Security Center:Container file protection

Batasan

• Hanya Edisi Ultimate Security Center yang mendukung fitur ini. Edisi lain tidak mendukungnya. Untuk informasi lebih lanjut tentang cara membeli atau melakukan upgrade Security Center, lihat Purchase Security Center dan Upgrade and downgrade Security Center.

• Agen Security Center harus diinstal pada server tempat kluster yang ingin Anda lindungi dideploy. Untuk informasi lebih lanjut, lihat Install the Security Center agent.

• Hanya kluster yang terhubung ke Security Center yang dilindungi. Untuk melindungi kluster Kubernetes yang dikelola sendiri, Anda harus terlebih dahulu menghubungkannya ke Security Center. Untuk informasi lebih lanjut, lihat Connect a self-managed Kubernetes cluster to Security Center.

• Sistem operasi dan versi kernel server tempat kluster Anda berjalan harus berada dalam rentang yang didukung. Untuk daftar kompatibilitas lengkap, lihat Supported operating systems and kernel versions.

• Jumlah direktori yang dilindungi per label pod dalam satu kluster (hanya menghitung aturan yang diaktifkan) tidak boleh melebihi 10. Jika batas ini dilampaui, fitur container file protection menjadi tidak tersedia untuk seluruh kluster.

• Jumlah total label pod unik (setelah deduplikasi) di seluruh aturan yang diaktifkan dalam satu kluster tidak boleh melebihi 10. Jika batas ini dilampaui, fitur container file protection menjadi tidak tersedia untuk seluruh kluster.

Contoh: Cluster01 memiliki satu pod (Pod01) dengan satu label (Label01). Anda membuat 12 aturan container file protection (Rule01–Rule12) untuk Cluster01:

• Rule01: mereferensikan Label01 dari Cluster01.

• Rule02: mereferensikan Label02 dari Cluster01 (label pod dapat direferensikan meskipun saat ini tidak ada pod yang menggunakannya).

• ...

• Rule09: mereferensikan Label09 dari Cluster01.

• Rule10: mereferensikan Label10 dari Cluster01.

• Rule11: mereferensikan Label10 dari Cluster01.

• Rule12: mereferensikan Label10 dari Cluster01.

Setelah deduplikasi, terdapat 10 label unik (Label01–Label10) yang direferensikan. Container file protection berfungsi secara normal.

Jika Anda membuat dan mengaktifkan Rule13 yang mereferensikan Label10 dan Label11 dari Cluster01, jumlah label unik setelah deduplikasi menjadi 11, sehingga container file protection menjadi sepenuhnya tidak tersedia untuk Cluster01.

Buat aturan

1. Login ke Security Center console. Di bilah navigasi atas, pilih wilayah aset yang ingin Anda lindungi: China atau Outside China.Login ke Security Center console.

2. Di panel navigasi kiri, pilih Protection Configuration > Container Protection > Container File Protection.

3. Pada halaman Container File Protection, klik Create Rule.

4. Pada panel Create Rule, konfigurasikan parameter aturan lalu klik Next.

   Protected File Directory, Processes in Whitelist, dan Excluded File Path semuanya mendukung wildcard. Aturan menggunakan pencocokan eksak. Contoh berikut menggunakan /dir1/test untuk mengilustrasikan logika pencocokan:

   • /dir1/test (jalur eksak): Hanya cocok dengan /dir1/test. Tidak cocok dengan /dir1/test/1.html atau /dir1/test/dir1/2.html.

     • Protected File Directory: Jika diatur ke /dir1/test, hanya direktori /dir1/test itu sendiri yang dilindungi (menghapus atau mengganti nama /dir1/test akan memicu peringatan atau pemblokiran). Subdirektori dan file di dalam /dir1/test tidak dilindungi.

     • Whitelist: Jika diatur ke /dir1/test, hanya proses yang dijalankan oleh executable /dir1/test yang dapat memodifikasi direktori yang dilindungi tanpa memicu peringatan atau pemblokiran. Proses yang dijalankan oleh /dir1/test/1.html tetap memicu peringatan atau pemblokiran.

     • Excluded File Path: Jika Protected File Directory diatur ke /dir1/* dan Excluded File Path diatur ke /dir1/test, hanya direktori /dir1/test itu sendiri yang dikecualikan. Menghapus atau mengganti nama /dir1/test tidak memicu aturan. Namun, memodifikasi konten di dalam /dir1/test/1.html tetap memicu peringatan atau pemblokiran.

   • /dir1/test* (akhiran wildcard): Cocok dengan /dir1/test, /dir1/test/1.html, /dir1/test/dir1/2.html, /dir1/test1/1.html, /dir1/test2/2.html, dan lainnya.

   • /dir1/test/*.html (wildcard di jalur): Cocok dengan /dir1/test/index.html dan /test/dir1/index.html.

   Parameter	Deskripsi	Contoh
   Rule Name	Masukkan nama aturan. Nama harus terdiri dari 6 hingga 50 karakter, dimulai dengan huruf atau karakter Tionghoa, dan dapat berisi angka, garis bawah (_), dan tanda hubung (-).	Cluster01
   Protected File Directory	Tentukan direktori yang akan dilindungi. Persyaratan: Jalur harus dimulai dengan garis miring (/). Hanya satu direktori yang dapat dimasukkan per baris. Panjang jalur direktori harus kurang dari 500 karakter. Setiap aturan hanya dapat melindungi satu direktori. Untuk melindungi beberapa direktori, klik Add di kolom Actions. Satu aturan container file protection mendukung hingga 10 direktori yang dilindungi.	/home/app/label/*
   Whitelist (Process Whitelist) / Excluded File Path	Tentukan proses yang dapat memodifikasi direktori yang dilindungi dan jalur file yang dikecualikan dari perlindungan. Proses dalam daftar putih atau modifikasi pada jalur file yang dikecualikan tidak memicu peringatan atau pemblokiran. Persyaratan: Setiap proses atau jalur file tidak boleh lebih dari 50 karakter. Pisahkan beberapa entri dengan titik koma (;). Setiap direktori yang dilindungi mendukung hingga 10 proses daftar putih dan 10 jalur file yang dikecualikan. Ikuti prinsip-prinsip berikut saat mengonfigurasi daftar putih dan jalur file yang dikecualikan: Prinsip hak istimewa minimal: Tambahkan proses, file, atau direktori ke daftar putih hanya jika aksesnya penting untuk operasi normal container. Spesifik: Tentukan proses, file, dan direktori secara eksplisit. Gunakan wildcard dengan hati-hati dan hindari jalur yang terlalu luas untuk meminimalkan risiko keamanan.	Whitelist: /bin/cp;/usr/bin/mv;/bin/vi
   Excluded File Path	(Konfigurasi sama seperti di atas, untuk pengecualian direktori file)	/home/app/label/logs/*
   Action	Pilih tindakan yang akan diambil ketika terdeteksi adanya perusakan. Opsi: Alerts: Security Center hanya menghasilkan peringatan keamanan ketika direktori yang dilindungi dirusak. Block: Security Center menghasilkan peringatan keamanan dan memblokir proses terkait ketika direktori yang dilindungi dirusak. Catatan: Mulailah dengan mode Alerts terlebih dahulu. Setelah Anda memastikan bahwa operasi bisnis normal tidak memicu peringatan perlindungan file, beralihlah ke mode Block untuk menghindari pemblokiran proses yang sah. Jika proses yang sah diblokir, tambahkan ke daftar putih proses.	Alert

   Catatan

   Untuk melindungi direktori /home beserta semua subdirektori dan file-nya, konfigurasikan dua direktori yang dilindungi: /home dan /home/*. Alternatifnya, Anda dapat mengonfigurasi /home*, yang juga mencakup direktori seperti /home1/, /home2/, dan sejenisnya.

5. Pilih kluster dan label pod agar aturan berlaku, lalu klik OK.

   Gunakan label pod yang diawali dengan app. Di Kubernetes, label adalah pasangan kunci-nilai yang digunakan untuk memberi tag dan mengklasifikasikan sumber daya seperti Pod, Deployment, dan Service. Anda dapat menentukan label kustom berdasarkan skenario, fitur, atau tujuan untuk mengelola sumber daya Kubernetes dengan lebih baik. Label yang diawali dengan app mengelompokkan sumber daya berdasarkan aplikasi. Untuk informasi lebih lanjut, lihat Recommended labels.

   Jika tidak ada label yang muncul di daftar dropdown, masukkan label pod secara manual. Untuk menerapkan aturan ke beberapa label pod dalam kluster yang sama atau ke beberapa kluster, klik Add di kolom Actions.

Kelola aturan

Setelah membuat aturan, Anda dapat melakukan operasi berikut pada daftar aturan di halaman Container File Protection:

• Mengaktifkan atau menonaktifkan aturan

  Aktifkan atau nonaktifkan sakelar di kolom Status aturan yang dituju.

• Mengedit aturan

  Klik Edit di kolom Actions aturan yang dituju untuk mengubah nama, konfigurasi, dan cakupan aturan.

• Menghapus aturan

  Catatan

  Aturan yang dihapus tidak dapat dipulihkan. Pastikan Anda tidak lagi memerlukan aturan tersebut sebelum menghapusnya.

  Klik Delete di kolom Actions aturan yang dituju, lalu klik OK di kotak dialog konfirmasi.

Lihat hasil peringatan

Setelah membuat dan mengaktifkan aturan container file protection, buka halaman Detection and Response > Alerts. Klik tab Container, atur jenis peringatan ke Proactive Defense for Containers, dan cari peringatan bernama File Protection. Ini adalah peringatan yang dihasilkan oleh fitur container file protection.

Bergantung pada tindakan yang dikonfigurasi dalam aturan, peringatan berikut dihasilkan:

• Aturan dengan tindakan Alerts menghasilkan peringatan keamanan dalam status Unhandled. Tangani peringatan ini segera. Untuk informasi lebih lanjut, lihat View and handle security alerts.

  Di halaman Security Alerts, atur filter status ke Unhandled dan atur Alert Type ke Container Active Defense untuk melihat dan menangani peringatan File Defense yang sesuai.

• Aturan dengan tindakan Block menghasilkan peringatan keamanan dalam status Blocked. Security Center secara otomatis menangani peringatan ini. Anda dapat melihatnya dalam daftar peringatan yang telah ditangani.

  Di halaman Security Alerts, atur filter status ke Handled dan atur Alert Type ke Container Active Defense untuk melihat hasil pemblokiran peringatan File Defense.

Sistem operasi dan versi kernel yang didukung