Security Center detecta y protege sus contenedores contra vulnerabilidades, problemas de cumplimiento, ataques e intrusiones en tiempo real. Una vez que conecta sus activos de contenedores a Security Center, puede gestionarlos desde una ubicación centralizada. Este tema describe cómo consultar y gestionar los riesgos de seguridad en sus activos de contenedores.
Límites por versión
-
Suscripción: Ultimate (si su edición actual no es compatible con esta función, upgrade).
NotaLa edición de protección del servidor debe coincidir con la edición que adquirió. Para obtener más información, consulte Bind a server protection edition.
-
Pay-as-you-go: el servicio pay-as-you-go de Host and Container Security está activado (si no lo ha activado, purchase).
NotaEl nivel de protección del servidor debe configurarse como Full Protection for Hosts and Containers. Para obtener más información, consulte Bind a server protection level.
Requisitos previos
Conectó sus activos de contenedores a Security Center. Para obtener más información, consulte Add image repositories y Connect a self-managed K8s cluster.
Para consultar las alertas de anomalías en el clúster de contenedores, habilite la detección de amenazas de K8s. Para obtener más información, consulte K8s threat detection for containers.
Sincronización de activos
Antes de consultar la información de los activos de contenedores, sincronice sus activos para asegurarse de que los elementos recién agregados se muestren correctamente.
Inicie sesión en la consola de Security Center.
En el panel de navegación izquierdo, seleccione . En la esquina superior izquierda de la consola, seleccione la región donde se encuentran sus activos: Chinese Mainland o Outside Chinese Mainland.
En la página Container y en la pestaña Clusters o Image Repository, haga clic en Synchronize Assets.
(Opcional) En la esquina superior derecha de la página Container, haga clic en Task Management. En el panel Task Management y dentro de las pestañas Container Asset Synchronization y Image Asset Synchronization, consulte el progreso, el estado y los detalles de la sincronización de activos.
Gestión de clústeres
Tipos de clúster compatibles
-
Clústeres administrados y dedicados creados en Container Service for Kubernetes (ACK).
Security Center sincroniza estos activos automáticamente todos los días a medianoche. Si crea nuevos clústeres, vaya a la pestaña Cluster y haga clic en Synchronize Assets para sincronizarlos de forma manual.
Consulta de la información del clúster
Inicie sesión en la consola de Security Center.
En el panel de navegación izquierdo, elija . En la esquina superior izquierda de la consola, seleccione la región donde se encuentran sus activos: Chinese Mainland o Outside Chinese Mainland.
-
En la página Container, haga clic en la pestaña Clusters para consultar la cantidad de clústeres conectados, los clústeres en riesgo y la lista de clústeres conectados.
La lista de clústeres muestra a continuación las columnas: Cluster Information, Region, Cluster Type, Cluster Status, Servers, Created, Risk Status, K8s Log Status y Actions. La página también incluye el botón Synchronize Assets y la entrada Connect Self-managed Cluster.
-
Búsqueda de un clúster
Utilice el componente de búsqueda ubicado sobre la lista de clústeres para buscar uno por su ID o tipo.
-
Consulta de los detalles de riesgo de un clúster
Haga clic en el nombre del clúster o en View dentro de la columna Actions para abrir la página de detalles de riesgo. Esta página muestra estadísticas y listas de alertas de seguridad, vulnerabilidades, riesgos de configuración (riesgos de configuración de K8s y riesgos de línea base) y alertas del firewall de contenedores.
En la lista de riesgos, filtre los elementos de comprobación por nivel de riesgo y estado. En la columna Actions, haga clic en Details para consultar los detalles del riesgo, o bien haga clic en Add to Whitelist para agregar el elemento de comprobación a la lista blanca.
-
Habilitar la detección de amenazas en registros de K8s
Cuando se habilita la detección de amenazas en registros de K8s para un clúster, Security Center utiliza los registros del clúster para detectar riesgos de seguridad, como operaciones de alto riesgo y ataques.
-
Clústeres ACK administrados y dedicados
-
En la consola de ACK, habilite la función de auditoría de registros. Para obtener más información, consulte Use the cluster API Server audit feature.
Inicie sesión en la consola de ACK. En el panel de navegación izquierdo, seleccione Clusters.
En la página Clusters, haga clic en el nombre del clúster de destino. Después, en el panel de navegación izquierdo, seleccione .
Siga las instrucciones que aparecen en pantalla para elegir un proyecto de SLS y habilitar la auditoría de registros.
-
En la consola de Security Center, habilite K8s threat detection for containers.
Ruta: .
-
-
Clústeres de K8s autogestionados
Para obtener más información, consulte Enable log threat detection.
Una vez habilitada esta función, vaya a la página Container en la consola de Security Center. En la pestaña Cluster, revise la columna K8s Log Status del clúster de destino para confirmar que la detección de amenazas en registros de K8s está habilitada.
Análisis de la exposición del clúster
Exponer los puertos de los contenedores a internet genera riesgos de seguridad, como ataques de red y filtraciones de datos. Security Center cuenta con una función de análisis de exposición de puertos para detectar los puertos expuestos públicamente.
La función de análisis de exposición solo es compatible con los clústeres administrados y dedicados de ACK.
-
Ejecute un análisis de exposición.
El análisis de exposición de un clúster se ejecuta de forma automática o manual:
Análisis de exposición automático: tras conectar un clúster de K8s, Security Center sincroniza automáticamente la información del clúster. Además, ejecuta un análisis de exposición en todos los clústeres conectados cada día a medianoche.
Análisis de exposición manual: En la página Container, dentro de la pestaña Clusters, busque el clúster que desea revisar y haga clic en Exposure Analysis en la columna Actions.
(Opcional) En la esquina superior derecha de la página Container, haga clic en Task Management. En el panel Task Management, seleccione la pestaña Container Exposure para consultar el progreso y los detalles de la tarea de análisis de exposición del clúster.
-
Consulte los resultados del análisis de exposición del clúster.
En la página Container, haga clic en el nombre del clúster de destino.
-
En la página de detalles del clúster, seleccione el tipo Container y establezca el filtro Exposed en Yes.
Los resultados del filtro muestran 4 contenedores expuestos. El estado de riesgo de todos los contenedores es No Risk. En la columna Actions, haga clic en Handle para tomar medidas adicionales.
-
Coloque el puntero sobre el icono
de la columna Exposed de un contenedor para consultar la información del puerto expuesto.Si un puerto está expuesto a internet pero no se utiliza, ciérrelo para reducir los riesgos de seguridad.
Gestión de imágenes
Consulta de la información de las imágenes
Inicie sesión en la consola de Security Center.
En el panel de navegación izquierdo, seleccione . En la esquina superior izquierda de la consola, seleccione la región donde se encuentran sus activos: Chinese Mainland o Outside Chinese Mainland.
-
En la página Container, haga clic en la pestaña Image Repository para consultar la información de sus imágenes.
-
Consulte la información de la descripción general
La sección de descripción general, ubicada en la parte superior de la página, muestra datos como la cantidad de imágenes en riesgo y la Remaining Quota disponible para los escaneos de seguridad de imágenes.
En el área Remaining Quota, haga clic en Add Authorization para adquirir más cuota destinada a los escaneos de seguridad de imágenes. Para obtener más información, consulte Upgrade and downgrade.
En el área Add Third-party Image Repository, haga clic en Add para agregar repositorios de imágenes privados. Para obtener más información, consulte Add image repositories.
-
Consulte la lista de repositorios de imágenes
La lista de repositorios de imágenes muestra todos los repositorios conectados a Asset Center. Incluye el nombre, la región, el tipo y el estado de riesgo de cada uno.
-
Busque un repositorio de imágenes
Utilice el componente de búsqueda situado sobre la lista para localizar un repositorio de imágenes por su ID de instancia o espacio de nombres.
-
Consulte un repositorio de imágenes
Haga clic en el nombre del repositorio o en View, dentro de la columna Actions, para ir a la página de detalles del repositorio. Ahí encontrará todas las imágenes que contiene, junto con su nombre, versión, tamaño y estado de riesgo. La columna Created At/Updated At indica cuándo sincronizó Security Center el repositorio por primera y última vez, no las fechas locales de creación ni de actualización.
En la página de detalles del repositorio, busque la versión de imagen deseada y haga clic en Handle, dentro de la columna Actions, para consultar o exportar la información de riesgos y vulnerabilidades.
-
Consulte los repositorios de imágenes de Platform for AI (PAI)
Para ver los repositorios de imágenes relacionados con Platform for AI (PAI), seleccione en el componente de búsqueda.
-
Sincronice los activos de ACR
En las instancias de Container Registry (ACR) Enterprise Edition, haga clic en Synchronize, dentro de la columna Actions del repositorio de imágenes correspondiente, para habilitar la sincronización automática de activos. Una vez habilitada esta función, los activos que se agreguen a la instancia de ACR se sincronizan automáticamente con la lista de activos de imágenes en Security Center.
-
-
Escanear imágenes de contenedor
La función de escaneo de imágenes detecta vulnerabilidades, riesgos de línea base, muestras maliciosas y archivos confidenciales. Esto le ayuda a proteger el entorno de ejecución de sus imágenes.
Inicie sesión en la consola de Security Center.
En el panel de navegación izquierdo, seleccione . En la esquina superior izquierda de la consola, seleccione la región donde se encuentran sus activos: Chinese Mainland o Outside Chinese Mainland.
En la página Container, dentro de la pestaña Image Repository, haga clic en Scan Now en la sección Container Image Scan.
-
En el cuadro de diálogo Quick Scan, seleccione los tipos de imágenes que desea escanear y configure un alcance de escaneo según sus necesidades de negocio. Después, haga clic en OK.
Para obtener más información sobre cómo configurar el alcance del escaneo, consulte Perform image security scans.
(Opcional) En la esquina superior derecha de la página Container, haga clic en Task Management. Las pestañas Image Scan, Image Risk Fixing y Container Runtime Image Scan del panel Task Management muestran la información de los escaneos y las correcciones de imágenes.
Referencias
La función Container Asset Overview ofrece un panel visual para gestionar la seguridad de clústeres, contenedores, imágenes y aplicaciones. También muestra la topología de red de sus recursos de contenedores, lo que le ayuda a administrar la seguridad de estos de manera más eficiente. Para obtener más información, consulte Container Asset Overview.
Security Center proporciona funciones de seguridad para contenedores, como la detección de amenazas de K8s y la prevención de escapes de contenedores, con el fin de proteger su entorno de ejecución. Para obtener más información, consulte Container protection settings.
La firma de contenedores garantiza que solo se desplieguen imágenes confiables y evita que se inicien imágenes no autorizadas. Para obtener más información, consulte Container signing.
Security Center detecta vulnerabilidades del sistema, vulnerabilidades de aplicaciones, riesgos de línea base y muestras maliciosas en sus recursos de imágenes. Consulte los resultados por categoría y corrija los riesgos detectados. Para obtener más información, consulte View and fix detected image risks.
La función de monitoreo de seguridad supervisa y genera alertas sobre los vectores de ataque a contenedores, entre ellos imágenes maliciosas, malware, intrusiones, escapes de contenedores y operaciones de alto riesgo. Para obtener más información, consulte Use security monitoring.