, Prozess- und Netzwerkdaten) mithilfe eBPF-Technologie sammelt. Diese senden die Telemetrie sicher an Defender für Cloud für den Laufzeit-Bedrohungsschutz. Der Sensor registriert sich bei einem Log Analytics-Arbeitsbereich und dient als Datenpipeline. Die Überwachungsprotokolldaten werden jedoch nicht im Log Analytics-Arbeitsbereich gespeichert. Der Defender Sensor wird als AKS-Sicherheitsprofil bereitgestellt, das nativ in AKS Resource Provider (RP) integriert ist.

Hinweis

Wenn Sie den Defender-Sensor auf einem AKS-Cluster konfigurieren, löst er einen Abstimmungsprozess aus. Dieser Prozess erfolgt im Rahmen des Defender for Containers-Plans und wird erwartet.

  • Azure Policy für Kubernetes: Ein Pod, der die Open-Source-Bibliothek Gatekeeper v3 erweitert und sich als Webhook bei der Kubernetes-Zugangskontrolle registriert. Mit diesem Pod können Sie skalierte Erzwingungen und Sicherheitsvorkehrungen auf Ihre Cluster auf eine zentralisierte, konsistente Weise anwenden. Die Azure Policy für Kubernetes-Pods wird als AKS-Erweiterung bereitgestellt, und Sie müssen sie nur auf einem Knoten im Cluster installieren. Sie bietet die Möglichkeit, Konfigurationsregeln zu erzwingen. Erfahren Sie mehr über Kubernetes Workload Protection und Azure Policy für Kubernetes.
  • ACR-Integration: Push-gestartete und regelmäßige Bildscans für Azure Container Registry ermöglichen eine Sicherheitsbewertung von Schwachstellen, ohne dass zusätzliche Komponenten erforderlich sind.
  • Agentless discovery: Bietet Einblicke in Ihre Kubernetes-Cluster, ohne dass Agents erforderlich sind, indem Azure systemeigenen Funktionen zum Ermitteln und Bewerten von Clusterkonfigurationen verwendet werden.
  • Agentloses Scannen von Maschinen: Regelmäßige Disk-Snapshots von Kubernetes-Knoten für eine out-of-band, tiefgehende Analyse der Betriebssystemkonfiguration und des Dateisystems. Dieses Feature benötigt keine installierten Agents oder Netzwerkkonnektivität und wirkt sich nicht auf die Computerleistung aus.
  • Microsoft XDR integration: Integriert in die erweiterte Erkennungs- und Reaktionsplattform von Microsoft für einheitliche Sicherheitsvorgänge und Die Reaktion auf Vorfälle.

Allgemeine Architektur der Interaktion zwischen Microsoft Defender for Containers, Azure Kubernetes Service und Azure Policy.

Hinweis

Diese Komponenten erfordern keine eingehenden Verbindungen mit Ihren Clustern und verwenden die systemeigene Sicherheitsinfrastruktur Azure. Alle Komponenten verwenden nur ausgehende Verbindungen (kein eingehender Zugriff erforderlich).

Details zur Defender-Sensorkomponente

Pod-Name Namespace Variante Kurzbeschreibung Fähigkeiten Ressourcenbeschränkungen Ausgang erforderlich
microsoft-defender-collector-ds-* kube-system DaemonSet Erfasst Laufzeittelemetrie (Kubernetes-Ereignisse, Prozess- und Netzwerkdaten) von Knoten mithilfe der eBPF-Technologie und sendet sie sicher an Defender for Cloud. SYS_ADMIN,
SYS_RESOURCE,
SYS_PTRACE		 Arbeitsspeicher: 296 Mi

cpu: 360 m		 Nein
microsoft-defender-collector-misc-* kube-system Einsatz Sammelt Bestands- und Sicherheitsereignisse auf Clusterebene, die nicht an bestimmte Knoten gebunden sind. Nicht verfügbar Arbeitsspeicher: 64 Mi

CPU: 60m		 Nein
microsoft-defender-publisher-ds-* kube-system DaemonSet Veröffentlicht gesammelte Telemetriedaten für den Back-End-Dienst von Microsoft Defender für Container zur Verarbeitung und Analyse. Nicht verfügbar Arbeitsspeicher: 200Mi

CPU: 60m		 Https: 443

Weitere Informationen zu den Voraussetzungen für ausgehenden Zugriff

* Ressourcenbeschränkungen können nicht konfiguriert werden. Erfahren Sie mehr über Kubernetes-Ressourcenbeschränkungen.

Wie funktioniert die Ermittlung ohne Agent für Kubernetes in Azure?

Der Ermittlungsprozess verwendet Momentaufnahmen, die in Intervallen erstellt wurden:

Diagramm der Berechtigungsarchitektur.

Wenn Sie die Erweiterung Agentlose Ermittlung für Kubernetes aktivieren, wird der folgende Prozess ausgeführt:

  • Erstellen:
    • Wenn Sie die Erweiterung von Defender CSPM aktivieren, erstellt Defender for Cloud eine Identität in Ihrer Umgebung mit dem Namen CloudPosture/securityOperator/DefenderCSPMSecurityOperator.
    • Wenn Sie die Erweiterung von Defender for Containers aktivieren, erstellt Defender for Cloud in Ihrer Umgebung eine Identität mit dem Namen CloudPosture/securityOperator/DefenderForContainersSecurityOperator.
  • Assign: Defender for Cloud weist dieser Identität im Abonnementbereich eine integrierte Rolle namens Kubernetes Agentless Operator zu. Die Rolle enthält die folgenden Berechtigungen:
    • AKS lesen (Microsoft.ContainerService/managedClusters/read)
    • AKS Trusted Access mit den folgenden Berechtigungen:
      • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/write
      • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/read
      • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/delete Erfahren Sie mehr über AKS Trusted Access.
  • Discover: Mithilfe der vom System zugewiesenen Identität ermittelt Defender for Cloud die AKS-Cluster in Ihrer Umgebung durch API-Aufrufe an den API-Server von AKS.
  • Bind: Nach dem Ermitteln eines AKS-Clusters führt Defender for Cloud einen AKS-Bindungsvorgang durch, indem es eine ClusterRoleBinding zwischen der erstellten Identität und der Kubernetes-ClusterRoleaks:trustedaccessrole:defender-containers:microsoft-defender-operator erstellt. Das ClusterRole ist über die API sichtbar und gibt der Datenebene von Defender for Cloud Leseberechtigung innerhalb des Clusters.

Hinweis

Die kopierte Momentaufnahme verbleibt in derselben Region wie der Cluster.

Verwandte Inhalte

  • Last updated on