Architecture de Defender pour les conteneurs

Composants d’architecture

Quand Defender for Cloud protège un cluster hébergé dans Azure Kubernetes Service, il collecte en mode natif les données du journal d’audit Kubernetes via Azure infrastructure sans nécessiter d’agents ou de configuration supplémentaires. Pour bénéficier de la protection complète offerte par Microsoft Defender pour conteneurs, vous avez besoin de ces composants :

• Defender sensor : Un DaemonSet léger déployé sur des nœuds AKS qui collecte les données de télémétrie d’exécution (événements, processus et données réseau Kubernetes) à l’aide de la technologie eBPF. Il envoie les données de télémétrie en toute sécurité à Defender pour cloud pour la protection contre les menaces d’exécution. Le capteur s’inscrit auprès d’un espace de travail Log Analytics et agit comme un pipeline de données. Toutefois, les données du journal d’audit ne sont pas stockées dans l’espace de travail Log Analytics. Le capteur Defender est déployé en tant que profil de sécurité AKS, intégré en mode natif à AKS Resource Provider (RP).

• Azure Policy for Kubernetes : un pod qui étend le Gatekeeper v3 open source et s’enregistre en tant que webhook auprès du contrôle d’admission Kubernetes. Avec ce pod, vous pouvez appliquer des mesures coercitives à grande échelle et des mesures de protection sur vos clusters de manière centralisée et cohérente. Le pod Azure Policy pour Kubernetes est déployé en tant que module complémentaire AKS et vous devez uniquement l’installer sur un nœud du cluster. Elle offre la possibilité d’appliquer des règles de configuration. En savoir plus sur la protection des charges de travail Kubernetes et Azure Policy pour Kubernetes.
• intégration ACR : analyse d’images déclenchées par push et périodiques pour Azure Container Registry, ce qui fournit une évaluation des vulnérabilités sans nécessiter de composants supplémentaires.
• Détection sans agent : Fournit une visibilité sur vos clusters Kubernetes sans nécessiter d’agents, en utilisant les fonctionnalités natives d'Azure pour découvrir et évaluer les configurations de cluster.
• Analyse sans agent des machines : Captures instantanées de disque périodiques de nœuds Kubernetes pour une analyse approfondie de la configuration du système d’exploitation et du système de fichiers. Cette fonctionnalité n’a pas besoin d’agents installés ou de connectivité réseau et n’affecte pas les performances de l’ordinateur.
• Microsoft intégration XDR : s’intègre à la plateforme étendue de détection et de réponse de Microsoft pour les opérations de sécurité unifiées et la réponse aux incidents.

Détails du composant capteur Defender

* Vous ne pouvez pas configurer les limites de ressources. En savoir plus sur les limites des ressources Kubernetes.

Comment fonctionne la détection sans agent pour Kubernetes dans Azure ?

Le processus de découverte utilise des instantanés pris à intervalles :

Lorsque vous activez l’extension Détection sans agent pour Kubernetes, le processus suivant se produit :

• Créer:
  • Si vous activez l’extension à partir de CSPM Defender, Defender pour Cloud crée une identité dans votre environnement appelé CloudPosture/securityOperator/DefenderCSPMSecurityOperator.
  • Si vous activez l’extension à partir de Defender pour conteneurs, Defender pour Cloud crée une identité dans votre environnement appelé CloudPosture/securityOperator/DefenderForContainersSecurityOperator.
• Assign : Defender for Cloud attribue un rôle intégré appelé Kubernetes Agentless Operator à cette identité sur l’étendue de l’abonnement. Le rôle contient les autorisations suivantes :
  • Lecture AKS (Microsoft.ContainerService/managedClusters/read)
  • Accès approuvé AKS avec les autorisations suivantes :
    • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/write
    • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/read
    • Microsoft. ContainerService/managedClusters/trustedAccessRoleBindings/delete En savoir plus sur AKS Trusted Access.
• Discover : À l’aide de l’identité affectée par le système, Defender for Cloud découvre les clusters AKS dans votre environnement en effectuant des appels d’API au serveur d’API d’AKS.
• Bind : Après la découverte d’un cluster AKS, Defender for Cloud effectue une opération de liaison AKS en créant une ClusterRoleBinding entre l’identité créée et l'ClusterRoleaks :trustedaccessrole :defender-containers :microsoft-defender-operator. Le ClusterRole est visible via l’API et accorde à Defender for Cloud une permission de lecture du plan de données à l’intérieur du cluster.

Composants d’architecture

Lorsque Defender pour Cloud protège un cluster hébergé dans Elastic Kubernetes Service, il collecte les données du journal d’audit sans utiliser d’agent. Pour bénéficier de la protection complète offerte par Microsoft Defender pour conteneurs, vous avez besoin de ces composants :

• Kubernetes audit logs :le service CloudWatch du compte AWS active et collecte les données du journal d'audit via un collecteur sans agent et envoie les informations collectées à l'infrastructure de backend de Microsoft Defender for Cloud pour une analyse plus approfondie.
• Azure Arc Kubernetes : Connecte vos clusters EKS à Azure et permet Defender for Cloud de déployer des composants de sécurité en tant qu’extensions Arc.
• Defender sensor : Un DaemonSet léger déployé sur chaque nœud qui collecte les données de télémétrie d'exécution (événements Kubernetes, processus et données réseau) à l'aide de la technologie eBPF pour la protection contre les menaces d'exécution. Le capteur s’inscrit auprès d’un espace de travail Log Analytics et agit comme un pipeline de données. Toutefois, les données du journal d’audit ne sont pas stockées dans l’espace de travail Log Analytics. Le capteur Defender est déployé en tant qu’extension Kubernetes avec Arc.
• Azure Policy pour Kubernetes : Un pod qui étend le Gatekeeper v3 et s’inscrit en tant que webhook au contrôle d’admission de Kubernetes, ce qui permet d’appliquer des règles et des protections à grande échelle sur vos clusters de manière centralisée et cohérente. Le pod Azure Policy pour Kubernetes est déployé en tant qu’extension Kubernetes avec Arc et doit uniquement être installé sur un nœud du cluster. Elle offre la possibilité d’appliquer des règles de configuration.
• Intégration d’Amazon ERC : Évaluation des vulnérabilités sans agent pour les images conteneur stockées dans AMAZON Elastic Container Registry (ERC). Les images sont analysées automatiquement lorsqu’elles sont envoyées au Registre, ce qui fournit des résultats de sécurité intégrés à Defender for Cloud.

Comment fonctionne la détection sans agent pour Kubernetes dans AWS ?

Le processus de découverte utilise des instantanés pris à intervalles :

Lorsque vous activez l’extension Détection sans agent pour Kubernetes, le processus suivant se produit :

• Créer:
  • Ajoutez le rôle Defender pour le cloud MDCContainersAgentlessDiscoveryK8sRole à la ConfigMap aws-auth des clusters EKS. Vous pouvez personnaliser le nom.
• Assign : Defender for Cloud attribue le rôle MDCContainersAgentlessDiscoveryK8sRole les autorisations suivantes :
  • eks:UpdateClusterConfig
  • eks:DescribeCluster
• Discover : À l’aide de l’identité affectée par le système, Defender for Cloud découvre les clusters EKS dans votre environnement en effectuant des appels d’API au serveur d’API d’EKS.

Composants d’architecture

Quand Defender pour Cloud protège un cluster hébergé dans Google Kubernetes Engine, il collecte les données du journal d’audit sans utiliser d’agent. Pour bénéficier d’une protection complète de Microsoft Defender pour conteneurs, vous avez besoin de ces composants :

• Kubernetes audit logs :GCP Cloud Logging active et collecte les données du journal d’audit via un collecteur sans agent et envoie les informations collectées au serveur principal Microsoft Defender for Cloud pour une analyse plus approfondie.
• Azure Arc Kubernetes : Connecte vos clusters GKE à Azure et permet Defender for Cloud de déployer des composants de sécurité en tant qu’extensions Arc.
• Defender sensor : Un DaemonSet léger déployé sur chaque nœud qui collecte les données de télémétrie d'exécution (événements Kubernetes, processus et données réseau) à l’aide de la technologie eBPF pour la protection contre les menaces d'exécution. Le capteur s’inscrit auprès d’un espace de travail Log Analytics et agit comme un pipeline de données. Toutefois, les données du journal d’audit ne sont pas stockées dans l’espace de travail Log Analytics. Le capteur Defender est déployé en tant qu’extension Kubernetes avec Arc.
• Azure Policy pour Kubernetes : Un pod qui étend Gatekeeper v3 et s’inscrit en tant que webhook au contrôle d’admission Kubernetes, ce qui permet d’appliquer des règles et des protections à grande échelle sur vos clusters de manière centralisée et cohérente. Le pod Azure Policy pour Kubernetes est déployé en tant qu’extension Kubernetes avec Arc et doit uniquement être installé sur un nœud du cluster. Elle offre la possibilité d’appliquer des règles de configuration.
• Intégration de Google Registry : Évaluation des vulnérabilités sans agent pour les images conteneur stockées dans Google Container Registry (GCR) et Google Artifact Registry (GAR). Les images sont analysées automatiquement lorsqu’elles sont envoyées aux registres, en exposant les vulnérabilités en mode natif dans Defender for Cloud.

Comment fonctionne la détection sans agent pour Kubernetes dans GCP ?

Le processus de découverte utilise des instantanés pris à intervalles :

Lorsque vous activez l’extension Détection sans agent pour Kubernetes, le processus suivant se produit :

• Créer:
  • Le compte de service mdc-containers-k8s-operator est créé. Vous pouvez personnaliser le nom.
• Assign : Defender for Cloud attache les rôles suivants au compte de service mdc-containers-k8s-operator :
  • Le rôle personnalisé MDCGkeClusterWriteRole, qui dispose de l’autorisation container.clusters.update
  • Le rôle intégré container.viewer
• Discover : À l’aide de l’identité affectée par le système, Defender for Cloud découvre les clusters GKE dans votre environnement en effectuant des appels d’API au serveur d’API de GKE.

Composants d’architecture

Pour bénéficier d’une protection complète de Microsoft Defender pour conteneurs, vous avez besoin de ces composants :

• Azure Arc-enabled Kubernetes : Connecte vos clusters à Azure et permet à Defender for Cloud de déployer des composants de sécurité en tant qu’extensions Arc.
• Defender sensor : Un DémonSet léger déployé sur chaque nœud qui collecte les données de télémétrie d’exécution (événements, processus et données réseau Kubernetes) à l’aide de la technologie eBPF et des journaux d’audit Kubernetes pour la protection contre les menaces d’exécution. Le capteur s’inscrit auprès d’un espace de travail Log Analytics et agit comme un pipeline de données. Toutefois, les données du journal d’audit ne sont pas stockées dans l’espace de travail Log Analytics. Vous déployez le capteur Defender en tant qu’extension Kubernetes avec Arc.
• Azure Policy pour Kubernetes : Un pod qui étend l'outil open source Gatekeeper v3 et s'inscrit en tant que webhook au contrôle d'admission Kubernetes. Avec ce pod, vous pouvez appliquer des mesures coercitives à grande échelle et des mesures de protection sur vos clusters de manière centralisée et cohérente. Il vous suffit de l’installer sur un nœud du cluster. Elle offre la possibilité d’appliquer des règles de configuration. En savoir plus sur la protection des charges de travail Kubernetes et Azure Policy pour Kubernetes.