Security Center:コンテナに積極的な防御の機能を使用する

ルールの説明

次の表に、ビジネス要件に基づいて選択できるルールの種類を示します。

制限事項

この機能をサポートしているのは、Security CenterのUltimateエディションのみです。 Security Centerの購入とアップグレード方法の詳細については、「Security Centerの購入」および「Security Centerのアップグレードとダウングレード」をご参照ください。

リスクのある画像ブロッキング

サポートされているクラスタタイプ

リスクイメージのブロッキング機能は、Container Service for Kubernetes (ACK) クラスターのみをサポートします。 次の表に、ACKクラスターのサポートを示します。

原則

クラスターにリスクイメージのブロッキングタイプのルールを作成すると、ルールで指定されたイメージを使用してクラスター内のポッドなどのリソースを作成するときに、イメージリスクを検出するためのリクエストがSecurity Centerに送信されます。 Security Centerは、ルールで選択したリスクがイメージに含まれているかどうかを確認します。 イメージがルールにヒットした場合、Security Centerはルールで指定されたアクションに基づいてイメージを処理し、アラートアクションとブロックアクションのセキュリティイベントを生成します。 アクションは、アラート、ブロック、または許可です。

クラスターに対して複数のルールが作成された場合、すべてのルールが有効になります。 イメージが複数のルールにヒットした場合、Security Centerはルールで指定されたアクションに基づいてイメージを処理し、複数のアラートを生成します。

ルールで複数のポリシーが設定され、ポリシーがヒットした場合、Security Centerはルールで指定されたアクションに基づいてリスクを直ちに処理します。 Security Centerは、イメージを他のポリシーと照合しなくなりました。 Security Centerは、イメージ上の次の種類のリスクを順番に検出します。スキャンされていないイメージ、ベースラインリスク、悪意のあるインターネットイメージ、悪意のあるサンプル、脆弱性、機密ファイル、イメージビルドコマンドのリスクです。

前提条件

ルールを作成する前に、ポリシー管理に必要なコンポーネントがACKコンソールにインストールされていることを確認してください。 必要なコンポーネントは、ゲートキーパー、policy-template-controller、およびlogtail-dsです。 詳細については、「ポリシーガバナンスコンポーネントのインストールまたは更新」をご参照ください。

ルールの作成

1. Security Centerコンソールにログインします。 上部のナビゲーションバーで、管理するアセットのリージョンを選択します。 中国 または 全世界 (中国を除く) を選択できます。

2. 左側のナビゲーションウィンドウで、保護設定 > コンテナ保護 > コンテナのプロアクティブディフェンス を選択します。

3. ルールタイプにリスクイメージのブロッキングを選択します。 ホワイトリストルール作成 をクリックします。

   クラスターのルールを作成した場合は、ルールを見つけて [操作] 列の Copy をクリックします。 Copy Rule パネルで、ビジネス要件に基づいてルールのパラメーターを変更し、OK をクリックします。

4. ホワイトリストルール作成 パネルでパラメーターを設定し、次へ をクリックします。 下表にパラメーターを示します。

   パラメーター	説明
   ルール名	ドロップダウンリストからルールテンプレートを選択し、ルールの名前を入力します。 [空白のテンプレート] を選択すると、ビジネス要件に基づいてルールを作成できます。 事前に設定されたリスク検出設定を持つ既存のテンプレートを選択することもできます。
   ルール説明	ルールの説明を入力します。
   ルール設定	Security Centerがイメージで検出するリスクの種類を選択します。 リスクの種類の横にあるチェックボックスをオンにすると、Security Centerがリスクを検出します。 チェックボックスをオフにすると、Security Centerはリスクを検出しません。 サポートされているリスクの種類を次のリストに示します。 Unscanned Image このタイプのリスクを選択すると、Security Centerは、コンテナーイメージスキャンでスキャンされないイメージのスタートアップを検出します。 重要 このタイプのリスクを選択した場合、ルールアクションをアラートに設定することを推奨します。 セキュリティ管理の要件が高い場合は、アクションを [ブロック] に変更できます。 アクションを変更する前に、既存の設定に基づいて生成されたアラートイベントを一定期間観察し、ビジネスに影響があるかどうかを確認することをお勧めします。 ビジネスに影響がない場合は、ルールのアクションを変更できます。 Malicious Internet Image このタイプのリスクを選択した場合、Security Centerは、パブリックイメージリポジトリからダウンロードされた悪意のあるイメージや、Docker Hubリポジトリから取得され、Webシェルやトロイの木馬などの悪意のあるプログラムを含むイメージなど、インターネット上で悪意のあるとマークされたイメージのスタートアップを検出します。 ベースライン このタイプのリスクを選択した場合、Security Centerはイメージを事前定義された標準のセキュリティ設定とベストプラクティスと照合します。 脆弱性 このタイプのリスクを選択すると、Security Centerはコンテナ環境にセキュリティリスクを引き起こす可能性のある脆弱性を検出し、イメージ内のアプリケーション関連の脆弱性を検出します。 悪意のあるサンプル このタイプのリスクを選択すると、Security Centerは、コンテナーイメージおよびコンテナーランタイムに存在する可能性のある悪意のあるファイル、コード、および動作を検出します。 機密ファイル このタイプのリスクを選択すると、Security Centerは一般的な機密ファイルを検出します。 ビルトリスク存在 このタイプのリスクを選択すると、Security Centerはイメージビルドコマンドのリスクを検出します。 重要 イメージがルールにヒットした場合、Security Centerはルールに基づいてアラートを生成し、ルールで指定されたアクションに基づいてリスクを処理します。 ベースラインのリスク、脆弱性、悪意のあるサンプル、機密ファイル、イメージビルドコマンドのリスクなど、ビジネス要件に基づいて、次の種類のリスクの検出パラメーターを設定できます。 ポリシーで指定したリスクの種類の条件は、論理ORを使用して評価されます。 たとえば、脆弱性のポリシーを設定するときにリスクレベルを高リスクに設定し、CVE IDを指定した場合、開始されたイメージに高リスクの脆弱性または指定されたCVE IDを持つ脆弱性が含まれている場合、ルールはヒットします。
   Rule Action	ルールがヒットしたときにSecurity Centerで実行するアクションを指定します。 有効な値： アラート: イメージが開始されてルールにヒットした場合、Rule Actionがアラートのアラートが セキュリティアラートの処理 ページに生成されます。 Block: イメージが開始されてルールにヒットすると、イメージはブロックされ、Rule ActionがBlockのアラートが セキュリティアラートの処理 ページに生成されます。 Allow: イメージが開始されてルールにヒットした場合、イメージは許可され、Rule ActionがAllowのアラートが セキュリティアラートの処理 ページに生成されます。
   ホワイトリストを追加する	[Create Rule] をクリックし、ホワイトリストに追加する画像のタグを入力します。 ホワイトリストには最大20枚の画像を追加できます。 ホワイトリストにイメージを追加すると、イメージの起動時に、Security Centerはイメージのリスクを検出しなくなります。 あいまい一致は、キーワードを使用してサポートされます。 たとえば、アドレスがyundun-example-registry.cn-hangzhou.aliyuncs.com/yundun-example/yun-repo:testの画像をホワイトリストに追加する場合は、次のいずれかのキーワードを入力できます。 yun-repo テスト yun-repo: テスト repo: テスト

5. 保護スコープを設定し、OK.

   [クラスター] 、[画像] 、または [タグ] タブをクリックして、保護するアセットを選択します。

生成されたアラートの表示

リスクのあるイメージブロックタイプのルールを作成した後、次の操作を実行して、生成されたアラートを表示および処理できます。Security Centerコンソールにログインします。 左側のナビゲーションウィンドウで、レスポンス検出 > セキュリティアラートの処理 を選択します。 [アラート] ページで、[アラートタイプ] の [リスクイメージのブロッキング] を選択します。 管理するアラートを見つけて、操作する 列の [詳細] をクリックします。 表示される詳細パネルの [詳細] タブで、Suggestions に基づいてアラートを処理できます。

ルールの管理

リスクのあるイメージブロックタイプのルールを作成した後、次の操作を実行できます。

• ルールの保護範囲を表示する

  保護スコープを表示するルールを見つけ、Protection Scope 列の番号をクリックします。 Protection Scope パネルで、ルールによって保護されているクラスター、イメージ、およびタグを表示します。

• ルールの変更

  変更するルールを見つけて、[操作] 列の 編集 をクリックします。 [ルールの編集] パネルで、パラメーターと保護範囲を変更します。

• ルールのコピー

  コピーするルールを見つけて、[操作] 列の Copy をクリックします。 [ルールのコピー] パネルで、ルールのパラメーターと保護範囲を変更して、別のルールを作成します。

• ルールの削除

  重要

  ルールを削除すると、ルールによって保護されているアセットは保護されなくなり、ルールを復元することはできません。 作業は慎重に行ってください。

  削除するルールを見つけて、[操作] 列の 削除 をクリックします。 表示されるメッセージで、[OK] をクリックします。

非画像プログラムの防御

コンテナ環境では、コンテナのイメージに基本ソフトウェアが含まれています。 コンテナーの実行中にソフトウェアをインストールまたは変更する必要はありません。 コンテナの実行中にイメージに含まれていないプログラムの起動は、異常な動作と見なされます。 この動作は、攻撃者によって挿入されたトロイの木馬などの悪意のあるソフトウェアによって引き起こされる可能性があります。 非イメージプログラム防御機能は、このような動作を検出してブロックすることができ、コンテナの実行時のセキュリティを確保するのに役立ちます。

コンテナイメージの制限

対応する防御ルールとホワイトリストルールを正常にアクティブ化するには、コンテナイメージが次の基準を満たす必要があります。

• コンテナーで実行されるプログラムのパス長は1,023文字を超えてはなりません。

• コンテナークラスターの名前空間の長さは287文字を超えてはなりません。

• コンテナ内のSecurity Centerエージェントのプロセスには、次の最小バージョンが必要です。

  • AliYunDun: aegis_12_13以上

  • AliHips: 00_43以上

• ホワイトリストルールに含まれるコンテナイメージの場合、対応するコンテナイメージ名の長さが287文字を超えないようにします。

システムルールの管理

• ルールの有効化

  • デフォルトでは、Security Centerは非イメージプログラム防御のためのシステムルールを提供します。 システムルールは、非イメージプログラム防御用のカスタムルールを構成しないユーザーに対して自動的に有効になります。 システムルールは、Security Centerに追加されたすべてのクラスターのイメージ以外のプログラムの起動に関するアラートを生成します。

  • システムルールを手動で有効または無効にできます。

• ルールアクション

  システムルールで指定されているアクションはアラートです。 イメージ以外のプログラムの起動が検出されると、Security Centerはアラートを生成し、イメージ以外のプログラムの起動をブロックしません。

• ルールの表示

  次の操作を実行して、非イメージプログラム防御のシステムルールを表示できます。[Security Centerコンソール] にログインし、[保護設定] > [コンテナー保護] > コンテナのプロアクティブディフェンス を選択します。 次に、[ルールタイプ] で 非イメージプログラム防御 を選択し、System Rules タブでシステムルールを表示します。

• ルールの変更

  システムルールが有効になるクラスターを変更できます。 クラスターが変更された場合、または新しいクラスターが追加された場合、システムは自動的に新しいクラスターを保護スコープに追加します。

• ルールを使用するUse the rule

  • イメージプログラム以外の防御機能を初めて使用するときは、システムルールによって誤検出アラートが生成されているかどうかを確認することをお勧めします。

  • システムルールでホワイトリストを設定したり、システムルールによって検出された危険な動作をブロックしたりすることはできません。 ホワイトリストを設定したり、危険な動作をブロックしたりする場合は、カスタムルールを作成できます。

  • カスタムルールを作成すると、システムルールは自動的に無効になり、再有効にすることはできません。 システムルールを有効にする場合は、すべてのカスタムルールを削除する必要があります。

カスタムルールの作成

1. Security Center コンソールにログインします。 上部のナビゲーションバーで、管理するアセットのリージョンを選択します。 中国 または 全世界 (中国を除く) を選択できます。

2. 左側のナビゲーションウィンドウで、保護設定 > コンテナ保護 > コンテナのプロアクティブディフェンス.

3. [ルールタイプ] セクションで、非イメージプログラム防御 をクリックします。

4. Custom Rules タブで、ホワイトリストルール作成 をクリックします。

5. ホワイトリストルール作成 パネルでパラメーターを設定し、次へ をクリックします。 下表に、各パラメーターを説明します。

   パラメーター	説明
   ルール名	ルールの名前を入力します。
   ルール説明	ルールの説明を入力します。
   Status	スイッチをオンまたはオフにして、ルールを有効または無効にします。 有効な値： オン: スイッチをオンにすると、ルールは作成後に有効になり、保護スコープ内のクラスターを保護するために自動的に適用されます。 オフ: スイッチをオフにすると、ルールは無効になり、作成後は有効になりません。
   Defense Action	ルールがトリガーされた後に実行されるアクションを指定します。 有効な値： アラート: 信頼できないプロセスが検出された場合、セキュリティセンターはアラートを生成します。 Block: 信頼できないプロセスが検出された場合、Security Centerはアラートを生成し、プロセスをブロックします。 説明 最初にDefense ActionパラメーターをAlertに設定することを推奨します。 コンテナの実行中に、コンテナイメージに含まれていない実行可能プログラムがインストールされていない場合は、[防御アクション] パラメーターの値を [ブロック] に変更します。 これは偽陽性を防ぐのに役立ちます。
   Create File Directory Whitelist	[ルールの作成] をクリックし、ホワイトリストに追加するファイルディレクトリを入力します。 例: /user/name1
   Create Image Whitelist	[ルールの作成] をクリックし、ホワイトリストに追加するイメージを入力します。 あいまい一致は、キーワードを使用してサポートされます。 たとえば、アドレスがyundun-example-registry.cn-hangzhou.aliyuncs.com/yundun-example/yun-repo:testの画像をホワイトリストに追加する場合は、次のいずれかのキーワードを入力できます。 yun-repo テスト yun-repo: テスト repo: テスト

6. 表示されたメッセージボックスで、[OK] をクリックします。 カスタムルールを作成すると、システムルールは自動的に無効になります。

7. ルールを適用するクラスターを選択し、OK をクリックします。

   Security Centerに接続されているクラスターを選択できます。 クラスターに設定できるルールは1つだけです。 ルールがすでにクラスターに設定されている場合、この手順でクラスターを選択することはできません。

生成されたアラートの表示

イメージプログラム以外の防御タイプのルールを作成して有効にすると、次の操作を実行して生成されたアラートを表示できます。Security Centerコンソールにログインし、レスポンス検出 > セキュリティアラートの処理を選択し、[アラートタイプ] の [Container Active defense] を選択します。 アラートの名前は非ミラーネイティブプログラム起動です。 イメージプログラム以外の防御機能に基づいて生成されるアラートは、ルールの [防御アクション] パラメーターの値に基づいて、次のタイプに分類されます。

• 防御アクションパラメーターがルールでアラートに設定されている場合、ルールがトリガーされたときにUnhandled状態のアラートが生成されます。 できるだけ早い機会にアラートを処理することを推奨します。 詳細については、「アラートの表示と処理」をご参照ください。

• 防御アクションパラメーターがルールでBlockに設定されている場合、ルールがトリガーされたときに、Process Not ExistsまたはProcess Terminated状態のアラートが生成されます。 このタイプのアラートは、処理済みアラートリストに表示できます。 プロセスが存在しない状態とプロセスが終了した状態を次に示します。

  • Process Not Exists: プロセスは短期間存在し、Security Centerがプロセスを処理する前に停止します。 この状態でアラートを処理する必要はありません。

  • Process Terminated: Security Centerはプロセスをブロックします。 あなたは, この状態で警告を扱う必要はない.

  

ルールの管理

^ 非画像プログラム防御型の規則を作成した後, ルールリストで以下の作戦を実行できる.

• ルールの保護範囲を表示する

  保護スコープを表示するルールを見つけ、Protection Scope 列の番号をクリックします。 Protection Scope Panel では, 規則によって保護されているクラスターを参照.

• ルールを実現したり, 無効化

  この規則を実現し, コールを実現したり, コールを実装したり, コールを実装したり, スイッチの有効化をクリックする.

• ルールの変更

  操作するのコラムに変更し, 規則の名, 記述, 状態, アクション, ホイテリストの設定, および保護のスペースを変更する.編集

• ルールの削除

  重要

  • このシステムの規則は削除されない.

  • ルールが削除された後, この規則は復元できない. この規則を削除する前に, もはもはもはやがても必要ないことを確認する.

  操作するのコラムで削除したい削除したい. 表示されたメッセージボックスで、OK をクリックします。

コンテナの防止

セキュリティコンテナを除いて, ホスト上のコンテナを除いて, ホストで動作するオペレーティングシステムのカーネルを使用する. この場合、攻撃者は、コンテナ内の脆弱性を悪用して、特権エスカレーションを実装し、ホストのオペレーティングシステムまたはホスト上に存在する他のコンテナを制御することができる。 セキュリティ・セキュリティセンターは, コンテナの追放を防ぐため, コンテナを脱出する特性を提供する. この機能を利用するルールを設定しなければならない.

サポート

コンテナーエスケープ防止機能は、次の条件を満たすクラスターをサポートします。

• クラスターがデプロイされているサーバーがSecurity Centerに追加されます。

• クラスターは、Security Centerに接続されているACK管理クラスター、ACK専用クラスター、または自己管理Kubernetesクラスターです。

前提条件

• 悪意のあるホスト行動からの保護またはWeb サイトのバックドア攻撃からの保護のスイッチがオンになっています。 詳細については、「プロアクティブ防御」をご参照ください。

• Container Escape Preventionのスイッチがオンになっています。 詳細については、「Container Escape Prevention」をご参照ください。

システムルールの管理

• ルールの有効化

  • Security Centerでは、コンテナ脱出防止タイプのさまざまなルールを提供しています。 既定では、ルールはSecurity Centerによって保護されているすべてのクラスターに対して有効になります。 ルールは、システムルールと呼ばれる。

  • システムルールを手動で有効または無効にできます。

• ルールアクション

  システムルールで指定されているアクションはアラートです。 エスケープ動作が検出されると、Security Centerはアラートを生成し、動作をブロックしません。

• ルールの表示

  システムルールの詳細を表示するには、次の操作を実行します。[Security Centerコンソール] にログインし、左側のナビゲーションウィンドウで 保護設定 > コンテナ保護 > コンテナのプロアクティブディフェンス を選択します。 ^ ルールタイプセクションでは, Container Escape Preventionをクリックする. System Rulesのタブをクリックする.

• このような規則

  システムの規則が実現するクラスターを変えることができる. クラスターが変更された場合、または新しいクラスターが追加された場合、システムは自動的に新しいクラスターを保護スコープに追加します。

• この規則使用

  • コンテナの脱出防御性を初めて使用する時, 私たちは, システムの規則によって, 偽正性の警報が生成されたかどうかを検証する. ただし, 正確性の正確な警告が生成されない場合, ルールに規定された規則の行動を変えることができる.

  • システムのルールでホワイトレットを設定し, システムルールで検出される危険な行動をブロックする. ホワイトリストを設定したり、危険な動作をブロックしたりする場合は、カスタムルールを作成できます。

  • 特定のタイプの規則を生成した後, 同じタイプのシステム規則は自動的に無効である.

カスタムルールの作成

セキュリティセンターは同一の規則やシステムの規則を提供している. ホワイトリストを設定し, カスタムのルールをブロックするように Defence Actionを設定できる.

1. Security Center コンソールにログインします。 上部のナビゲーションバーで、管理するアセットのリージョンを選択します。 中国 または 全世界 (中国を除く) を選択できます。

2. 左側のナビゲーションウィンドウで、保護設定 > コンテナ保護 > コンテナのプロアクティブディフェンス.

3. ^ ルールタイプセクションでは, Container Escape Preventionをクリックする.

4. Custom Rulesのタブに, クリックCreate Rule.

5. Create Rule パネルで、パラメーターを設定し、次へ をクリックします。 下表に、各パラメーターを説明します。

   パラメーター	説明
   ルール名	ルールの名前を入力します。
   Rule Type	ドロップダウンリストからルールタイプを選択します。 セキュリティ要件に基づいてルールタイプを選択できます。 タイプを選択すると、そのタイプでサポートされているすべてのチェック項目が選択されます。 特定のチェック項目が必要ない場合は、チェック項目をクリアできます。 サポートされているルールの種類とチェック項目は、Security Centerコンソールで確認できます。
   Defense Action	ルールがトリガーされた後に実行されるアクションを指定します。 有効な値： アラート: セキュリティセンターは、ルールで指定されたリスクが検出された場合にのみアラートを生成します。 Block: ルールで指定されたリスクが検出された場合、Security Centerはアラートを生成し、関連するプロセスまたは操作をブロックします。 重要 ルールは、いくつかの通常のビジネスシナリオでトリガされ得る。 ルールを設定するときは、[防御アクション] パラメーターを [アラート] に設定し、一定期間内に偽陽性アラートが生成されたかどうかを確認することを推奨します。 誤検出アラートが生成されない場合は、Defense Actionパラメーターの値をBlockに変更します。
   ホワイトリストを追加する	[Create Rule] をクリックし、ホワイトリストに追加する画像のタグ名を入力します。 ホワイトリストには最大20枚の画像を追加できます。 あいまい一致は、キーワードを使用してサポートされます。 たとえば、アドレスがyundun-example-registry.cn-hangzhou.aliyuncs.com/yundun-example/yun-repo:testの画像をホワイトリストに追加する場合は、次のいずれかのキーワードを入力できます。 yun-repo テスト yun-repo: テスト repo: テスト 重要 ホワイトリストにイメージを追加すると、Security Centerはイメージのエスケープ動作を検出しません。 作業は慎重に行ってください。

   この手順を完了すると、ルールがルールリストに表示されます。

6. 保護するクラスターを選択し、OK をクリックします。

   選択できるのは、Security Centerに接続されているクラスターのみです。 Security Centerで自己管理型Kubernetesクラスターを保護する場合は、クラスターをSecurity Centerに接続する必要があります。 詳細については、「セルフマネージドKubernetesクラスターのSecurity Centerへの追加」をご参照ください。

生成されたアラートの表示

コンテナーエスケープ防止タイプのルールを作成して有効にすると、次の操作を実行して生成されたアラートを表示できます。Security Centerコンソールにログインし、[検出と応答]> [アラート] を選択し、[アラートタイプ] の [コンテナーエスケープ防止] を選択します。 コンテナーエスケープ防止機能に基づいて生成されるアラートは、ルールの [防御アクション] パラメーターの値に基づいて、次の種類に分類されます。

• 防御アクションパラメーターがルールでアラートに設定されている場合、ルールがトリガーされたときに未処理状態のアラートが生成されます。 できるだけ早い機会にアラートを処理することを推奨します。 詳細については、「アラートの表示と処理」をご参照ください。

• 防御アクションパラメーターがルールで Block に設定されている場合、ルールがトリガーされたときに ブロックされました 状態のアラートが生成されます。 これは、Security Centerがコンテナーをエスケープすることを示します。 アラートを処理する必要はありません。

ルールの管理

• ルールの保護範囲を表示する

  保護スコープを表示するルールを見つけ、Protection Scope 列の番号をクリックします。 Protection Scope Panel では, 規則によって保護されているクラスターを参照. Interceptable Status 列の値は、クラスターがデプロイされているサーバーにインストールされているSecurity Centerエージェントのステータスを示します。 このルールは、エージェントが正常状態の場合にのみクラスターに適用されます。 エージェントが異常状態の場合、機能の設定 ページで、クラスターがデプロイされているサーバーの 悪意のあるホスト行動からの保護 または Web サイトのバックドア攻撃からの保護 のスイッチをオンにします。 スイッチをオンにする方法の詳細については、「ホスト保護設定タブの機能を有効にする」をご参照ください。

• ルールの有効化または無効化

  管理するルールを見つけ、スイッチの有効化 列のスイッチをクリックして、ルールを有効または無効にします。

• ルールを変更する

  変更するルールを見つけ、操作する 列の 編集 をクリックして、ルールの名前、タイプ、ステータス、アクション、および保護範囲を変更します。 変更は10分で有効になります。

• ルールを削除する

  重要

  • システムルールは削除できません。

  • ルールが削除された後, この規則は復元できない. この規則を削除する前に, もはもはもはやがても必要ないことを確認する.

  削除するルールを見つけて、操作する 列の 削除 をクリックします。 表示されたメッセージボックスで、[OK] をクリックします。

関連ドキュメント

• アラートの表示と処理

• コンテナー資産の管理