Security Center:クラスターとイメージの管理

サポート対象のクラスタータイプ

• Container Service for Kubernetes (ACK) で作成されたマネージドクラスターおよび専用クラスター。

  Security Center は、これらの資産を毎日午前 0 時に自動的に同期します。新しいクラスターを作成した場合は、クラスター タブに移動し、[資産の同期] をクリックして手動で同期します。

• 自己管理型 K8s クラスター。

クラスター情報の表示

1. Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、アセットセンター > コンテナアセット を選択します。コンソールの左上隅で、資産が所在するリージョンとして 中国本土 または 中国本土以外 を選択します。

3. コンテナアセット ページの [クラスター] タブをクリックして、接続されているクラスターの数、リスクのあるクラスター、および接続されているクラスターのリストを表示します。

   クラスターリストには、[クラスター情報]、[リージョン]、[クラスタータイプ]、[クラスターステータス]、[サーバー]、[作成日時]、[リスクステータス]、[K8s ログステータス]、[操作] の各列が表示されます。このページには、[資産の同期] ボタンと [自己管理型クラスターの接続] エントリも表示されます。

   • クラスターの検索

     クラスターリストの上にある検索コンポーネントを使用して、ID またはタイプでクラスターを検索します。

   • クラスターのリスク詳細の表示

     クラスター名または 操作する 列の 詳細 をクリックして、リスク詳細ページを開きます。このページには、セキュリティアラート、脆弱性、設定リスク (K8s 設定リスクおよびベースラインリスク) 、およびコンテナファイアウォールアラートの統計とリストが表示されます。

     リスクリストで、リスクレベルとステータスによってチェック項目をフィルタリングします。[操作] 列で、[Details] をクリックしてリスクの詳細を表示するか、[Add to Whitelist] をクリックしてチェック項目をホワイトリストに追加します。

K8s ログ脅威検出の有効化

クラスターに対して K8s ログ脅威検出を有効にすると、Security Center はクラスターログを使用して、高リスク操作や攻撃などのセキュリティリスクを検出します。

• マネージドおよび専用の ACK クラスター

  1. ACK コンソールで、ログ監査機能を有効にします。詳細については、「クラスターの API Server 監査機能の使用」をご参照ください。

     1. ACK コンソール にログインします。左側のナビゲーションペインで、クラスターリスト を選択します。

     2. クラスターリスト ページで、対象クラスターの名前をクリックします。次に、左側のナビゲーションペインで、Security を選択します。

     3. 画面の指示に従って SLS プロジェクトを選択し、ログ監査を有効にします。

  2. Security Center コンソールで、コンテナの K8s ログ脅威検出を有効にします。

     パス：[Function Settings] > [設定] > [コンテナ保護設定]。

• 自己管理型 K8s クラスター

  詳細については、「ログ脅威検出の有効化」をご参照ください。

機能が有効になったら、Security Center コンソールの コンテナ資産 ページに移動します。クラスター タブで、対象クラスターの K8s 脅威検知ステータス 列をチェックして、K8s ログ脅威検出が有効になっていることを確認します。

クラスターの公開状況分析

コンテナポートをインターネットに公開すると、ネットワーク攻撃やデータ侵害などのセキュリティリスクにつながる可能性があります。Security Center は、公開されているポートを検出するためのポート公開状況分析機能を提供します。

1. 公開状況分析を実行します。

   クラスターの公開状況分析は、自動または手動で実行できます。

   • 自動公開状況分析：K8s クラスターを接続すると、Security Center はクラスター情報を自動的に同期し、接続されているすべてのクラスターに対して毎日午前 0 時に公開状況分析を実行します。

   • 手動公開状況分析：コンテナアセット ページの [クラスター] タブで、チェックしたいクラスターを見つけ、操作する 列の 公開分析 をクリックします。

2. (オプション) コンテナアセット ページの右上隅にある タスク管理 をクリックします。タスク管理 パネルの コンテナの公開 タブで、クラスター公開状況分析タスクの進捗と詳細を表示します。

3. クラスター公開状況分析の結果を表示します。

   1. コンテナアセット ページで、対象クラスターの名前をクリックします。

   2. クラスター詳細ページで、タイプとして コンテナ を選択し、公開 フィルターを はい に設定します。

      フィルター結果には、公開されているコンテナが 4 つ表示されます。これらのコンテナはポートが公開されていますが、他の脆弱性などが検出されていないため、リスクステータスは [No Risk] と表示されています。[操作] 列で [対応] をクリックして、さらなるアクションを実行します。

   3. コンテナの 公開 列にある アイコンにポインターを合わせると、公開されているポートに関する情報が表示されます。

      ポートがインターネットに公開されているが使用されていない場合は、セキュリティリスクを軽減するためにポートを閉じてください。

イメージ情報の表示

1. Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、アセットセンター > コンテナアセット を選択します。コンソールの左上隅で、資産が所在するリージョンとして 中国本土 または 中国本土以外 を選択します。

3. コンテナアセット ページの イメージリポジトリ タブ をクリックして、イメージに関する情報を表示します。

   • 概要情報の表示

     ページ上部の概要セクションには、リスクのあるイメージの数やイメージセキュリティスキャンの 残りのライセンス数 などの情報が表示されます。

     • 残りのライセンス数 エリアで、権限の付与 をクリックして、イメージセキュリティスキャンのクォータを追加購入します。詳細については、「アップグレードとダウングレード」をご参照ください。

     • サードパーティイメージリポジトリ連携 エリアで、[Add] をクリックしてプライベートイメージリポジトリを追加します。詳細については、「イメージリポジトリの追加」をご参照ください。

   • イメージリポジトリリストの表示

     イメージリポジトリリストには、資産センターに接続されているすべてのリポジトリが表示され、各リポジトリの名前、リージョン、タイプ、リスクステータスが含まれます。

     • イメージリポジトリの検索

       リストの上にある検索コンポーネントを使用して、インスタンス ID または名前空間でイメージリポジトリを検索します。

     • イメージリポジトリの表示

       リポジトリ名をクリックするか、操作する 列の 表示 をクリックして、リポジトリ詳細ページに移動します。このページでは、リポジトリ内のすべてのイメージを表示でき、リポジトリ名、バージョン、サイズ、リスクステータスが含まれます。作成日時 / 更新日時 列には、リポジトリのローカルでの作成日時や更新日時ではなく、Security Center がリポジトリを最初と最後に同期した日時が表示されます。

       リポジトリ詳細ページで、対象のイメージバージョンを見つけ、操作する 列の 処理 をクリックして、リスクと脆弱性の情報を表示またはエクスポートします。

     • Platform for AI (PAI) のイメージリポジトリの表示

       Platform for AI (PAI) に関連するイメージリポジトリを表示するには、検索コンポーネントで タグ > PAI を選択します。

     • ACR 資産の同期

       Container Registry (ACR) Enterprise Edition インスタンスの場合、対象のイメージリポジトリの 操作する 列にある Acr 同期 をクリックして、資産の自動同期を有効にします。この機能が有効になると、ACR インスタンスに追加された資産は、Security Center のイメージ資産リストに自動的に同期されます。

コンテナイメージのスキャン

イメージスキャン機能は、脆弱性、ベースラインリスク、悪意のあるサンプル、機密ファイルを検出し、イメージランタイム環境のセキュリティ確保に役立ちます。

1. Security Center コンソールにログインします。

2. 左側のナビゲーションペインで、アセットセンター > コンテナアセット を選択します。コンソールの左上隅で、資産が所在するリージョンとして 中国本土 または 中国本土以外 を選択します。

3. コンテナアセット ページの イメージリポジトリ タブで、コンテナイメージのスキャン セクションの 今すぐスキャン をクリックします。

4. ワンクリックスキャン ダイアログボックスで、スキャン対象のイメージタイプを選択し、ビジネス要件に基づいてスキャン範囲を設定してから、OK をクリックします。

   スキャン範囲の設定方法の詳細については、「イメージセキュリティスキャンの実行」をご参照ください。

5. (オプション) コンテナアセット ページの右上隅にある タスク管理 をクリックします。タスク管理 パネルの [Image Scan]、イメージの修復、および コンテナランタイムのイメージスキャン構成 タブには、イメージのスキャンと修正に関する情報が表示されます。