Security Center:Protección de archivos de contenedor

Límites

• Solo la edición Ultimate de Security Center es compatible con esta función. Las demás ediciones no la admiten. Para obtener más información sobre cómo comprar o actualizar Security Center, consulte Purchase Security Center y Upgrade and downgrade Security Center.

• El agente de Security Center debe estar instalado en los servidores donde se despliegan los clústeres que desea proteger. Para obtener más información, consulte Install the Security Center agent.

• Solo se protegen los clústeres conectados a Security Center. Para proteger un clúster de Kubernetes autogestionado, primero conéctelo a Security Center. Para obtener más información, consulte Connect a self-managed Kubernetes cluster to Security Center.

• El sistema operativo y la versión del kernel de los servidores que alojan su clúster deben estar dentro del rango compatible. Para consultar la lista completa de compatibilidad, vea Supported operating systems and kernel versions.

• La cantidad de directorios protegidos por etiqueta de pod en un solo clúster (contando únicamente las reglas habilitadas) no puede superar los 10. De lo contrario, la protección de archivos de contenedor deja de estar disponible para todo el clúster.

• El número total de etiquetas de pod únicas (después de eliminar duplicados) en todas las reglas habilitadas de un mismo clúster no puede superar las 10. Si se excede este límite, la protección de archivos de contenedor deja de estar disponible para todo el clúster.

  Ejemplo: Cluster01 tiene un pod (Pod01) con una etiqueta (Label01). Usted crea 12 reglas de protección de archivos de contenedor (Rule01–Rule12) para Cluster01:

  Rule01: hace referencia a Label01 de Cluster01.

  Rule02: hace referencia a Label02 de Cluster01 (una etiqueta de pod se puede referenciar aunque ningún pod la use actualmente).

  ...

  Rule09: hace referencia a Label09 de Cluster01.

  Rule10: hace referencia a Label10 de Cluster01.

  Rule11: hace referencia a Label10 de Cluster01.

  Rule12: hace referencia a Label10 de Cluster01.

  Tras eliminar duplicados, se referencian 10 etiquetas únicas (Label01–Label10). La protección de archivos de contenedor funciona con normalidad.

  Si crea y habilita Rule13, que hace referencia a Label10 y Label11 de Cluster01, el conteo sin duplicados llega a 11. En consecuencia, la protección de archivos de contenedor deja de estar disponible por completo para Cluster01.

Crear una regla

1. Inicie sesión en la consola de Security Center.

2. En el panel de navegación izquierdo, elija Protection Configuration > Container Protection > Container File Protection. En la esquina superior izquierda de la consola, seleccione la región donde se encuentra el recurso que desea proteger: Chinese Mainland o Outside Chinese Mainland.

3. En la página Container File Protection, haga clic en Create Rule.

4. En el panel Create Rule, configure los parámetros de la regla y haga clic en Next.

   Los campos Protected File Directory, Processes in Whitelist y Excluded File Path admiten comodines. Las reglas usan coincidencia exacta. A continuación se muestran ejemplos con /dir1/test para ilustrar la lógica de coincidencia:

   • /dir1/test (ruta exacta): coincide solo con /dir1/test. No coincide con /dir1/test/1.html ni con /dir1/test/dir1/2.html.

     • Directorio de archivos protegido: si se establece en /dir1/test, solo se protege el propio directorio /dir1/test (eliminar o renombrar /dir1/test activa una alerta o un bloqueo). Los subdirectorios y archivos dentro de /dir1/test no quedan protegidos.

     • Lista de permitidos: si se establece en /dir1/test, solo los procesos generados por el ejecutable /dir1/test pueden modificar el directorio protegido sin activar una alerta o un bloqueo. Los procesos generados por /dir1/test/1.html sí activan alertas o bloqueos.

     • Ruta de archivo excluida: si Directorio de archivos protegido se establece en /dir1/* y Ruta de archivo excluida en /dir1/test, solo se excluye el propio directorio /dir1/test. Eliminar o renombrar /dir1/test no activa la regla. Sin embargo, modificar el contenido de /dir1/test/1.html sí activa una alerta o un bloqueo.

       Nota

       Todas las reglas siguen una lógica de coincidencia similar para Protected File Directory, Processes in Whitelist y Excluded File Path. Estas solo se aplican a las rutas que coinciden.

   • /dir1/test* (comodín como sufijo): coincide con /dir1/test, /dir1/test/1.html, /dir1/test/dir1/2.html, /dir1/test1/1.html, /dir1/test2/2.html, entre otras rutas.

   • /dir1/test/*.html (comodín en la ruta): coincide con /dir1/test/index.html y /test/dir1/index.html.

   Parámetro		Descripción	Ejemplo
   Rule Name		Introduzca un nombre para la regla. Debe tener entre 6 y 50 caracteres, comenzar con una letra o un carácter chino y puede contener dígitos, guiones bajos (_) y guiones (-).	Cluster01
   Rule Configuration	Protected File Directory	Especifique el directorio que desea proteger. Requisitos: La ruta debe comenzar con una barra diagonal (/). Solo se permite introducir un directorio por línea. La ruta del directorio debe tener menos de 500 caracteres. Cada regla protege un único directorio. Para proteger varios directorios, haga clic en Add en la columna Actions. Una sola regla de protección de archivos de contenedor admite hasta 10 directorios protegidos.	Nota Para proteger el directorio /home junto con todos sus subdirectorios y archivos, configure dos directorios protegidos: /home /home/* Como alternativa, configure /home*, que también abarca /home1/, /home2/ y directorios similares.
   	Processes in Whitelist	Especifique los procesos que pueden modificar el directorio protegido y las rutas de archivo excluidas de la protección. Los procesos incluidos en la lista de permitidos o las modificaciones en rutas excluidas no activan alertas ni bloqueos. Requisitos: Cada proceso o ruta de archivo no debe superar los 50 caracteres. Separe varias entradas con punto y coma (;). Cada directorio protegido admite hasta 10 procesos en la lista de permitidos y 10 rutas de archivo excluidas. Siga estos principios al configurar la lista de permitidos y las rutas de archivo excluidas: Principio de privilegio mínimo: agregue un proceso, archivo o directorio a la lista de permitidos solo cuando su acceso sea indispensable para el funcionamiento normal del contenedor. Sea específico: indique procesos, archivos y directorios exactos. Use comodines con precaución y evite rutas demasiado amplias para minimizar riesgos de seguridad.	/bin/cp;/usr/bin/mv;/bin/vi
   	Excluded File Path		/home/app/label/logs/*
   	Action	Seleccione la acción que se ejecutará cuando se detecte una alteración. Opciones: Alerts: Security Center genera una alerta únicamente cuando se altera el directorio protegido. Block: Security Center genera una alerta y bloquea el proceso correspondiente cuando se altera el directorio protegido. Nota Nota: comience con el modo Alerts. Una vez que confirme que las operaciones normales del negocio no activan alertas de protección de archivos, cambie al modo Block para evitar bloquear procesos legítimos. Si se bloquea un proceso legítimo, agréguelo a la lista de procesos permitidos.	Alert

5. Seleccione el clúster y las etiquetas de pod donde se aplicará la regla, y luego haga clic en OK.

   Use etiquetas de pod que comiencen con app. En Kubernetes, las etiquetas son pares clave-valor que sirven para etiquetar y clasificar recursos como Pods, Deployments y Services. Usted puede definir etiquetas personalizadas según escenarios, funciones o propósitos para gestionar mejor los recursos de Kubernetes. Las etiquetas con el prefijo app agrupan los recursos por aplicación. Para obtener más información, consulte Etiquetas recomendadas.

   Si no aparece ninguna etiqueta en la lista desplegable, introduzca la etiqueta de pod manualmente. Para aplicar la regla a varias etiquetas de pod en el mismo clúster o a varios clústeres, haga clic en Add en la columna Actions.

Gestionar reglas

Después de crear una regla, puede ejecutar las siguientes operaciones en la lista de reglas de la página Container File Protection:

• Habilitar o deshabilitar una regla

  Active o desactive el interruptor en la columna Enable de la regla correspondiente.

• Editar una regla

  Haga clic en Edit en la columna Actions de la regla correspondiente para modificar su nombre, configuración y alcance.

• Eliminar una regla

  Nota

  Las reglas eliminadas no se pueden recuperar. Confirme que ya no necesita la regla antes de eliminarla.

  Haga clic en Delete en la columna Actions de la regla correspondiente y, después, haga clic en OK en el cuadro de diálogo de confirmación.

Consultar los resultados de las alertas

Después de crear y habilitar una regla de protección de archivos de contenedor, vaya a la página Detection and Response > Alerts. Haga clic en la pestaña Container, establezca el tipo de alerta en Proactive Defense for Containers y busque las alertas denominadas File Protection. Estas son las alertas que genera la función de protección de archivos de contenedor. Según la acción configurada en la regla, se generan las siguientes alertas:

• Las reglas con la acción Alerts generan alertas de seguridad en estado Unhandled. Atienda estas alertas de inmediato. Para obtener más información, consulte View and handle security alerts.

  En la página de alertas de seguridad, establezca el filtro de estado en Unhandled y Alert Type en Container Active Defense para ver y atender las alertas de File Defense correspondientes.

• Las reglas con la acción Block generan alertas de seguridad en estado Blocked. Security Center atiende estas alertas automáticamente. Puede consultarlas en la lista de alertas atendidas.

  En la página de alertas de seguridad, establezca el filtro de estado en Handled y Alert Type en Container Active Defense para ver los resultados de bloqueo de las alertas de File Defense.

Sistemas operativos y versiones de kernel compatibles