Kubernetes-gegevensvlakverharding configureren in Defender voor Cloud

Kubernetes-gegevensvlakbeveiliging helpt bij het afdwingen van beveiligde configuraties voor workloads die worden uitgevoerd in uw cluster, zoals het beperken van bevoegde containers, het afdwingen van resourcelimieten en het beperken van netwerktoegang.

In Microsoft Defender voor Cloud wordt gegevensvlakbeveiliging geïmplementeerd met behulp van Azure Policy voor Kubernetes om deze configuraties te evalueren en af te dwingen. Azure Policy wordt geïmplementeerd als onderdeel van Defender voor containers wanneer automatische inrichting ingeschakeld is.

Als Azure Policy voor Kubernetes is uitgeschakeld in de Defender for Containers-planinstellingen, kunt u deze implementeren door de relevante aanbeveling te herstellen. U kunt Azure Policy ook handmatig implementeren met behulp van Azure CLI of Helm als u automatische inrichting hebt uitgeschakeld tijdens het inschakelen of uitsluiten van specifieke clusters van automatische inrichting.

Nadat Azure Policy voor Kubernetes is geïmplementeerd, genereert Defender voor Cloud aanbevelingen voor gegevensvlakbeveiliging op basis van uw clusterconfiguratie. Op deze pagina ziet u hoe u deze aanbevelingen controleert, beleidsparameters configureert en afdwingt op uw clusters.

Vereisten

Om te beginnen moet u ervoor zorgen dat:

• Defender voor containers is ingeschakeld voor uw abonnement.

• U hebt de vereiste FQDN/applicatieregels voor Azure-beleid toegevoegd.

• (Voor niet-AKS-clusters) Uw Kubernetes-cluster is verbonden met Azure Arc.

Azure Policy voor Kubernetes inschakelen door aanbevelingen te herstellen

Als Azure Policy voor Kubernetes niet is geïmplementeerd of is uitgeschakeld in de Defender for Containers-planinstellingen, kunt u deze installeren door de relevante aanbeveling in Defender voor Cloud te herstellen.

1. Meld u aan bij de Azure-portal.

2. Ga naar Microsoft Defender voor Cloud>Aanbevelingen.

3. Zoek naar de relevante aanbeveling:

   • Azure: Azure Kubernetes Service clusters moeten de Azure Policy-invoegtoepassing voor Kubernetes hebben geïnstalleerd
   • GCP: GKE-clusters moeten de Azure Policy-extensie hebben geïnstalleerd
   • AWS/Arc-enabled Kubernetes: Azure Arc-enabled Kubernetes-clusters moeten de Azure Policy-extensie hebben geïnstalleerd

   

4. Selecteer een aanbeveling.

5. Selecteer Op het tabblad Actie ondernemende optie Herstellen.

   

6. Kies Corrigeren om de geselecteerde bronnen te herstellen.

7. Herhaal dit voor elke aanbeveling.

Aanbevelingen voor het beveiligen van gegevensvlakken

Nadat u Azure Policy voor Kubernetes hebt geïmplementeerd, heeft Defender voor Cloud de clusterconfiguratie geëvalueerd en aanbevelingen voor de beveiliging van het gegevensvlak gegenereerd. Dit proces kan tot 30 minuten duren.

De volgende tabel bevat algemene aanbevelingen voor gegevensvlakbeveiliging:

Aanbevelingen voor een cluster weergeven

Aanbevelingen voor datavlakverharding voor een specifiek cluster bekijken:

1. Meld u aan bij de Azure-portal.

2. Ga naar Defender voor Cloud>Inventory.

3. Stel het resourcetypefilter in op de Kubernetes-service en selecteer Toepassen.

   

4. Selecteer het relevante cluster.

5. Bekijk de beschikbare aanbevelingen. Aanbevelingen voor gegevensvlakbeveiliging geven het aantal betrokken Kubernetes-onderdelen weer.

6. Selecteer een aanbeveling om betrokken resources weer te geven.

   

7. Selecteer het tabblad Actie ondernemen om herstelopties te controleren.

   

Beleidsparameters configureren

Voor sommige aanbevelingen moet de parameterconfiguratie effectief zijn. De aanbeveling containerafbeeldingen moeten bijvoorbeeld alleen worden geïmplementeerd vanuit vertrouwde registers vereist dat u een lijst met vertrouwde registers definieert.

Als vereiste parameters niet zijn geconfigureerd, worden resources weergegeven als ongezond.

Om beleidsparameters te configureren:

1. Meld u aan bij de Azure-portal.

2. Ga naar Microsoft Defender voor Cloud>Omgevingsinstellingen.

3. Selecteer het betreffende abonnement.

4. Selecteer Beveiligingsbeleid.

   

5. Selecteer op het tabblad Standaarden de relevante beveiligingsstandaard.

6. Selecteer het 3-punts menu van de relevante beleidstoewijzing en selecteer Effect en parameters beheren.

   

7. Werk de vereiste parameterwaarden bij.

   

8. Selecteer Opslaan.

Beleid voor het beveiligen van gegevensvlakken afdwingen

Beleidsregels evalueren standaard resources in de controlemodus. Als u een beleid wilt afdwingen, stelt u het effect ervan in op Weigeren.

Het handhaven van een aanbeveling:

1. Meld u aan bij de Azure-portal.

2. Ga naar Microsoft Defender voor Cloud>Aanbevelingen.

3. Zoek en selecteer de relevante aanbeveling voor gegevensvlak verharding.

4. Selecteer Weigeren op het tabblad Actie ondernemen.

   

5. Stel het bereik in.

6. Selecteer Wijzigen naar weigeren.

Beleidshandhaving testen

U kunt het gegevensvlakbeveiligingsbeleid valideren door testworkloads te implementeren.

• Een compatibele implementatie die voldoet aan de vereisten voor de beveiliging van gegevensvlakken
• Een niet-compatibele implementatie die meerdere beleidsregels schendt

Implementeer het volgende voorbeeld van YAML-bestanden om te controleren of compatibele workloads zijn geïmplementeerd en niet-compatibele workloads worden gemarkeerd of geblokkeerd, afhankelijk van de instellingen voor het afdwingen van beleid.

Voorbeeld van compatibele implementatie

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-healthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:
      labels:
        app: redis
      annotations:
        container.apparmor.security.beta.kubernetes.io/redis: runtime/default
    spec:
      containers:
      - name: redis
        image: <customer-registry>.azurecr.io/redis:latest
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: 100m
            memory: 250Mi
        securityContext:
          privileged: false
          readOnlyRootFilesystem: true
          allowPrivilegeEscalation: false
          runAsNonRoot: true
          runAsUser: 1000
---
apiVersion: v1
kind: Service
metadata:
  name: redis-healthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 80
    targetPort: 80

Voorbeeld van niet-compatibele implementatie

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-unhealthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:      
      labels:
        app: redis
    spec:
      hostNetwork: true
      hostPID: true 
      hostIPC: true
      containers:
      - name: redis
        image: redis:latest
        ports:
        - containerPort: 9001
          hostPort: 9001
        securityContext:
          privileged: true
          readOnlyRootFilesystem: false
          allowPrivilegeEscalation: true
          runAsUser: 0
          capabilities:
            add:
              - NET_ADMIN
        volumeMounts:
        - mountPath: /test-pd
          name: test-volume
          readOnly: true
      volumes:
      - name: test-volume
        hostPath:
          # directory location on host
          path: /tmp
---
apiVersion: v1
kind: Service
metadata:
  name: redis-unhealthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 6001
    targetPort: 9001

Verwante inhoud

• Schakel Defender voor Containers in Microsoft Defender voor Cloud in

• Implementeer Defender voor containeronderdelen met Azure CLI