Security Center:コンテナファイル保護

制限事項

• エディション要件：Security Center の Ultimate エディションのみがこの機能をサポートしています。詳細については、「Security Center の購入」および「Security Center のアップグレードとダウングレード」をご参照ください。

• クラスター接続性：Security Center に接続されているクラスターのみが保護されます。自己管理型 Kubernetes クラスターを保護するには、まず Security Center に接続してください。詳細については、「自己管理型 Kubernetes クラスターを Security Center に接続」をご参照ください。

• OS およびカーネルのサポート：クラスターをホストするサーバーは、サポートされているオペレーティングシステムとカーネルバージョンを実行している必要があります。完全な互換性リストについては、「サポートされているオペレーティングシステムとカーネルバージョン」をご参照ください。

• クラスターあたりの保護対象ディレクトリ数：クラスター内で Pod ラベルが追加される保護対象ディレクトリの数は、10 (有効なルールのみをカウント) を超えることはできません。この制限を超えると、クラスター全体の機能が無効になります。

• クラスターあたりのユニークな Pod ラベル：クラスター内のすべての有効なルールは、最大 10 個のユニークな Pod ラベル (重複排除後) を参照できます。この制限を超えると、クラスター全体の機能が無効になります。

例：Cluster01 には 12 個のルール (Rule01～Rule12) があります。Rule01 は Label01 を参照し、Rule02 は Label02 を参照し、Rule10 (Label10) まで同様です。Rule11 と Rule12 は両方とも Label10 を参照します。重複排除後、ユニークなラベルは 10 個になるため、機能は正常に動作します。Label10 と Label11 を参照する Rule13 を追加すると、重複排除後のカウントは 11 になり、Cluster01 では機能が利用できなくなります。

クラスター内にそのラベルを持つ Pod がない場合でも、Pod ラベルはルールで参照できます。

前提条件

開始する前に、以下を確認してください。

• ご利用のクラスターをホストするすべてのサーバーに Security Center エージェントがインストールされていること。詳細については、「Security Center エージェントのインストール」をご参照ください。

ルールの作成

1. Security Center コンソールにログインします。 上部のナビゲーションバーで、保護するアセットのリージョンとして中国または中国本土以外を選択します。Security Center コンソールにログインします。

2. 左側のナビゲーションウィンドウで、[保護設定] > [コンテナ保護] > [コンテナファイル保護] を選択します。

3. 「Container File Protection」ページで、[Create Rule] をクリックします。

4. [ルールの作成] パネルで、次のパラメーターを設定してから [次へ] をクリックします。 [ホワイトリスト] および [除外ファイルパス] では、各エントリを 50 文字以下にする必要があります。複数のエントリはセミコロン (;) で区切ります。保護対象のディレクトリごとに、最大 10 個のホワイトリストプロセスと 10 個の除外ファイルパスを指定できます。 パス照合の仕組み ルールでは、ワイルドカードベースのプレフィックス対応照合が使用されます。 次の例では、/dir1/test を使用して動作を説明します。 [ホワイトリスト] と [除外ファイルパス] を設定する際は、最小権限の原則に従ってください。通常のコンテナワークロードに必要なもののみを指定し、広範なワイルドカードパターンは避けてください。

   • 保護対象ファイルディレクトリ /dir1/test (完全一致)：/dir1/test ディレクトリ自体のみが保護されます。削除または名前変更された場合、アラートが生成されるか、プロセスがブロックされます。サブディレクトリと内部のファイルは対象外です。

   • ホワイトリスト /dir1/test (完全一致)：実行可能ファイル /dir1/test によって生成されたプロセスは、アラートをトリガーせずに保護対象ディレクトリを変更できます。/dir1/test/1.html によって生成されたプロセスは、引き続きルールの対象となります。

   • 保護対象ファイルディレクトリ /dir1/* と 除外ファイルパス /dir1/test：/dir1/test ディレクトリは除外されます。/dir1/test の削除または名前変更はルールをトリガーしませんが、/dir1/test/1.html 内部のコンテンツを変更すると、引き続きトリガーされます。

   まず[アラート]を使用して誤検知が生成されないことを確認してから、[ブロック]に切り替えます。ブロックされたプロセスが通常のワークロードに必要な場合は、[ホワイトリスト]に追加します。

   パラメーター	説明
   [ルール名]	ルールの名前を入力します。名前は 6～50 文字で、使用できる文字は英字、数字、アンダースコア (_)、ハイフン (-) のみです。先頭は英字にする必要があります。
   [保護対象ファイルディレクトリ]	保護するディレクトリを入力します。各エントリは / で始まり、長さは 500 文字以内にする必要があります。[操作] 列の [追加] をクリックして、ルールごとに最大 10 個のディレクトリを追加します。
   [ホワイトリスト]	保護対象ディレクトリの変更を許可するプロセス、または変更を許可するディレクトリを入力します。ホワイトリストに登録されたプロセスがディレクトリを変更した場合、アラートは生成されず、プロセスはブロックされません。
   [除外ファイルパス]	保護対象ディレクトリ内で保護から除外するサブディレクトリまたはファイルを入力します。除外されたパスへの変更は、アラートの生成やブロックをトリガーしません。
   [アクション]	改ざんが検出された場合にセキュリティセンターが実行するアクションを選択します： [アラート] (アラートのみを生成し、プロセスはブロックされません) または [ブロック] (アラートを生成し、改ざんプロセスをブロックします)。

   パターン	マッチするもの	マッチしないもの
   /dir1/test (完全一致)	/dir1/test のみ	/dir1/test/1.html、/dir1/test/dir1/2.html
   /dir1/test* （ワイルドカード）	/dir1/test、/dir1/test/1.html、/dir1/test1/1.html	/dir1/tes
   /dir1/test/*.html	/dir1/test/index.html、/test/dir1/index.html	/dir1/test/file.css

5. クラスターリストで、[クラスター名] 列のクラスターを選択します。[Pod タグ] 列で Pod ラベルを選択し、[OK] をクリックします。app で始まる Pod ラベルを使用します。Kubernetes では、ラベルは Pod、デプロイメント、サービスなどのリソースを整理するために使用されるキーと値のペアです。app がプレフィックスとして付いたラベルは、リソースをアプリケーションごとにグループ化するため、範囲の管理がより予測しやすくなります。詳細については、「推奨ラベル」をご参照ください。ドロップダウンにラベルが表示されない場合は、ラベルを直接入力します。複数のクラスターまたは複数の Pod ラベルにルールを適用するには、[操作] 列の [追加] をクリックします。

ルールの管理

[コンテナファイル保護] ページでは、既存のルールに対して以下の操作を実行できます。

ルールの有効化または無効化

ルールを見つけ、[有効化] 列のスイッチを切り替えます。

ルールの編集

ルールを見つけ、[アクション] 列の [編集] をクリックして、名前、構成、または範囲を変更します。

ルールの削除

ルールを探し、[操作] 列の [削除] をクリックします。確認ダイアログで [OK] をクリックします。

アラート結果の表示

ルールを作成して有効にした後、[検知と対応] > [アラート] に移動してタブをクリックし、[アラートタイプ] を [コンテナアクティブ防御] に設定します。コンテナファイル保護によって生成されたアラートは、すべて File Defense で始まります。

アラートの状態は、トリガーするルールで設定されたアクションによって異なります。

• アラートアクション：アラートの状態は [コンテナ] です。これらのアラートに迅速に対処してください。詳細については、「セキュリティアラートの表示と処理」をご参照ください。

• ブロックアクション：アラートの状態は [ブロック済み] です。Security Center はこれらのアラートを自動的に処理します。処理済みアラートのリストで表示できます。

サポートされているオペレーティングシステムとカーネルバージョン