La pestaña Container Protection Settings en la consola de Security Center le permite habilitar funciones de seguridad en tiempo de ejecución para contenedores. Entre ellas se incluyen la detección de amenazas en contenedores Kubernetes y la prevención de escape de contenedores.
Detección de amenazas en contenedores Kubernetes
La detección de amenazas en contenedores Kubernetes supervisa el estado de seguridad de los clústeres de contenedores en ejecución en tiempo real. De esta forma, detecta ataques y comportamientos anómalos conforme ocurren. Cuando se identifica una amenaza, Security Center genera automáticamente una alerta del tipo K8s Abnormal Behavior. Esto brinda a su equipo una advertencia temprana para investigar y responder antes de que el daño se propague.
Por ejemplo, una vulneración puede iniciar con un solo contenedor vulnerable. Un atacante lo aprovecha para ejecutar comandos maliciosos, se desplaza lateralmente entre cuentas de servicio y finalmente escapa al host o extrae datos. Esta función supervisa toda la cadena: desde instrucciones sospechosas en el servidor API y el inicio de imágenes maliciosas, hasta shells inversas y la escalada de privilegios en contenedores.
Limitaciones
Servicio de suscripción:
Disponible para las ediciones Enterprise o Ultimate. Para actualizar, consulte Purchase Security Center.
Los servidores deben configurarse con la edición de protección Enterprise o Ultimate. Para obtener instrucciones, consulte Manage host and container security quotas.
Servicio pay-as-you-go:
El servicio Host and Container Security debe estar habilitado. Para habilitarlo, consulte Purchase Security Center.
Los servidores deben establecerse en el nivel Host Protection o Host and Container Protection. Para obtener instrucciones, consulte Pay-as-you-go instances.
Habilitar la detección de amenazas en contenedores Kubernetes
Inicie sesión en la consola de Security Center consola de Security Center. En la barra de navegación superior, seleccione la región del activo que desea gestionar: China u Outside China.
En el panel de navegación izquierdo, elija System Settings > Feature Settings.
En la pestaña Container Protection Settings de la pestaña Settings, vaya a la sección Threat Detection on Kubernetes Containers y active Threat Detection.
Después de activar el interruptor, las amenazas detectadas aparecen como alertas en la página Detection and Response > Alert. Consulte y atienda las alertas de inmediato. Para más detalles, consulte Evaluate and handle security alerts.
Si la función Agentic SOC está habilitada, el punto de entrada a Alert cambia. Para más detalles, consulte Agentic SOC overview .
Amenazas detectables
Esta función detecta amenazas en cinco categorías:
|
Categoría |
Elementos detectables |
|
Comportamiento anómalo de K8s |
Ejecución de instrucciones sospechosas en un servidor API de Kubernetes; montaje de directorios sospechosos en un pod; movimiento lateral entre cuentas de servicio de Kubernetes; inicio de un pod que contiene una imagen maliciosa |
|
Conexión de red inusual |
Conexión saliente de shells inversas; conexión de red saliente sospechosa; movimiento lateral sospechoso en redes internas |
|
Malware |
Troyano DDoS; conexión sospechosa desde máquinas de minería; programa sospechoso; herramienta sospechosa que inicia ataques de fuerza bruta en puertos; programa de ataque sospechoso; programa de puerta trasera; herramienta maliciosa de detección de vulnerabilidades; programa malicioso; programa de minería; troyano; troyano automutante; gusano |
|
WebShell |
WebShell |
|
Proceso sospechoso |
Comando sospechoso ejecutado por Apache CouchDB; comando sospechoso ejecutado por aplicaciones FTP; comando sospechoso ejecutado por Hadoop; comando sospechoso ejecutado por aplicaciones Java; comando sospechoso ejecutado por Jenkins; creación sospechosa de cuentas en Linux; comando sospechoso ejecutado por tareas programadas en Linux; comando sospechoso ejecutado por MySQL; comando sospechoso ejecutado por Oracle; comando sospechoso ejecutado por aplicaciones PostgreSQL; comando sospechoso ejecutado por aplicaciones Python; ejecución sospechosa de comandos SSH no interactivos de una sola línea dirigidos a máquinas remotas; webshell que ejecuta comandos de sondeo sospechosos; modificación de configuraciones RDP de Windows para el puerto 3389; ejecución sospechosa de comandos de descarga en Windows; creación sospechosa de cuentas en Windows; inyección de código malicioso en trabajos crontab; secuencia de comandos sospechosa en Linux; ejecución de comandos sospechosos en Linux; inyección dinámica de scripts sospechosos; shell inversa; comando de shell inversa; posible filtración de datos mediante túneles HTTP; tunelización SSH sospechosa; inyección sospechosa de webshells; inicio sospechoso de un contenedor con privilegios; escucha de puertos sospechosa; inicio de contenedores maliciosos; depuración remota de API en docker que puede representar riesgos de seguridad; comando sospechoso; escalada de privilegios en contenedores o escapes de contenedores; inicio de contenedores maliciosos |
Prevención de escape de contenedores
La prevención de escape de contenedores supervisa procesos, archivos y llamadas al sistema para detectar comportamientos de alto riesgo antes de que un escape tenga éxito. Esta función establece una barrera de protección entre los contenedores y los hosts. Además, intercepta patrones de ataque conocidos y desconocidos, incluidos aquellos que aprovechan vulnerabilidades de los contenedores para alcanzar el host subyacente.
Requisitos previos
Antes de empezar, asegúrese de que como mínimo uno de los siguientes interruptores esté activado:
Malicious Host Behavior Prevention
Webshell Prevention
Para obtener instrucciones, consulte Proactive Defense.
Habilitar la prevención de escape de contenedores
Inicie sesión en la consola de Security Center consola de Security Center. En la barra de navegación superior, seleccione la región del activo que desea gestionar: China u Outside China.
En el panel de navegación izquierdo, elija System Settings > Feature Settings.
En la pestaña Container Protection Settings de la pestaña Settings, vaya a la sección Container Escape Prevention y active Threat Detection.
Pasos siguientes
Después de habilitar la prevención de escape de contenedores:
Cree una regla de defensa para escapes de contenedores para activar la protección. Para obtener instrucciones, consulte Use container escape prevention.
Si Security Center detecta riesgos en sus clústeres de Kubernetes, las alertas aparecerán en la página Detection and Response > Alert. Consúltelas y atiéndalas de inmediato. Para más detalles, consulte Evaluate and handle security alerts.
Si la función Agentic SOC está habilitada, el punto de entrada a Alert cambia. Para más detalles, consulte Agentic SOC overview .