Security Center:Proactive Container Defense

Clusters suportados

O recurso Risk Image Blocking suporta atualmente apenas alguns tipos de cluster do Container Service for Kubernetes (ACK). A tabela a seguir descreve os tipos de cluster suportados.

Funcionamento

Ao criar uma regra de Risk Image Blocking para um cluster, o Security Center intercepta cada solicitação de criação de recursos (como pods) usando imagens nesse cluster e valida a imagem em relação aos riscos configurados na regra. Se a imagem corresponder à regra, o Security Center execute a ação de alerta, interceptação ou permissão e gera um evento de segurança para as ações de alerta e interceptação.

Caso várias regras estejam configuradas para o mesmo cluster, todas entram em vigor. Se uma imagem corresponder a múltiplas regras, vários alertas serão gerados e as ações correspondentes serão executadas.

Quando você configure vários itens na mesma regra, o Security Center execute imediatamente a ação da regra assim que qualquer item corresponder, sem continuar a verificar os demais itens. A sequência de correspondência dos itens em uma regra é: Unscanned Image, Baseline, Malicious Internet Image, Malicious Sample, Vulnerability, Sensitive File e Build Risk Exists.

Pré-requisitos

Antes de criar uma regra de defesa, certifique-se de ter instale os componentes de governança de políticas no console do ACK: gatekeeper, policy-template-controller e logtail-ds. Para mais informações, consulte Step 1: Install or upgrade policy governance.

Criar uma regra

1. Faça login no Security Center console.

2. No painel de navegação à esquerda, escolha Protection Configuration > Container Protection > Proactive Defense for Containers. No canto superior esquerdo do console, selecione a região onde o ativo a ser protegido está localizado: Chinese Mainland ou Outside Chinese Mainland.

3. Selecione o tipo de regra Risk Image Blocking e clique em Create Rule.

   Se você já criou regras de defesa para o cluster, também pode criar rapidamente uma nova regra copiando uma existente. Clique em Copy na coluna Actions de uma regra existente, modifique a configuração da regra no painel Copy Rule conforme suas necessidades de negócios e, em seguida, clique em OK para criar a regra.

4. No painel Create Rule, defina a regra e clique em Next.

   Parâmetro	Descrição
   Rule Name	Selecione um modelo de regra na lista suspensa e insira um nome. Você pode selecionar Blank template para criar um conjunto de itens de configuração personalizados ou escolha um modelo que contenha um conjunto predefinido de itens de configuração de risco.
   Rule Description	Insira uma descrição para a regra.
   Rule Configuration	As seguintes configurações de regra são suportadas. Marque a caixa de seleção correspondente para ative a detecção e desmarque-a para desativar. Unscanned Image: Com esta opção ativada, o Security Center detecta a inicialização de imagens que não foram verificadas pelo recurso de verificação de segurança de imagens. Importante Ao ative esta opção, recomendamos defina a ação da regra inicialmente como Alert. Caso possua requisitos de controle de segurança mais rigorosos, monitore os eventos de alerta por um período e confirme que a regra não afeta os negócios normais antes de alterar para Block. Malicious Internet Image: Quando esta opção está ativada, o Security Center detecta a inicialização de imagens marcadas como maliciosas na internet, como imagens maliciosas baixadas de repositórios públicos ou imagens obtidas de repositórios públicos do docker Hub que contêm backdoors, trojans ou outros programas maliciosos. Baseline: Esta opção permite que o Security Center verifique se as imagens de contêiner estão em conformidade com padrões predefinidos de configuração de segurança e melhores práticas. Vulnerability: Ao ative esta opção, o Security Center detecta vulnerabilidades nas imagens que podem causar riscos de segurança nos ambientes de contêiner, incluindo vulnerabilidades relacionadas a aplicativos presentes nas imagens. Malicious Sample: Esta opção habilita a detecção de arquivos maliciosos, códigos maliciosos e comportamentos maliciosos que possam existir nas imagens de contêiner e durante a execução do contêiner. Sensitive File: Com esta opção ativada, o Security Center detecta arquivos sensíveis comuns. Built Risks Exist: Esta opção permite que o Security Center detecte riscos nos comandos de build da imagem. Importante Quando uma imagem corresponde à regra aplicável, o Security Center gera um alerta com base na configuração da regra e execute a ação correspondente definida na ação da regra. É possível configure regras de detecção específicas para baseline, vulnerabilidade, amostra maliciosa, arquivo sensível e riscos de build conforme suas necessidades de negócios. As condições opcionais para cada tipo de item de configuração de regra possuem uma relação OU. Por exemplo, na configuração de vulnerabilidade, se você defina o nível de risco como Alto e especifique CVE ID específicos, a regra será correspondida se a imagem iniciada contiver vulnerabilidades de alto risco ou os IDs CVE especificados.
   Rule Action	Selecione a ação que o Security Center execute quando uma regra de detecção ativada é correspondida. Opções: Alerts: Após a inicialização da imagem, na página Alert, um evento com a ação Rule Action Alerts é gerado. Block: Durante a inicialização da imagem, as imagens que correspondem à regra são impedidas de iniciar e, na página Alert, um evento com a ação Rule Action Block é gerado. Allow: Após a inicialização da imagem, na página Alert, um alerta com a ação Rule Action Allow é gerado.
   Add to Whitelist	Clique em Create Rule e insira o nome da tag da imagem para adicionar à lista de permissões. São suportadas até 20 entradas na lista de permissões. Depois que uma imagem é adicionada à lista de permissões da regra, o Security Center não valida os riscos de segurança da imagem durante sua inicialização. A correspondência difusa por palavra-chave é suportada. Para o endereço de imagem yundun-example-registry.cn-hangzhou.aliyuncs.com/yundun-example/yun-repo:test, você pode inserir palavras-chave parciais para correspondência difusa. As seguintes configurações de lista de permissões podem corresponder ao endereço da imagem: yun-repo test yun-repo:test repo:test

5. Selecione o escopo de proteção e clique em OK.

   Clique na aba Cluster, Image ou Tag para alternar para a aba correspondente e selecione os ativos a serem protegidos.

Visualize alertas

Após criar uma regra de bloqueio de imagens de risco, acesse a página Security Center console, Detection and Response > Alerts, defina o tipo de alerta como Risk Image Blocking para visualize os alertas relevantes. Você pode clique em Actions na linha do alerta desejado e depois clique em Details para tratar o evento de risco com base nas Suggestions apresentadas na página de detalhes do alerta.

Gerencie regras

Depois de criar uma regra de bloqueio de imagens de risco, você pode realizar as seguintes operações:

• Visualize escopo de proteção

  Clique no número na coluna Protection Scope da regra alvo para visualize os clusters, imagens e tags protegidos pela regra no painel Protection Scope.

• Edite regra

  Clique em Edit na coluna Actions da regra alvo para modifique a definição da regra e o escopo de proteção no painel Edit Rule.

• Copiar regra

  Clique em Copy na coluna Actions da regra alvo para modifique a definição da regra e o escopo de proteção no painel Copy Rule e criar rapidamente uma nova regra.

• Exclua regra

  Importante

  Após a exclusão de uma regra, a proteção para os clusters no escopo de proteção torna-se inválida e a regra não pode ser restaurada. Proceda com cautela.

  Clique em Delete na coluna Actions da regra alvo e clique em OK na caixa de diálogo para exclua a regra.

Restrições de imagens de contêiner para ativação da regra

As imagens de contêiner nas regras devem atender aos seguintes requisitos. Caso contrário, as regras de defesa e as regras de lista de permissões não poderão ser acionadas para essas imagens.

• O comprimento do caminho completo de um programa em execução em um contêiner não pode exceder 1.023 caracteres.

• O comprimento do namespace de um cluster de contêineres não pode exceder 287 caracteres.

• Os processos do cliente do Security Center no contêiner devem ser AliYunDun ≥ aegis_12_13 e AliHips ≥ 00_43.

• Para imagens de contêiner em regras de lista de permissões, certifique-se de que o nome da imagem não exceda 287 caracteres.

Gerencie regras do sistema

• Ativação da regra

  • O Security Center fornece uma regra de sistema padrão de defesa contra programas fora da imagem e a ativa por padrão para usuários que não configuraram regras personalizadas. Essa regra do sistema gera alertas para inicializações de programas fora da imagem em todos os clusters conectados ao Security Center.

  • Você pode ative ou desativar manualmente a regra do sistema.

• Ação da regra

  A ação da regra do sistema é Alert, o que significa que o Security Center apenas gera alertas e não intercepta quando ocorrem inicializações de programas fora da imagem.

• Visualize regra

  É possível visualize a regra do sistema de defesa contra programas fora da imagem no Security Center console, na página Protection Configuration > Container Protection > Proactive Defense for Containers, sob a aba System Rules da regra Non-image Program Defense.

• Atualização da regra

  Você pode modifique o escopo de clusters no qual a regra do sistema entra em vigor. Se houver alteração nos clusters ou adição de novos ativos de cluster, a regra do sistema adiciona automaticamente os novos clusters ao escopo de proteção.

• Uso da regra

  • Ao utilizar o recurso de defesa contra programas fora da imagem pela primeira vez, recomendamos observar atentamente se os alertas da regra do sistema apresentam falsos positivos.

  • A regra do sistema não suporta listas de permissões nem a interceptação de comportamentos de risco. Caso precise configure uma lista de permissões ou interceptar comportamentos de risco, crie uma regra personalizada.

  • Após criar uma regra personalizada, a regra do sistema é desativada automaticamente e não pode ser reativada. Para ative a regra do sistema, exclua todas as regras personalizadas.

Criar uma regra personalizada

1. Faça login no Security Center console.

2. No painel de navegação à esquerda, escolha Protection Configuration > Container Protection > Proactive Defense for Containers. No canto superior esquerdo do console, selecione a região onde o ativo a ser protegido está localizado: Chinese Mainland ou Outside Chinese Mainland.

3. Na lista de tipos de regra, clique em Non-image Program Defense.

4. Na aba Custom Rules, clique em Create Rule.

5. No painel Create Rule, defina a regra e clique em Next.

   Parâmetro	Descrição
   Rule Name	Insira um nome para a regra.
   Rule Description	Insira uma descrição para a regra.
   Status	Ative ou desative a regra. Opções: On: A regra é ativada após a criação e protege automaticamente os clusters no escopo de proteção. Off: A regra é desativada após a criação e não entra em vigor.
   Defense Action	Selecione a ação de defesa da regra. Opções: Alerts: O Security Center gera apenas um alerta quando um processo não confiável é detectado. Block: O Security Center gera um alerta e intercepta o processo quando um processo não confiável é detectado. Nota Recomendamos ative primeiro o modo Alert. Após confirme que os negócios normais não instalam ou iniciam programas executáveis fora da imagem durante a execução do contêiner, ative o modo Block para evitar a interceptação falsa de processos normais.
   Create File Directory Whitelist	Clique em Create Rule e insira o diretório de arquivos para adicionar à lista de permissões. Exemplo: /user/name1.
   Create Image Whitelist	Clique em Create Rule e insira o nome da imagem para adicionar à lista de permissões. Para o endereço de imagem yundun-example-registry.cn-hangzhou.aliyuncs.com/yundun-example/yun-repo:test, você pode inserir palavras-chave parciais para correspondência difusa. As seguintes configurações de lista de permissões são válidas: yun-repo test yun-repo:test repo:test

6. Clique em OK para confirme a criação da regra personalizada. A regra do sistema é desativada automaticamente.

7. Selecione os clusters nos quais a regra entrará em vigor e clique em OK.

   Você pode selecionar clusters conectados ao Security Center. Apenas uma regra de defesa pode ser configurada para cada cluster. Se um cluster já estiver no escopo de proteção de outra regra, você não poderá selecioná-lo novamente.

Visualize alertas

Após criar e ative uma regra de defesa contra programas fora da imagem, acesse o Security Center console, na página Detection and Response > Alerts, defina o tipo de alerta como Proactive Defense for Containers e procure por alertas com o nome Non-image program start. Estes são os alertas gerados pelo recurso de defesa contra programas fora da imagem. Os seguintes alertas são gerados com base na ação de defesa configurada na regra:

• Para regras com a ação de defesa Alerts, os alertas de segurança estão no estado Unhandled. Recomendamos tratar esses alertas prontamente. Para mais informações, consulte Evaluate and handle security alerts. Ao filtrar, defina Handled como Unhandled e use as tags de Severity (Urgent, Suspicious, Reminder) para refinar a busca. Os alertas elegíveis são exibidos em uma lista, incluindo gravidade, nome do alerta, ativo afetado e hora da última ocorrência. Você pode clique em Handle ou Details para realizar operações.

• Para regras com a ação de defesa Block, os alertas estão no estado Process Not Exists ou Process Terminated. O Security Center já tratou esses alertas automaticamente e você pode visualize-os na lista de alertas tratados. Abaixo estão descritos os dois estados:

  • Process Not Exists: O processo existiu por um curto período e parou de executar antes que o Security Center o tratasse. Nenhuma ação adicional é necessária.

  • Process Terminated: O Security Center interceptou o processo e nenhuma ação manual é necessária.

  Defina Handled como Handled e Alert Type como Container Active Defense. A lista exibe alertas como Non-image program start e seus status de tratamento.

Gerencie regras

Após criar uma regra, você pode realizar as seguintes operações na lista de regras de defesa contra programas fora da imagem:

• Visualize escopo de proteção

  Clique no número na coluna Protection Scope da regra alvo para visualize o escopo de clusters protegidos pela regra no painel Protection Scope.

• Ative ou desativar regra

  Ative ou desative a chave na coluna Enable da regra alvo para ative ou desativar a regra.

• Edite regra

  Clique em Actions na linha da regra alvo e depois clique em Edit. Regras personalizadas permitem modifique o nome da regra, descrição, status, ação de defesa, configurações de lista de permissões e escopo de proteção.

• Exclua regra

  Importante

  • Regras do sistema não podem ser excluídas.

  • Uma regra excluída não pode ser restaurada. Certifique-se de que não precisa mais da regra antes de excluí-la.

  Clique em Actions na linha da regra alvo e depois clique em Delete. Clique em OK na caixa de diálogo para exclua a regra.

Clusters suportados

Este recurso suporta apenas clusters que atendem a ambas as condições a seguir:

• Os servidores que executam os clusters estão conectados ao Security Center.

• Os clusters são do tipo ACK managed cluster, ACK dedicated cluster ou clusters Kubernetes autogerenciados conectados ao Security Center.

Pré-requisitos

• Pelo menos um dos recursos Malicious Host Behavior Prevention ou Webshell Connection Prevention está ativado. Para mais informações, consulte Host protection settings.

• O recurso Container Escape Prevention está ativado. Para mais informações, consulte Container escape prevention.

Gerencie regras do sistema

• Ativação da regra

  • O Security Center fornece várias regras de prevenção de fuga de contêineres. Por padrão, todos os clusters conectados ao Security Center têm todas as regras de prevenção de fuga de contêineres ativadas. As regras de prevenção de fuga de contêineres ativadas por padrão pelo Security Center são denominadas coletivamente regras do sistema.

  • Você pode ative ou desativar manualmente as regras do sistema.

• Ação da regra

  A ação da regra do sistema é Alert, o que significa que a regra do sistema apenas gera alertas e não intercepta comportamentos de fuga quando estes ocorrem.

• Visualize regra

  É possível visualize as informações detalhadas das regras do sistema no Security Center console, na página Protection Configuration > Container Protection > Proactive Defense for Containers, sob a aba System Rules da regra Container Escape Prevention.

• Atualização da regra

  Você pode modifique o escopo de clusters no qual a regra do sistema entra em vigor. Se houver alteração nos clusters ou adição de novos ativos de cluster, a regra do sistema adiciona automaticamente os novos clusters ao escopo de proteção.

• Uso da regra

  • Ao utilizar o recurso de prevenção de fuga de contêineres pela primeira vez, recomendamos observar atentamente se os alertas da regra do sistema apresentam falsos positivos. Se nenhum falso positivo for encontrado, você pode alterar a ação da regra para Block.

  • As regras do sistema não suportam listas de permissões nem a interceptação de comportamentos de risco. Caso precise configure uma lista de permissões ou interceptar comportamentos de risco, crie uma regra personalizada.

  • Após criar uma regra personalizada de um tipo específico, a regra do sistema correspondente é desativada automaticamente.

Criar uma regra personalizada

As regras personalizadas suportam os mesmos tipos de regras que as regras do sistema e, adicionalmente, suportam configuração de lista de permissões e interceptação de comportamentos de risco.

1. Faça login no Security Center console.

2. No painel de navegação à esquerda, escolha Protection Configuration > Container Protection > Proactive Defense for Containers. No canto superior esquerdo do console, selecione a região onde o ativo a ser protegido está localizado: Chinese Mainland ou Outside Chinese Mainland.

3. Na lista de tipos de regra, clique em Container Escape Prevention.

4. Na aba Custom Rules, clique em Create Rule.

5. No painel Create Rule, defina a regra e clique em Next.

   Parâmetro	Descrição
   Rule Name	Insira um nome para a regra.
   Rule Type	Selecione um tipo de regra na lista suspensa. Você pode selecionar o tipo necessário dentre os tipos de regras fornecidos pelo Security Center com base nas suas necessidades de proteção. Após selecionar um tipo de regra, todos os itens de detecção suportados por esse tipo são selecionados por padrão. Se não precisar ative um item de detecção específico, você pode desmarcar sua caixa de seleção. Acesse o console para visualize os tipos de regra suportados e os detalhes dos itens de detecção.
   Defense Action	Selecione a ação de defesa. Opções: Alerts: O Security Center gera apenas um alerta quando um risco definido é detectado. Block: O Security Center gera um alerta e intercepta o processo ou operação correspondente quando um risco definido é detectado. Importante Em alguns cenários de negócios normais, as regras podem ser acionadas. Ao configure regras, recomendamos observar atentamente no modo Alert antes de ative o modo Block para a regra.
   Add to Whitelist	Clique em Create Rule e insira o nome da imagem para adicionar à lista de permissões. São suportadas até 32 entradas na lista de permissões. A correspondência difusa por palavra-chave é suportada. Para o endereço de imagem yundun-example-registry.cn-hangzhou.aliyuncs.com/yundun-example/yun-repo:test, você pode inserir palavras-chave parciais para correspondência difusa. As seguintes configurações de lista de permissões são válidas: yun-repo test yun-repo:test repo:test Importante Depois que uma imagem é adicionada à lista de permissões da regra, o Security Center não verifica comportamentos de fuga para essa imagem. Proceda com cautela.

   Após a conclusão desta etapa, o Security Center terá criado a regra correspondente na lista de regras.

6. Selecione os clusters a serem protegidos e clique em OK.

   Você pode selecionar clusters conectados ao Security Center. Se precisar proteger um cluster Kubernetes autogerenciado, conecte-o primeiro ao Security Center. Para mais informações, consulte Add a self-managed Kubernetes cluster to Security Center.

Visualize alertas

Após criar e ative uma regra de prevenção de fuga de contêineres, acesse a página do Security Center console, defina o tipo de alerta como Container Escape Prevention para visualize os alertas de prevenção de fuga de contêineres. Os seguintes alertas são gerados com base na ação de defesa configurada na regra de prevenção de fuga de contêineres:

• Para regras com a ação de defesa Alerts, os alertas de segurança estão no estado Unhandled. Recomendamos tratar esses alertas prontamente. Para mais informações, consulte Evaluate and handle security alerts. Na página Security Alert Handling, selecione a aba Container e defina Handled como Unhandled.

• Para regras com a ação de defesa Block, os alertas estão no estado Blocked, o que significa que o Security Center interceptou automaticamente o comportamento de fuga e nenhuma ação manual é necessária. Depois que uma regra com a ação de defesa Block acionar um alerta, acesse a página Security Alert Handling, selecione a aba Container, defina Handled como Handled e adicione o filtro Alert Type (como Container Escape Prevention) para visualize os registros de alerta correspondentes. O status é exibido como Block successful.

Gerencie regras

• Visualize escopo de proteção

  Clique no número na coluna Protection Scope da regra alvo para visualize o escopo de clusters protegidos pela regra no painel Protection Scope. A coluna Interceptable Status no painel indica o status do agente do Security Center nos servidores que executam os clusters. As regras entram em vigor apenas quando o agente está no estado Normal. Se o status for Abnormal, na página Feature Settings dos servidores que executam os clusters, ative Malicious Host Behavior Prevention ou Webshell Connection Prevention para normalizar o status do agente. Para mais informações, consulte Host protection settings.

• Ative ou desativar regra

  Ative ou desative a chave na coluna Enable da regra alvo para ative ou desativar a regra.

• Edite regra

  Clique em Actions na linha da regra alvo e depois clique em Edit. Você pode modifique o nome da regra, tipo, status, ação de defesa e escopo de proteção. A regra editada entra em vigor em até 10 minutos.

• Exclua regra

  Importante

  • Regras do sistema não podem ser excluídas.

  • Uma regra excluída não pode ser restaurada. Certifique-se de que não precisa mais da regra antes de excluí-la.

  Clique em Actions na linha da regra alvo e depois clique em Delete. Clique em OK na caixa de diálogo para exclua a regra.