Security Center:Protection des fichiers de conteneur

Limitations

• Seule l'édition Ultimate de Security Center prend en charge cette fonctionnalité. Les autres éditions ne la prennent pas en charge. Pour plus d'informations sur l'achat ou la mise à niveau de Security Center, consultez les rubriques Acheter Security Center et Mettre à niveau ou rétrograder Security Center.

• L'agent Security Center doit être installé sur les serveurs où sont déployés les clusters que vous souhaitez protéger. Pour plus d'informations, consultez la rubrique Installer l'agent Security Center.

• Seuls les clusters connectés à Security Center sont protégés. Pour protéger un cluster Kubernetes autogéré, commencez par le connecter à Security Center. Pour plus d'informations, consultez la rubrique Connecter un cluster Kubernetes autogéré à Security Center.

• Le système d'exploitation et la version du noyau des serveurs hébergeant votre cluster doivent figurer dans la plage prise en charge. Pour la liste complète de compatibilité, consultez la section Systèmes d'exploitation et versions de noyau pris en charge.

• Le nombre de répertoires protégés par étiquette de pod dans un seul cluster (en comptant uniquement les règles activées) ne peut pas dépasser 10. Dans le cas contraire, la protection des fichiers de conteneur devient indisponible pour l'ensemble du cluster.

• Le nombre total d'étiquettes de pod uniques (après déduplication) across toutes les règles activées dans un seul cluster ne peut pas dépasser 10. Dans le cas contraire, la protection des fichiers de conteneur devient indisponible pour l'ensemble du cluster.

  Exemple : Cluster01 possède un pod (Pod01) avec une étiquette (Label01). Vous créez 12 règles de protection des fichiers de conteneur (Rule01–Rule12) pour Cluster01 :

  Rule01 : fait référence à Label01 de Cluster01.

  Rule02 : fait référence à Label02 de Cluster01 (une étiquette de pod peut être référencée même si aucun pod ne l'utilise actuellement).

  ...

  Rule09 : fait référence à Label09 de Cluster01.

  Rule10 : fait référence à Label10 de Cluster01.

  Rule11 : fait référence à Label10 de Cluster01.

  Rule12 : fait référence à Label10 de Cluster01.

  Après déduplication, 10 étiquettes uniques (Label01–Label10) sont référencées. La protection des fichiers de conteneur fonctionne normalement.

  Si vous créez et activez Rule13 qui fait référence à Label10 et Label11 de Cluster01, le compte après déduplication atteint 11, et la protection des fichiers de conteneur devient complètement indisponible pour Cluster01.

Créer une règle

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, choisissez Protection Configuration > Container Protection > Container File Protection. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

3. Sur la page Container File Protection, cliquez sur Create Rule.

4. Dans le panneau Create Rule, configurez les paramètres de la règle et cliquez sur Next.

   Les champs Protected File Directory, Processes in Whitelist et Excluded File Path prennent tous en charge les caractères génériques. Les règles utilisent une correspondance exacte. Les exemples suivants utilisent /dir1/test pour illustrer la logique de correspondance :

   • /dir1/test (chemin exact) : Correspond uniquement à /dir1/test. Ne correspond pas à /dir1/test/1.html ni à /dir1/test/dir1/2.html.

     • Protected File Directory : Si défini sur /dir1/test, seul le répertoire /dir1/test lui-même est protégé (la suppression ou le renommage de /dir1/test déclenche une alerte ou un blocage). Les sous-répertoires et les fichiers situés à l'intérieur de /dir1/test ne sont pas protégés.

     • Whitelist : Si défini sur /dir1/test, seuls les processus lancés par l'exécutable /dir1/test peuvent modifier le répertoire protégé sans déclencher d'alerte ou de blocage. Les processus lancés par /dir1/test/1.html déclenchent toujours des alertes ou des blocages.

     • Excluded File Path : Si Protected File Directory est défini sur /dir1/* et Excluded File Path sur /dir1/test, seul le répertoire /dir1/test lui-même est exclu. La suppression ou le renommage de /dir1/test ne déclenche pas la règle. Cependant, la modification du contenu de /dir1/test/1.html déclenche toujours une alerte ou un blocage.

       Remarque

       Toutes les règles suivent une logique de correspondance similaire pour Protected File Directory, Processes in Whitelist et Excluded File Path. Elles s'appliquent uniquement aux chemins correspondants.

   • /dir1/test* (suffixe avec caractère générique) : Correspond à /dir1/test, /dir1/test/1.html, /dir1/test/dir1/2.html, /dir1/test1/1.html, /dir1/test2/2.html, etc.

   • /dir1/test/*.html (caractère générique dans le chemin) : Correspond à /dir1/test/index.html et /test/dir1/index.html.

   Paramètre		Description	Exemple
   Rule Name		Saisissez un nom de règle. Le nom doit comporter entre 6 et 50 caractères, commencer par une lettre ou un caractère chinois, et peut contenir des chiffres, des traits de soulignement (_) et des traits d'union (-).	Cluster01
   Rule Configuration	Protected File Directory	Spécifiez le répertoire à protéger. Conditions : Le chemin doit commencer par une barre oblique (/). Un seul répertoire peut être saisi par ligne. Le chemin du répertoire doit comporter moins de 500 caractères. Chaque règle ne peut protéger qu'un seul répertoire. Pour protéger plusieurs répertoires, cliquez sur Add dans la colonne Actions. Une seule règle de protection des fichiers de conteneur prend en charge jusqu'à 10 répertoires protégés.	Remarque Pour protéger le répertoire /home ainsi que tous ses sous-répertoires et fichiers, configurez deux répertoires protégés : /home /home/* Vous pouvez également configurer /home*, ce qui couvre également les répertoires /home1/, /home2/ et similaires.
   	Processes in Whitelist	Spécifiez les processus autorisés à modifier le répertoire protégé et les chemins de fichiers exclus de la protection. Les processus figurant dans la liste blanche ou les modifications apportées aux chemins de fichiers exclus ne déclenchent ni alerte ni blocage. Conditions : Chaque processus ou chemin de fichier ne doit pas dépasser 50 caractères. Séparez plusieurs entrées par des points-virgules (;). Chaque répertoire protégé prend en charge jusqu'à 10 processus en liste blanche et 10 chemins de fichiers exclus. Respectez les principes suivants lors de la configuration de la liste blanche et des chemins de fichiers exclus : Principe du moindre privilège : Ajoutez un processus, un fichier ou un répertoire à la liste blanche uniquement si son accès est essentiel au fonctionnement normal du conteneur. Soyez précis : Spécifiez des processus, des fichiers et des répertoires exacts. Utilisez les caractères génériques avec prudence et évitez les chemins trop larges afin de minimiser les risques de sécurité.	/bin/cp;/usr/bin/mv;/bin/vi
   	Excluded File Path		/home/app/label/logs/*
   	Action	Sélectionnez l'action à effectuer lorsqu'une falsification est détectée. Options : Alerts : Security Center génère uniquement une alerte lorsque le répertoire protégé est falsifié. Block : Security Center génère une alerte et bloque le processus correspondant lorsque le répertoire protégé est falsifié. Remarque Remarque : Commencez par le mode Alerts. Après avoir confirmé que les opérations commerciales normales ne déclenchent pas d'alertes de protection des fichiers, passez au mode Block pour éviter de bloquer des processus légitimes. Si un processus légitime est bloqué, ajoutez-le à la liste blanche des processus.	Alert

5. Sélectionnez le cluster et les étiquettes de pod pour lesquels la règle doit s'appliquer, puis cliquez sur OK.

   Utilisez des étiquettes de pod commençant par app. Dans Kubernetes, les étiquettes sont des paires clé-valeur utilisées pour baliser et classer les ressources telles que les Pods, les Deployments et les Services. Vous pouvez définir des étiquettes personnalisées en fonction des scénarios, des fonctionnalités ou des objectifs afin de mieux gérer les ressources Kubernetes. Les étiquettes préfixées par app regroupent les ressources par application. Pour plus d'informations, consultez la page Recommended labels.

   Si aucune étiquette n'apparaît dans la liste déroulante, saisissez l'étiquette de pod manuellement. Pour appliquer la règle à plusieurs étiquettes de pod dans le même cluster ou à plusieurs clusters, cliquez sur Add dans la colonne Actions.

Gérer les règles

Après avoir créé une règle, vous pouvez effectuer les opérations suivantes sur la liste des règles dans la page Container File Protection :

• Activer ou désactiver une règle

  Basculez l'interrupteur dans la colonne Enable de la règle cible pour activer ou désactiver la règle.

• Modifier une règle

  Cliquez sur Edit dans la colonne Actions de la règle cible pour modifier le nom, la configuration et la portée de la règle.

• Supprimer une règle

  Remarque

  Les règles supprimées ne peuvent pas être récupérées. Confirmez que vous n'avez plus besoin de la règle avant de la supprimer.

  Cliquez sur Delete dans la colonne Actions de la règle cible, puis cliquez sur OK dans la boîte de dialogue de confirmation.

Consulter les résultats d'alerte

Après avoir créé et activé une règle de protection des fichiers de conteneur, accédez à la page Detection and Response > Alerts. Cliquez sur l'onglet Container, définissez le type d'alerte sur Proactive Defense for Containers et recherchez les alertes nommées File Protection. Il s'agit des alertes générées par la fonctionnalité de protection des fichiers de conteneur. Selon l'action configurée dans la règle, les alertes suivantes sont générées :

• Les règles avec l'action Alerts génèrent des alertes de sécurité à l'état Unhandled. Traitez ces alertes rapidement. Pour plus d'informations, consultez Afficher et traiter les alertes de sécurité.

  Sur la page Alertes de sécurité, définissez le filtre d'état sur Unhandled et le Type d'alerte sur Container Active Defense pour afficher et traiter les alertes File Defense correspondantes.

• Les règles avec l'action Block génèrent des alertes de sécurité à l'état Blocked. Security Center traite automatiquement ces alertes. Vous pouvez les consulter dans la liste des alertes traitées.

  Sur la page Alertes de sécurité, définissez le filtre d'état sur Handled et le Type d'alerte sur Container Active Defense pour afficher les résultats de blocage des alertes File Defense.

Systèmes d'exploitation et versions de noyau pris en charge