Security Center:プロアクティブなコンテナ防御

サポートされているクラスター

[リスクイメージのブロッキング]は、現在 Container Service for Kubernetes (ACK) の一部のクラスタータイプのみをサポートしています。以下の表に、サポートされているクラスタータイプを示します。

仕組み

クラスターに対して[リスクイメージのブロッキング]ルールを作成すると、Security Center はクラスター内でイメージを使用してリソース (Pod など) を作成する各リクエストをインターセプトし、ルールで設定されたリスクに対してイメージを検証します。イメージがルールに一致する場合、Security Center はアラート、ブロック、または許可のアクションを実行し、アラートおよびブロックアクションに対してセキュリティイベントを生成します。

同じクラスターに対して複数のルールが設定されている場合、すべてのルールが有効になります。イメージが複数のルールに一致する場合、複数のアラートが生成され、対応するアクションが実行されます。

同じルール内に複数の項目を設定した場合、Security Center はいずれかの項目が一致した時点で直ちにルールアクションを実行し、他の項目の照合は行いません。ルール内の項目の照合順序は、未スキャンイメージ、ベースライン、悪意のあるインターネットイメージ、悪意のあるサンプル、脆弱性、機密ファイル、ビルドリスクの存在の順です。

前提条件

防御ルールを作成する前に、ACK コンソールでポリシーガバナンスコンポーネント (ゲートキーパー、policy-template-controller、logtail-ds) がインストールされていることを確認してください。詳細については、「ステップ 1: ポリシーガバナンスのインストールまたはアップグレード」をご参照ください。

ルールの作成

1. Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、保護設定 > コンテナ保護 > コンテナのプロアクティブディフェンス を選択します。コンソールの左上隅で、保護対象のアセットが配置されているリージョンを選択します：中国本土 または 中国本土以外。

3. リスクイメージのブロッキング ルールタイプを選択し、ホワイトリストルール作成 をクリックします。

   クラスターに対して既に防御ルールを作成している場合は、既存のルールをコピーして新しいルールをすばやく作成できます。既存のルールの [操作] 列で コピー をクリックし、レプリケーションポリシー パネルで要件に応じてルール設定を変更してから、OK をクリックしてルールを作成します。

4. ホワイトリストルール作成 パネルで、ルールを定義し、次へ をクリックします。

   パラメーター	説明
   [ルール名]	ドロップダウンリストからルールテンプレートを選択し、名前を入力します。設定項目をカスタマイズする場合は [空白テンプレート] を選択するか、事前定義されたリスク設定項目が含まれるテンプレートを選択できます。
   [ルール説明]	ルールの説明を入力します。
   [ルールの設定]	以下のルール項目を設定できます。対応するチェックボックスをオンにすると検知が有効になり、オフにすると検知が無効になります。 [未スキャンイメージ]: このオプションを有効にすると、Security Center はイメージセキュリティスキャン機能でスキャンされていないイメージの起動を検知します。 重要 このオプションを有効にする場合は、まずルールアクションを [アラート] に設定することを推奨します。より厳格なセキュリティ制御が必要な場合は、一定期間アラートイベントを監視し、ルールが通常の業務に影響を与えないことを確認してから、[ブロック] に切り替えてください。 [インターネットの悪性イメージ]: このオプションを有効にすると、Security Center はインターネット上で悪意があると判定されたイメージ (パブリックイメージリポジトリからダウンロードされた悪意のあるイメージや、バックドア、トロイの木馬、その他の悪意のあるプログラムを含む Docker Hub パブリックリポジトリから取得されたイメージなど) の起動を検知します。 [ベースライン]: このオプションを有効にすると、Security Center はコンテナイメージが事前定義されたセキュリティ設定標準およびベストプラクティスに準拠しているかどうかを確認します。 [脆弱性]: このオプションを有効にすると、Security Center はコンテナ環境でセキュリティリスクを引き起こす可能性のあるイメージ内の脆弱性 (イメージ内のアプリケーション関連の脆弱性を含む) を検知します。 [悪性サンプル]: このオプションを有効にすると、Security Center はコンテナイメージおよびコンテナランタイムに存在する可能性のある悪意のあるファイル、悪意のあるコード、悪意のある動作を検知します。 [機密ファイル]: このオプションを有効にすると、Security Center は一般的な機密ファイルを検知します。 [ビルドに脅威あり]: このオプションを有効にすると、Security Center はイメージビルドコマンドのリスクを検知します。 重要 イメージが対応するルールに一致すると、Security Center はルール設定に基づいてアラートを生成し、ルールアクションに基づいて対応するアクションを実行します。 要件に応じて、ベースライン、脆弱性、悪意のあるサンプル、機密ファイル、ビルドリスクの存在について、具体的な検知ルールを設定できます。 各タイプのルール設定項目における任意の条件は OR 関係です。 たとえば、脆弱性設定でリスクレベルを「高」に設定し、特定の CVE ID を指定した場合、起動されたイメージに高リスクの脆弱性または指定した CVE ID が含まれていると、ルールに一致します。
   [ルールアクション]	有効にした検知ルールに一致した場合に Security Center が実行するアクションを選択します。選択可能なアクションは次のとおりです。 [アラート]: イメージが起動した後、セキュリティアラートの処理 ページに、ルールアクション が アラート であるイベントが生成されます。 [ブロック]: イメージが起動する際に、ルールに一致するイメージの起動がブロックされ、セキュリティアラートの処理 ページに、ルールアクション が ブロック であるイベントが生成されます。 [許可]: イメージが起動した後、セキュリティアラートの処理 ページに、ルールアクション が 許可 であるアラートが生成されます。
   [ホワイトリストを追加する]	+ルールの追加 をクリックして、ホワイトリストに追加するイメージタグ名を入力します。最大 20 個のホワイトリスト項目がサポートされています。イメージがルールのホワイトリストに追加されると、Security Center は起動時にそのイメージのセキュリティリスクを検証しません。 キーワードによるあいまい一致が可能です。イメージアドレス yundun-example-registry.cn-hangzhou.aliyuncs.com/yundun-example/yun-repo:test の場合、部分的なキーワードを入力してあいまい一致を行うことができます。このイメージアドレスは、以下のいずれかの設定で一致します。 yun-repo test yun-repo:test repo:test

5. 保護範囲を選択し、OK をクリックします。

   [クラスター]、[イメージ]、または [タグ] タブをクリックして対応するタブに切り替え、保護するアセットを選択します。

アラートの表示

リスクイメージのブロックルールを作成した後、Security Centerコンソールの レスポンス検出 > アラート ページに移動し、アラートタイプを リスクイメージのブロッキング に設定して、関連するアラートを表示できます。対象のアラート行の 操作 をクリックしてから 詳細 をクリックし、アラート詳細ページの 推奨事項 に基づいてリスクイベントに対処できます。

ルールの管理

リスクイメージのブロックルールを作成した後、以下の操作を実行できます：

• 保護範囲の表示

  対象のルールの 保護範囲 列の数値をクリックすると、保護範囲 パネルでそのルールによって保護されているクラスター、イメージ、タグを表示できます。

• ルールの編集

  対象のルールの [操作] 列で 編集 をクリックし、ルールの編集 パネルでルールの定義と保護範囲を変更します。

• ルールのコピー

  対象のルールの [操作] 列で コピー をクリックし、レプリケーションポリシー パネルでルールの定義と保護範囲を変更して、新しいルールをすばやく作成します。

• ルールの削除

  重要

  ルールを削除すると、保護範囲内のクラスターに対する保護が無効になり、ルールを復元することはできません。操作は慎重に行ってください。

  対象のルールの [操作] 列で 削除 をクリックし、ダイアログボックスで 削除 をクリックしてルールを削除します。

ルール有効化のためのコンテナイメージの制限事項

ルール内のコンテナイメージは、以下の要件を満たす必要があります。満たさない場合、コンテナイメージに対して防御ルールおよびホワイトリストルールはトリガーされません。

• コンテナ内で実行されるプログラムのフルパスの長さは 1,023 文字を超えることはできません。

• コンテナクラスターの名前空間の長さは 287 文字を超えることはできません。

• コンテナ内の Security Center クライアントプロセスは、AliYunDun ≥ aegis_12_13 および AliHips ≥ 00_43 である必要があります。

• ホワイトリストルール内のコンテナイメージについては、コンテナイメージ名が 287 文字を超えないようにしてください。

システムルールの管理

• ルールの有効化

  • Security Center は、デフォルトのイメージ外プログラム防御システムルールを提供し、カスタムイメージ外プログラム防御ルールを設定していないユーザーに対してデフォルトで有効にします。システムルールは、Security Center に接続されているすべてのクラスターでイメージ外プログラムが起動された場合にアラートを生成します。

  • システムルールは手動で有効化または無効化できます。

• ルールアクション

  システムルールのアクションは [アラート] です。つまり、Security Center はイメージ外プログラムが起動された場合、アラートのみを生成し、遮断は行いません。

• ルールの表示

  Security Center コンソール の 保護設定 > コンテナ保護 > コンテナのプロアクティブディフェンス ページの 非イメージプログラム防御 の システムルール タブで、イメージ外プログラム防御システムルールを表示できます。

• ルールの更新

  システムルールが適用されるクラスター範囲を変更できます。クラスターが変更されたり、新しいクラスターアセットが追加されたりすると、システムルールは自動的に新しいクラスターを保護範囲に追加します。

• ルールの使用

  • イメージ外プログラム防御機能を初めて使用する場合は、システムルールのアラートに誤検知がないかどうかを十分に確認することを推奨します。

  • システムルールはホワイトリストやリスクのある動作の遮断をサポートしていません。ホワイトリストを設定したり、リスクのある動作を遮断したりする必要がある場合は、カスタムルールを作成してください。

  • カスタムルールを作成すると、システムルールは自動的に無効になり、再度有効にすることはできません。システムルールを有効にするには、すべてのカスタムルールを削除してください。

カスタムルールの作成

1. Security Center コンソールにログインします。

2. 左側メニューで、保護設定 > コンテナ保護 > コンテナのプロアクティブディフェンス を選択します。コンソールの左上隅で、保護対象のアセットが配置されているリージョンを選択します：中国本土 または 中国本土以外。

3. ルールタイプリストで、非イメージプログラム防御 をクリックします。

4. カスタムルール タブで、ホワイトリストルール作成 をクリックします。

5. ホワイトリストルール作成 パネルで、ルールを定義し、次へ をクリックします。

   パラメータ	説明
   [ルール名]	ルール名を入力します。
   [ルール説明]	ルールの説明を入力します。
   [状態]	ルールの有効/無効を設定します。選択肢は以下の通りです。 オン: ルールは作成後に有効になり、保護範囲内のクラスターを自動的に保護します。 オフ: ルールは作成後に無効になり、適用されません。
   [防御操作]	ルールの防御アクションを選択します。選択肢は以下の通りです。 [アラート]: Security Center は、信頼されていないプロセスが検知された場合にアラートのみを生成します。 [ブロック]: Security Center は、信頼されていないプロセスが検知された場合にアラートを生成し、プロセスを遮断します。 説明 まず [アラート] モードを有効にすることを推奨します。通常の業務でコンテナランタイム中にイメージ外の実行可能プログラムをインストールまたは起動しないことを確認した後、[ブロック] モードを有効にして、通常のプロセスを誤って遮断することを回避してください。
   [ファイルディレクトリをホワイトリストに追加]	+ルールの追加 をクリックし、ホワイトリストに追加するファイルディレクトリを入力します。例： /user/name1。
   [イメージホワイトリストの追加]	+ルールの追加 をクリックし、ホワイトリストに追加するイメージ名を入力します。 イメージアドレス yundun-example-registry.cn-hangzhou.aliyuncs.com/yundun-example/yun-repo:test の場合、部分的なキーワードを入力してあいまい一致させることができます。 以下のホワイトリスト設定は有効です。 yun-repo test yun-repo:test repo:test

6. OK をクリックして、カスタムルールを作成します。システムルールは自動的に無効になります。

7. ルールを適用するクラスターを選択し、OK をクリックします。

   Security Center に接続されているクラスターを選択できます。各クラスターには 1 つの防御ルールのみを設定できます。クラスターが既に別のルールの保護範囲に含まれている場合は、再度選択することはできません。

アラートの表示

イメージ外プログラム防御ルールを作成して有効にした後、Security Center コンソールの レスポンス検出 > アラート ページに移動し、アラートタイプを コンテナのプロアクティブディフェンス に設定し、[イメージ外プログラムの起動] という名前のアラートを探します。これらは、イメージ外プログラム防御機能によって生成されたアラートです。ルールで設定された防御アクションに基づいて、以下のアラートが生成されます：

• 防御アクションが アラート のルールの場合、セキュリティアラートは 未対応 状態になります。これらのアラートは速やかに処理することを推奨します。詳細については、「セキュリティアラートへの対応」をご参照ください。フィルタリング時には、[処理済み] を [未処理] に設定し、[重要度] タグ (緊急、疑わしい、注意) を使用してさらに絞り込みます。条件に一致するアラートがリストに表示され、重要度、アラート名、影響を受けるアセット、最新発生時刻が含まれます。[処理] または [詳細] をクリックして操作を実行できます。

• 防御アクションが ブロック のルールの場合、アラートは ターゲットプロセスは存在しません。 または プロセスの終了が完了しました。 状態になります。Security Center はこれらのアラートを自動的に処理しており、処理済みのアラートリストで確認できます。2つの状態について以下に説明します：

  • [ターゲットプロセスは存在しません。]：プロセスは短時間存在し、Security Center が処理する前に実行を停止しました。追加のアクションは不要です。

  • [プロセスの終了が完了しました。]：Security Center がプロセスを遮断したため、手動でのアクションは不要です。

  [処理済み] を [処理済み] に、[アラートタイプ] を [Container Active Defense] に設定します。リストには、[イメージ外プログラムの起動] などのアラートとその処理ステータスが表示されます。

ルールの管理

ルールを作成した後、イメージ外プログラム防御ルールリストで以下の操作を実行できます：

• 保護範囲の表示

  対象のルールの 保護範囲 列の数値をクリックすると、保護範囲 パネルでそのルールによって保護されているクラスター範囲を確認できます。

• ルールの有効化または無効化

  対象のルールの スイッチの有効化 列のスイッチをオンまたはオフにして、ルールを有効または無効にします。

• ルールの編集

  対象のルール行で 操作する をクリックしてから 編集 をクリックします。カスタムルールでは、ルール名、説明、ステータス、防御アクション、ホワイトリスト設定、および保護範囲を変更できます。

• ルールの削除

  重要

  • システムルールは削除できません。

  • ルールを削除すると、復元することはできません。削除する前に、ルールが不要であることを確認してください。

  対象のルール行で 操作する をクリックしてから 削除 をクリックします。ダイアログボックスで OK をクリックしてルールを削除します。

サポート対象クラスター

この機能は、以下の両方の条件を満たすクラスターのみをサポートします。

• クラスターを実行しているサーバーが Security Center に接続されていること。

• クラスターが ACK managed cluster、ACK dedicated cluster、または Security Center に接続されたセルフマネージド Kubernetes クラスターであること。

前提条件

• 悪意のあるホスト行動からの保護 または Web サイトのバックドア攻撃からの保護 のいずれかが有効になっています。 詳細については、「ホスト保護設定」をご参照ください。

• コンテナエスケープ防止が有効になっています。詳細については、「コンテナエスケープ防止」をご参照ください。

システムルールの管理

• ルールの有効化

  • Security Center は複数のコンテナエスケープ防止ルールを提供します。デフォルトでは、Security Center に接続されているすべてのクラスターに対して、すべてのコンテナエスケープ防止ルールが有効になっています。Security Center がデフォルトで有効化するコンテナエスケープ防止ルールを、総称してシステムルールと呼びます。

  • システムルールは手動で有効化または無効化できます。

• ルールのアクション

  システムルールのアクションは [Alert] です。つまり、システムルールはエスケープ動作が発生した場合、アラートのみを生成し、エスケープ動作を遮断しません。

• ルールの表示

  システムルールの詳細情報は、セキュリティセンターコンソール の 保護設定 > コンテナ保護 > コンテナのプロアクティブディフェンス ページにある コンテナエスケープ防止 ルールの システムルール タブで確認できます。

• ルールの更新

  システムルールが有効になるクラスター範囲を変更できます。クラスターが変更されたり、新しいクラスターアセットが追加されたりすると、システムルールは自動的に新しいクラスターを保護範囲に追加します。

• ルールの使用

  • コンテナエスケープ防止機能を初めて使用する場合は、システムルールのアラートに誤検知がないかどうかを十分に確認することを推奨します。誤検知が見つからない場合は、ルールのアクションを [Block] に変更できます。

  • システムルールはホワイトリストやリスクのある動作の遮断をサポートしていません。ホワイトリストを設定したり、リスクのある動作を遮断したりする必要がある場合は、カスタムルールを作成してください。

  • 特定のタイプのカスタムルールを作成すると、対応するシステムルールは自動的に無効になります。

カスタムルールの作成

カスタムルールは、システムルールと同じルールタイプをサポートし、さらにホワイトリスト設定とリスクのある動作の遮断をサポートします。

1. Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、保護設定 > コンテナ保護 > コンテナのプロアクティブディフェンス を選択します。コンソールの左上隅で、保護対象のアセットが配置されているリージョンとして、中国本土 または 中国本土以外 を選択します。

3. ルールタイプリストで、コンテナエスケープ防止 をクリックします。

4. カスタムルール タブで、ホワイトリストルール作成 をクリックします。

5. ホワイトリストルール作成 パネルで、ルールを定義し、次へ をクリックします。

   Parameter	Description
   [ルール名]	ルール名を入力します。
   [ルールタイプ]	ドロップダウンリストからルールタイプを選択します。 保護ニーズに基づいて、Security Center が提供するルールタイプから必要なタイプを選択できます。 ルールタイプを選択すると、そのタイプがサポートするすべての検知項目がデフォルトで選択されます。特定の検知項目を有効にする必要がない場合は、そのチェックボックスをオフにできます。 サポートされているルールタイプと検知項目の詳細は、コンソールで確認してください。
   [防御操作]	防御アクションを選択します。オプションは次のとおりです。 [アラート]: セキュリティセンターは、定義されたリスクが検出された場合にのみアラートを生成します。 ブロック：セキュリティセンターは、定義されたリスクを検出すると、アラートを生成し、対応するプロセスまたは操作を遮断します。 重要 一部の通常の業務シナリオでは、ルールがトリガーされる場合があります。ルールを設定する際は、まず [Alert] モードで動作を十分に確認してから、ルールの [Block] モードを有効にすることを推奨します。
   [ホワイトリストを追加する]	+ルールの追加 をクリックし、イメージ名を入力してホワイトリストに追加します。 ホワイトリストには最大 32 個のエントリを追加できます。 キーワードによるあいまい一致がサポートされています。イメージアドレス yundun-example-registry.cn-hangzhou.aliyuncs.com/yundun-example/yun-repo:test に対して、部分的なキーワードを入力してあいまい一致を行うことができます。以下のホワイトリスト設定は有効です。 yun-repo test yun-repo:test repo:test 重要 イメージがルールのホワイトリストに追加されると、Security Center はそのイメージのエスケープ動作をチェックしません。この操作は慎重に行ってください。

   このステップが完了すると、Security Center はルールリストに対応するルールを作成します。

6. 保護するクラスターを選択し、OK をクリックします。

   Security Center に接続されているクラスターを選択できます。セルフマネージド Kubernetes クラスターを保護する必要がある場合は、まず Security Center に接続してください。詳細については、「セルフマネージド Kubernetes クラスターを Security Center に追加する」をご参照ください。

アラートの表示

コンテナエスケープ防止ルールを作成して有効化した後、セキュリティセンターコンソール ページに移動し、アラートタイプを コンテナエスケープ防止 に設定すると、コンテナエスケープ防止アラートを表示できます。 次のアラートは、コンテナエスケープ防止ルールで設定された防御アクションに基づいて生成されます。

• 防御アクションが アラート のルールでは、セキュリティアラートは 未対応 状態になります。 これらのアラートを速やかに処理することをお勧めします。 詳細については、「セキュリティアラートへの対応」をご参照ください。 [セキュリティアラート処理] ページで、[コンテナ] タブを選択し、[処理済み] を [未処理] に設定します。

• 防御アクションが ブロック に設定されているルールでは、アラートは ブロックされました 状態になります。これは、Security Center がエスケープ動作を自動的に迎撃したことを意味し、手動での対応は必要ありません。防御アクションが [ブロック] のルールによってアラートがトリガーされたら、[セキュリティアラート処理] ページに移動し、[コンテナ] タブを選択し、[処理済み] を [処理済み] に設定し、[アラートタイプ] フィルター ([コンテナエスケープ防止] など) を追加して、対応するアラートレコードを表示します。ステータスは [ブロック成功] と表示されます。

ルールの管理

• 保護範囲の表示

  対象のルールの 保護範囲 列の番号をクリックすると、保護範囲 パネルに、ルールによって保護されているクラスター範囲が表示されます。 パネルの ブロック状態 列には、クラスターを実行しているサーバー上の Security Center エージェントのステータスが表示されます。 ルールは、エージェントが [Normal] 状態の場合にのみ有効になります。 ステータスが [Abnormal] の場合は、クラスターを実行しているサーバーの 機能の設定 ページで 悪意のあるホスト行動からの保護 または Web サイトのバックドア攻撃からの保護 を有効にして、エージェントのステータスを正常にします。 詳細については、「ホスト保護設定」をご参照ください。

• ルールの有効化または無効化

  対象のルールのスイッチの有効化列のスイッチをオンまたはオフにして、ルールを有効または無効にします。

• ルールの編集

  対象のルール行で 操作する をクリックし、次に 編集 をクリックします。ルール名、タイプ、ステータス、防御アクション、および保護範囲を変更できます。編集後のルールは 10 分以内に有効になります。

• ルールの削除

  重要

  • システムルールは削除できません。

  • ルールを削除すると、復元することはできません。削除する前に、ルールが不要であることを確認してください。

  対象のルール行で 操作する をクリックし、削除 をクリックします。ダイアログボックスで OK をクリックしてルールを削除します。