Security Center:Proactive Container Defense

Clusters pris en charge

La fonctionnalité Risk Image Blocking prend actuellement en charge uniquement certains types de clusters Container Service for Kubernetes (ACK). Le tableau suivant décrit les types de clusters pris en charge.

Fonctionnement

Après avoir créé une règle Risk Image Blocking pour un cluster, Security Center intercepte chaque demande de création de ressources (telles que des pods) utilisant des images dans le cluster et valide l'image par rapport aux risques configurés dans la règle. Si l'image correspond à la règle, Security Center exécute l'action d'alerte, d'interception ou d'autorisation et génère un événement de sécurité pour les actions d'alerte et d'interception.

Si plusieurs règles sont configurées pour le même cluster, toutes les règles prennent effet. Si une image correspond à plusieurs règles, plusieurs alertes sont générées et les actions correspondantes sont exécutées.

Si vous configurez plusieurs éléments dans la même règle, Security Center exécute immédiatement l'action de la règle dès qu'un élément correspond et ne continue pas à faire correspondre les autres éléments. La séquence de correspondance des éléments dans une règle est la suivante : Image non analysée, Référence, Image Internet malveillante, Échantillon malveillant, Vulnérabilité, Fichier sensible et Risque de build existant.

Prérequis

Avant de créer une règle de défense, assurez-vous d'avoir installé les composants de gouvernance des politiques dans la console ACK : gatekeeper, policy-template-controller et logtail-ds. Pour plus d'informations, consultez la rubrique Étape 1 : Installer ou mettre à niveau la gouvernance des politiques.

Créer une règle

1. Connectez-vous à la console Security Center.

2. Dans le volet de navigation de gauche, choisissez Protection Configuration > Container Protection > Proactive Defense for Containers. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve la ressource à protéger : Chinese Mainland ou Outside Chinese Mainland.

3. Sélectionnez le type de règle Risk Image Blocking et cliquez sur Create Rule.

   Si vous avez déjà créé des règles de défense pour le cluster, vous pouvez également créer rapidement une nouvelle règle en copiant une règle existante. Cliquez sur Copy dans la colonne Actions d'une règle existante, modifiez la configuration de la règle dans le panneau Copy Rule selon vos besoins métier, puis cliquez sur OK pour créer la règle.

4. Dans le panneau Create Rule , définissez la règle et cliquez sur Next.

   Paramètre	Description
   Rule Name	Sélectionnez un modèle de règle dans la liste déroulante et saisissez un nom. Vous pouvez sélectionner Blank template pour créer un ensemble d'éléments de configuration personnalisés, ou sélectionner un modèle contenant un ensemble d'éléments de configuration de risque prédéfinis.
   Rule Description	Saisissez une description pour la règle.
   Rule Configuration	Les configurations de règles suivantes sont prises en charge. Cochez la case correspondante pour activer la détection, et décochez-la pour désactiver la détection. Unscanned Image ： : Une fois cette option activée, Security Center détecte le démarrage d'images qui n'ont pas été analysées par la fonctionnalité d'analyse de sécurité des images. Important Lorsque cette option est activée, nous vous recommandons de définir d'abord l'action de la règle sur Alert. Si vous avez des exigences de contrôle de sécurité plus strictes, observez les événements d'alerte pendant une période et confirmez que la règle n'affecte pas les activités normales avant de passer à Block. Malicious Internet Image ： : Une fois cette option activée, Security Center détecte le démarrage d'images marquées comme malveillantes sur Internet, telles que des images malveillantes téléchargées à partir de dépôts d'images publics ou des images extraites des dépôts publics Docker Hub contenant des portes dérobées, des chevaux de Troie ou d'autres programmes malveillants. Baseline ： : Une fois cette option activée, Security Center vérifie si les images de conteneur sont conformes aux normes de configuration de sécurité prédéfinies et aux meilleures pratiques. Vulnerability ： : Une fois cette option activée, Security Center détecte les vulnérabilités dans les images qui peuvent entraîner des risques de sécurité dans les environnements de conteneurs, y compris les vulnérabilités liées aux applications dans les images. Malicious Sample ： : Une fois cette option activée, Security Center détecte les fichiers malveillants, le code malveillant et les comportements malveillants qui peuvent exister dans les images de conteneurs et à l'exécution des conteneurs. Sensitive File ： : Une fois cette option activée, Security Center détecte les fichiers sensibles courants. Built Risks Exist ： : Une fois cette option activée, Security Center détecte les risques liés aux commandes de build d'images. Important Lorsqu'une image correspond à la règle correspondante, Security Center génère une alerte en fonction de la configuration de la règle et exécute l'action correspondante en fonction de l'action de la règle. Vous pouvez configurer des règles de détection spécifiques pour la référence, la vulnérabilité, l'échantillon malveillant, le fichier sensible et le risque de build existant en fonction de vos besoins métier. Les conditions facultatives pour chaque type d'élément de configuration de règle sont en relation OU. Par exemple, dans la configuration de vulnérabilité, si vous définissez le niveau de risque sur High et spécifiez des CVE ID spécifiques, la règle est mise en correspondance si l'image démarrée contient des vulnérabilités à haut risque ou les ID CVE que vous avez spécifiés.
   Rule Action	Sélectionnez l'action que Security Center exécute lorsqu'une règle de détection activée est mise en correspondance. Options : Alerts: Après le démarrage de l'image, un événement avec l'action Rule Action Alerts est généré sur la page Alert. Block: Au démarrage de l'image, les images correspondant à la règle sont bloquées, et un événement avec l'action Rule Action Block est généré sur la page Alert. Allow: Après le démarrage de l'image, une alerte avec l'action Rule Action Allow est générée sur la page Alert.
   Add to Whitelist	Cliquez sur Create Rule et saisissez le nom du tag d'image à ajouter à la liste d'autorisation. Jusqu'à 20 entrées de liste d'autorisation sont prises en charge. Lorsqu'une image est ajoutée à la liste d'autorisation de la règle, Security Center ne valide pas les risques de sécurité de l'image lors de son démarrage. La correspondance floue par mot-clé est prise en charge. Pour l'adresse d'image yundun-example-registry.cn-hangzhou.aliyuncs.com/yundun-example/yun-repo:test, vous pouvez saisir des mots-clés partiels pour la correspondance floue. Les configurations de liste d'autorisation suivantes peuvent correspondre à l'adresse d'image : yun-repo test yun-repo:test repo:test

5. Sélectionnez l'étendue de protection et cliquez sur OK.

   Cliquez sur l'onglet Cluster, Image ou Tag pour basculer vers l'onglet correspondant et sélectionner les ressources à protéger.

Consulter les alertes

Après avoir créé une règle de blocage des images à risque, accédez à la console Security Center, page Detection and Response > Alerts , définissez le type d'alerte sur Risk Image Blocking pour consulter les alertes pertinentes. Vous pouvez cliquer sur Actions dans la ligne d'alerte cible, puis sur Details pour gérer l'événement de risque en fonction des Suggestions sur la page des détails de l'alerte.

Gérer les règles

Après avoir créé une règle de blocage des images à risque, vous pouvez effectuer les opérations suivantes :

• Afficher l'étendue de protection

  Cliquez sur le nombre dans la colonne Protection Scope de la règle cible pour afficher les clusters, images et tags protégés par la règle dans le panneau Protection Scope .

• Modifier la règle

  Cliquez sur Edit dans la colonne Actions de la règle cible pour modifier la définition de la règle et l'étendue de protection dans le panneau Edit Rule .

• Copier la règle

  Cliquez sur Copy dans la colonne Actions de la règle cible pour modifier la définition de la règle et l'étendue de protection dans le panneau Copy Rule et créer rapidement une nouvelle règle.

• Supprimer la règle

  Important

  Une fois une règle supprimée, la protection des clusters dans l'étendue de protection devient invalide et la règle ne peut pas être restaurée. Procédez avec prudence.

  Cliquez sur Delete dans la colonne Actions de la règle cible, puis sur OK dans la boîte de dialogue pour supprimer la règle.

Restrictions relatives aux images de conteneur pour l'activation des règles

Les images de conteneur définies dans les règles doivent respecter les exigences suivantes. À défaut, les règles de défense et les règles de liste d'autorisation ne seront pas déclenchées pour ces images.

• La longueur du chemin complet d'un programme s'exécutant dans un conteneur ne doit pas dépasser 1 023 caractères.

• La longueur du namespace d'un cluster de conteneurs ne doit pas dépasser 287 caractères.

• Les processus du client Security Center dans le conteneur doivent être AliYunDun ≥ aegis_12_13 et AliHips ≥ 00_43.

• Pour les images de conteneur incluses dans les règles de liste d'autorisation, assurez-vous que le nom de l'image ne dépasse pas 287 caractères.

Gérer les règles système

• Activation des règles

  • Security Center fournit une règle système de défense contre les programmes hors image par défaut et l'active automatiquement pour les utilisateurs n'ayant pas configuré de règles personnalisées. Cette règle système génère des alertes pour tous les démarrages de programmes hors image dans l'ensemble des clusters connectés à Security Center.

  • Vous pouvez activer ou désactiver manuellement la règle système.

• Action de la règle

  L'action de la règle système est définie sur Alerte, ce qui signifie que Security Center génère uniquement des alertes sans intercepter les démarrages de programmes hors image.

• Affichage de la règle

  Consultez la règle système de défense contre les programmes hors image dans la , sous l'onglet System Rules de la règle Non-image Program Defense. Pour y accéder, naviguez vers Protection Configuration > Container Protection > Proactive Defense for Containers.

• Mise à jour de la règle

  Modifiez la portée des clusters concernés par la règle système. Si des clusters sont modifiés ou si de nouveaux assets de cluster sont ajoutés, la règle système inclut automatiquement les nouveaux clusters dans son périmètre de protection.

• Utilisation de la règle

  • Lors de la première utilisation de la fonctionnalité de défense contre les programmes hors image, nous vous recommandons de surveiller attentivement les alertes générées par la règle système afin de détecter d'éventuels faux positifs.

  • La règle système ne prend pas en charge les listes d'autorisation ni l'interception des comportements à risque. Pour configurer une liste d'autorisation ou intercepter des comportements dangereux, créez une règle personnalisée.

  • Après la création d'une règle personnalisée, la règle système est automatiquement désactivée et ne peut plus être réactivée. Pour réactiver la règle système, supprimez toutes les règles personnalisées.

Créer une règle personnalisée

1. Connectez-vous à la .

2. Dans le volet de navigation de gauche, accédez à Protection Configuration > Container Protection > Proactive Defense for Containers. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve l'asset à protéger : Chinese Mainland ou Outside Chinese Mainland.

3. Dans la liste des types de règles, cliquez sur Non-image Program Defense.

4. Sous l'onglet Custom Rules, cliquez sur Create Rule.

5. Dans le panneau Create Rule, définissez la règle puis cliquez sur Next.

   Paramètre	Description
   Rule Name	Saisissez un nom de règle.
   Rule Description	Saisissez une description de la règle.
   Status	Activez ou désactivez la règle. Options : On : la règle est activée après sa création et protège automatiquement les clusters inclus dans le périmètre de protection. Off : la règle est désactivée après sa création et n'est pas appliquée.
   Defense Action	Sélectionnez l'action de défense de la règle. Options : Alerts : Security Center génère uniquement une alerte lorsqu'un processus non fiable est détecté. Block : Security Center génère une alerte et intercepte le processus lorsqu'un processus non fiable est détecté. Remarque Nous vous recommandons d'activer d'abord le mode Alerte. Après avoir confirmé que vos activités normales n'installent ni ne démarrent de programmes exécutables en dehors de l'image pendant l'exécution du conteneur, activez le mode Blocage pour éviter l'interception intempestive de processus légitimes.
   Create File Directory Whitelist	Cliquez sur Create Rule et saisissez le répertoire de fichier à ajouter à la liste d'autorisation. Exemple : /user/name1.
   Create Image Whitelist	Cliquez sur Create Rule et saisissez le nom de l'image à ajouter à la liste d'autorisation. Pour l'adresse d'image yundun-example-registry.cn-hangzhou.aliyuncs.com/yundun-example/yun-repo:test, vous pouvez saisir des mots-clés partiels pour une correspondance floue. Les configurations de liste d'autorisation suivantes sont valides : yun-repo test yun-repo:test repo:test

6. Cliquez sur OK pour confirmer la création de la règle personnalisée. La règle système est automatiquement désactivée.

7. Sélectionnez les clusters auxquels la règle s'applique et cliquez sur OK.

   Vous pouvez sélectionner des clusters connectés à Security Center. Une seule règle de défense peut être configurée pour chaque cluster. Si un cluster figure déjà dans le périmètre de protection d'une autre règle, vous ne pouvez pas le sélectionner à nouveau.

Consulter les alertes

Après avoir créé et activé une règle de défense contre les programmes hors image, accédez à la page , définissez le type d'alerte sur Detection and Response et recherchez les alertes intitulées Alerts. Il s'agit des alertes générées par la fonctionnalité de défense contre les programmes hors image. Les alertes suivantes sont générées en fonction de l'action de défense configurée dans la règle :

• Pour les règles dont l'action de défense est Proactive Defense for Containers, les alertes de sécurité sont à l'état Non-image program start. Nous vous recommandons de traiter ces alertes rapidement. Pour plus d'informations, consultez la rubrique Évaluer et gérer les alertes de sécurité. Lors du filtrage, définissez Handled sur Unhandled et utilisez les tags de gravité (Urgent, Suspicious, Reminder) pour affiner les résultats. Les alertes correspondantes s'affichent dans une liste, incluant la gravité, le nom de l'alerte, l'asset concerné et la dernière occurrence. Cliquez sur Handle ou Details pour effectuer des opérations.

• Pour les règles dont l'action de défense est Alerts, les alertes sont à l'état Unhandled ou Process Terminated. Security Center a traité automatiquement ces alertes ; vous pouvez les consulter dans la liste des alertes traitées. Voici la description des deux états :

  • Process Not Exists : le processus a existé brièvement et s'est arrêté avant que Security Center ne le traite. Aucune action supplémentaire n'est requise.

  • Process Terminated : Security Center a intercepté le processus ; aucune action manuelle n'est nécessaire.

  Définissez Handled sur Handled et Alert Type sur Container Active Defense. La liste affiche les alertes telles que Non-image program start ainsi que leur statut de traitement.

Gérer les règles

Après la création d'une règle, vous pouvez effectuer les opérations suivantes dans la liste des règles de défense contre les programmes hors image :

• Afficher le périmètre de protection

  Cliquez sur le nombre figurant dans la colonne Process Not Exists de la règle cible pour afficher le périmètre des clusters protégés par la règle dans le panneau Protection Scope.

• Activer ou désactiver la règle

  Basculez l'interrupteur de la colonne Protection Scope de la règle cible pour activer ou désactiver celle-ci.

• Modifier la règle

  Cliquez sur Protection Scope dans la ligne de la règle cible, puis sur Enable. Les règles personnalisées permettent de modifier le nom, la description, le statut, l'action de défense, les paramètres de liste d'autorisation et le périmètre de protection.

• Supprimer la règle

  Important

  • Les règles système ne peuvent pas être supprimées.

  • Une règle supprimée ne peut pas être restaurée. Assurez-vous de ne plus avoir besoin de la règle avant de la supprimer.

  Cliquez sur Actions dans la ligne de la règle cible, puis sur Edit. Cliquez sur Actions dans la boîte de dialogue pour supprimer la règle.

Clusters pris en charge

Cette fonctionnalité prend uniquement en charge les clusters répondant aux deux conditions suivantes :

• Les serveurs exécutant les clusters sont connectés à Security Center.

• Les clusters sont des ACK managed cluster, des ACK dedicated cluster ou des clusters Kubernetes autogérés connectés à Security Center.

Prérequis

• Au moins l'une des fonctionnalités Delete ou OK est activée. Pour plus d'informations, consultez la rubrique Paramètres de protection de l'hôte.

• La fonctionnalité Malicious Host Behavior Prevention est activée. Pour plus d'informations, consultez la rubrique Prévention des évasions de conteneurs.

Gérer les règles système

• Activation des règles

  • Security Center propose plusieurs règles de prévention des évasions de conteneurs. Par défaut, toutes les règles de prévention des évasions de conteneurs sont activées pour tous les clusters connectés à Security Center. Ces règles activées par défaut sont appelées règles système.

  • Vous pouvez activer ou désactiver manuellement les règles système.

• Action de la règle

  L'action de la règle système est définie sur Alerte, ce qui signifie que la règle génère uniquement des alertes sans intercepter les comportements d'évasion lorsque ceux-ci se produisent.

• Affichage de la règle

  Consultez les informations détaillées des règles système dans la console Security Center, sous l'onglet Webshell Connection Prevention de la règle Container Escape Prevention. Pour y accéder, naviguez vers Protection Configuration > Container Protection > Proactive Defense for Containers.

• Mise à jour de la règle

  Modifiez la portée des clusters concernés par la règle système. Si des clusters sont modifiés ou si de nouveaux assets de cluster sont ajoutés, la règle système inclut automatiquement les nouveaux clusters dans son périmètre de protection.

• Utilisation de la règle

  • Lors de la première utilisation de la fonctionnalité de prévention des évasions de conteneurs, nous vous recommandons de surveiller attentivement les alertes générées par la règle système afin de détecter d'éventuels faux positifs. Si aucun faux positif n'est constaté, vous pouvez modifier l'action de la règle pour la définir sur Blocage.

  • Les règles système ne prennent pas en charge les listes d'autorisation ni l'interception des comportements à risque. Pour configurer une liste d'autorisation ou intercepter des comportements dangereux, créez une règle personnalisée.

  • Après la création d'une règle personnalisée d'un type spécifique, la règle système correspondante est automatiquement désactivée.

Créer une règle personnalisée

Les règles personnalisées prennent en charge les mêmes types de règles que les règles système, et offrent également la possibilité de configurer des listes d'autorisation et d'intercepter les comportements à risque.

1. Connectez-vous à la .

2. Dans le volet de navigation de gauche, accédez à Container Escape Prevention > System Rules > Protection Configuration. Dans le coin supérieur gauche de la console, sélectionnez la région où se trouve l'asset à protéger : Container Protection ou Proactive Defense for Containers.

3. Dans la liste des types de règles, cliquez sur Chinese Mainland.

4. Sous l'onglet Outside Chinese Mainland, cliquez sur Container Escape Prevention.

5. Dans le panneau Custom Rules, définissez la règle puis cliquez sur Create Rule.

   Paramètre	Description
   Create Rule	Saisissez un nom de règle.
   Next	Sélectionnez un type de règle dans la liste déroulante. Choisissez le type requis parmi ceux proposés par Security Center en fonction de vos besoins de protection. Après la sélection d'un type de règle, tous les éléments de détection pris en charge par ce type sont sélectionnés par défaut. Si vous ne souhaitez pas activer un élément de détection spécifique, décochez la case correspondante. Accédez à la console pour consulter les types de règles pris en charge et les détails des éléments de détection.
   Rule Name	Sélectionnez l'action de défense. Options : Rule Type : Security Center génère uniquement une alerte lorsqu'un risque défini est détecté. Block : Security Center génère une alerte et intercepte le processus ou l'opération correspondante lorsqu'un risque défini est détecté. Important Dans certains scénarios d'activité normale, les règles peuvent être déclenchées. Lors de la configuration des règles, nous vous recommandons d'observer attentivement le comportement en mode Alerte avant d'activer le mode Blocage.
   Alerts	Cliquez sur Create Rule et saisissez le nom de l'image à ajouter à la liste d'autorisation. Un maximum de 32 entrées de liste d'autorisation est pris en charge. La correspondance floue par mot-clé est prise en charge. Pour l'adresse d'image yundun-example-registry.cn-hangzhou.aliyuncs.com/yundun-example/yun-repo:test, vous pouvez saisir des mots-clés partiels pour une correspondance floue. Les configurations de liste d'autorisation suivantes sont valides : yun-repo test yun-repo:test repo:test Important Lorsqu'une image est ajoutée à la liste d'autorisation de la règle, Security Center ne vérifie pas les comportements d'évasion pour cette image. Procédez avec prudence.

   Une fois cette étape terminée, Security Center a créé la règle correspondante dans la liste des règles.

6. Sélectionnez les clusters à protéger et cliquez sur Add to Whitelist.

   Vous pouvez sélectionner des clusters connectés à Security Center. Si vous devez protéger un cluster Kubernetes autogéré, connectez-le d'abord à Security Center. Pour plus d'informations, consultez la rubrique Ajouter un cluster Kubernetes autogéré à Security Center.

Consulter les alertes

Après avoir créé et activé une règle de prévention des évasions de conteneurs, accédez à la page , définissez le type d'alerte sur Container Escape Prevention pour afficher les alertes de prévention des évasions de conteneurs. Les alertes suivantes sont générées en fonction de l'action de défense configurée dans la règle de prévention des évasions de conteneurs :

• Pour les règles dont l'action de défense est OK, les alertes de sécurité sont à l'état Unhandled. Nous vous recommandons de traiter ces alertes rapidement. Pour plus d'informations, consultez la rubrique Évaluer et gérer les alertes de sécurité. Sur la page Security Alert Handling, sélectionnez l'onglet Container et définissez Handled sur Unhandled.

• Pour les règles dont l'action de défense est Block, les alertes sont à l'état Blocked, ce qui signifie que Security Center a automatiquement intercepté le comportement d'évasion et qu'aucune action manuelle n'est requise. Après qu'une règle avec l'action de défense Block a déclenché une alerte, accédez à la page Security Alert Handling, sélectionnez l'onglet Container, définissez Handled sur Handled et ajoutez le filtre Alert Type (par exemple Container Escape Prevention) pour afficher les enregistrements d'alerte correspondants. Le statut s'affiche sous la forme Block successful.

Gérer les règles

• Afficher le périmètre de protection

  Cliquez sur le nombre figurant dans la colonne Block de la règle cible pour afficher le périmètre des clusters protégés par la règle dans le panneau Protection Scope. La colonne Protection Scope du panneau indique le statut de l'agent Security Center sur les serveurs exécutant les clusters. Les règles ne s'appliquent que lorsque l'agent est à l'état Normal. Si le statut est Abnormal, activez Protection Scope ou Interceptable Status dans la page Feature Settings des serveurs exécutant les clusters afin de rétablir un statut normal pour l'agent. Pour plus d'informations, consultez la rubrique Paramètres de protection de l'hôte.

• Activer ou désactiver la règle

  Basculez l'interrupteur de la colonne Malicious Host Behavior Prevention de la règle cible pour activer ou désactiver celle-ci.

• Modifier la règle

  Cliquez sur Webshell Connection Prevention dans la ligne de la règle cible, puis sur Enable. Vous pouvez modifier le nom, le type, le statut, l'action de défense et le périmètre de protection de la règle. La règle modifiée prend effet dans un délai de 10 minutes.

• Supprimer la règle

  Important

  • Les règles système ne peuvent pas être supprimées.

  • Une règle supprimée ne peut pas être restaurée. Assurez-vous de ne plus avoir besoin de la règle avant de la supprimer.

  Cliquez sur Actions dans la ligne de la règle cible, puis sur Edit. Cliquez sur Actions dans la boîte de dialogue pour supprimer la règle.