Proteger o endurecimento do plano de dados do Kubernetes

Esta página descreve como usar o conjunto de recomendações de segurança do Microsoft Defender para a Cloud dedicado ao endurecimento do plano de dados Kubernetes.

Configura a proteção do seu workload

Microsoft Defender para a Cloud inclui um conjunto de recomendações que estão disponíveis depois de instalares o Azure Policy para Kubernetes.

Pré-requisitos

• Adicione as regras Required FQDN/aplicação para política do Azure.
• (Para clusters não AKS) Ligue um cluster Kubernetes existente a Azure Arc.

Habilitar o endurecimento do plano de dados do Kubernetes

Pode ativar o Azure Policy for Kubernetes de duas formas:

• Ativar para todos os clusters atuais e futuros usando as definições de plano/conector:
  • Ativação para subscrições Azure ou on-premises
  • Ativação para projetos da Google Cloud Platform (GCP)
• Deploye Azure Policy para Kubernetes em clusters existentes

Ative o Azure Policy for Kubernetes para todos os clusters atuais e futuros usando as definições plan/connector

Ativar para subscrições do Azure ou on-premises

Quando ativas o Microsoft Defender for Containers, a definição "Azure Policy for Kubernetes" está ativada por padrão para o Azure Kubernetes Service e para clusters Kubernetes com Azure Arc na subscrição relevante. Se você desativar a configuração na configuração inicial, poderá ativá-la posteriormente manualmente.

Se desativou as definições "Azure Policy for Kubernetes" no plano de contentores, pode seguir os passos abaixo para a ativar em todos os clusters da sua subscrição:

1. Inicie sessão no portal Azure.

2. Vai a Microsoft Defender para a Cloud>Gestão>Definições de ambiente.

3. Selecione a subscrição relevante.

4. Na página de planos do Defender, certifique-se de que Containers está definido em On.

5. Selecione Definições.

   

6. Na página Definições e Monitorização, alterne a Política da Azure para Kubernetes para Ativado.

   

Habilitar para projetos GCP

Quando ativa o Microsoft Defender for Containers num conector GCP, a definição "Azure Policy Extension for Azure Arc" é ativada automaticamente para o Google Kubernetes Engine no projeto em questão. Se você desativar a configuração na configuração inicial, poderá ativá-la posteriormente manualmente.

Se desativaste as definições da "Extensão de Política Azure para o Azure Arc" no conector GCP, poderás seguir os passos abaixo para ativá-lo no teu conector GCP.

Implementar Políticas do Azure para Kubernetes em clusters existentes

Pode configurar manualmente a Azure Policy for Kubernetes em clusters Kubernetes existentes através da página de Recomendações. Uma vez habilitadas, as recomendações de proteção ficam disponíveis (algumas das recomendações exigem outra configuração para funcionar).

Para implementar o Azure Policy do Kubernetes em clusters especificados:

1. Inicie sessão no portal Azure.

2. Vá a Microsoft Defender para a Cloud>Geral>Recomendações.

3. Procure a recomendação relevante:

   • Azure -"Azure Kubernetes Service clusters should have the Azure Policy add-on for Kubernetes installed"
   • GCP - "GKE clusters should have the Azure Policy extension".
   • AWS e On-premises - "Azure Arc-enabled Kubernetes clusters should have the Azure policy extension for Kubernetes extension installed".

   

4. Escolha uma recomendação encontrada.

5. Selecione Corrigir.

   

6. Repita para cada recomendação adicional.

Visualizar e configurar o pacote de recomendações

Cerca de 30 minutos após a conclusão da instalação da Azure Policy for Kubernetes, o Defender para a Cloud apresenta o estado de saúde dos clusters para as seguintes recomendações, cada uma no respetivo controlo de segurança, conforme mostrado:

Para recomendações com parâmetros que precisam ser personalizados, você precisa definir os parâmetros:

Para definir os parâmetros:

1. Inicie sessão no portal Azure.

2. Vai a Microsoft Defender para a Cloud>Gestão>Definições de ambiente.

3. Selecione a subscrição relevante.

4. No menu de navegação, selecione Políticas de Segurança.

   

5. Na aba Normas, pesquisa o padrão de segurança apropriado.

6. Selecione o menu de 3 pontos do padrão de segurança e selecione Gerir.

   

7. Selecione o menu de 3 pontos da atribuição de políticas relevante e selecione Gerir efeito e parâmetros.

   

8. Modificar os valores conforme necessário.

   

9. Selecione Guardar.

Para fazer cumprir qualquer uma das recomendações:

1. Abra a página de detalhes da recomendação e selecione Negar:

   

   O painel para definir o escopo abre-se.

2. Defina o escopo e selecione Alterar para negar.

Para ver quais recomendações se aplicam aos seus clusters:

1. Inicie sessão no portal Azure.

2. Vai ao Defender para a Cloud>Inventory.

3. Defina o filtro de tipo de recurso para serviços Kubernetes e selecione Aplicar.

   

4. Selecione um cluster para investigar.

5. Veja as recomendações disponíveis para isso. Quando você visualiza uma recomendação do conjunto de proteção de carga de trabalho, o número de pods afetados ("componentes do Kubernetes") é listado ao lado do cluster.

6. Opcional: Para ver uma lista dos pods específicos, selecione a recomendação.

   

7. e depois seleciona Executar ação.

Para testar a aplicação, use as duas implementações do Kubernetes abaixo:

• Uma delas é uma implantação saudável, compatível com o conjunto de recomendações de proteção da carga de trabalho.

• A outra é para uma implantação não íntegra, não compatível com qualquer uma das recomendações.

Implante os arquivos .yaml de exemplo no estado em que se encontram ou use-os como referência para corrigir sua própria carga de trabalho.

Arquivo de exemplo .yaml de implantação saudável

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-healthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:
      labels:
        app: redis
      annotations:
        container.apparmor.security.beta.kubernetes.io/redis: runtime/default
    spec:
      containers:
      - name: redis
        image: <customer-registry>.azurecr.io/redis:latest
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: 100m
            memory: 250Mi
        securityContext:
          privileged: false
          readOnlyRootFilesystem: true
          allowPrivilegeEscalation: false
          runAsNonRoot: true
          runAsUser: 1000
---
apiVersion: v1
kind: Service
metadata:
  name: redis-healthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 80
    targetPort: 80

Exemplo de arquivo .yaml de implementação insalubre

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-unhealthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:      
      labels:
        app: redis
    spec:
      hostNetwork: true
      hostPID: true 
      hostIPC: true
      containers:
      - name: redis
        image: redis:latest
        ports:
        - containerPort: 9001
          hostPort: 9001
        securityContext:
          privileged: true
          readOnlyRootFilesystem: false
          allowPrivilegeEscalation: true
          runAsUser: 0
          capabilities:
            add:
              - NET_ADMIN
        volumeMounts:
        - mountPath: /test-pd
          name: test-volume
          readOnly: true
      volumes:
      - name: test-volume
        hostPath:
          # directory location on host
          path: /tmp
---
apiVersion: v1
kind: Service
metadata:
  name: redis-unhealthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 6001
    targetPort: 9001

Próximos passos

Neste artigo, você aprendeu como configurar a proteção do plano de dados do Kubernetes.

Para material relacionado, consulte as seguintes páginas:

• Recomendações do Defender para a Cloud para processamento
• Alertas para o nível de cluster AKS