Security Center：管理叢集和倉庫鏡像

支援接入的叢集類型

• 通過阿里雲Container ServiceACK建立的ACK託管與專有叢集。

  Security Center會在每日淩晨自動全量同步當前阿里雲帳號下的該類型資產，無需您手動執行接入操作。如果有新建立的叢集，您可以在叢集頁簽下手動執行同步最新資產操作。

• K8s自建叢集。

查看叢集資訊

1. 登入Security Center控制台。

2. 在左側導覽列，選擇資產 > 容器資產。在控制台左上方，選擇需防護資產所在的地區：中國或全球（不含中國）。

3. 在容器資產頁面的叢集頁簽，查看已接入的叢集數、存在風險的叢集數和已接入的叢集列表。

   

   • 搜尋目的地組群

     您可以使用叢集列表上方提供的搜尋組件，通過叢集ID、叢集類型等資訊尋找目的地組群。

   • 查看目的地組群風險詳情

     單擊目的地組群名稱或操作列的查看，進入該叢集的風險詳情頁面，可查看當前叢集內的安全警示、漏洞風險、配置風險（K8s配置風險、基準風險）和容器微隔離警示的統計資料和相應風險的列表資訊。

     

開啟K8s日誌威脅檢測

在為叢集開啟K8s日誌威脅檢測後，Security Center能夠擷取叢集的日誌資料，以提供更全面的安全風險檢測，例如識別高危操作和攻擊行為等。

• ACK託管與專有叢集

  1. 在Container Service管理主控台，開啟日誌審計功能。具體操作，請參見使用叢集API Server審計功能。

     1. 登入Container Service管理主控台，在左側導覽列選擇叢集列表。

     2. 在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，選擇安全管理 > 審計。

     3. 請按照頁面提示手動選擇SLS Project並開啟功能。

  2. 在Security Center控制台，開啟容器K8s威脅檢測開關。

     

• K8s自建叢集

  具體操作，請參見開啟日誌威脅檢測。

開啟後，您可以在Security Center控制台容器資產頁面叢集頁簽下，查看目的地組群K8s 日誌狀態列下的資料，確認K8s日誌威脅檢測是否已成功開啟。

叢集暴露分析

如果您將容器連接埠暴露在公網上，可能會對您的業務造成網路攻擊、資料泄露等安全風險。為預防此類安全風險，Security Center提供容器叢集的連接埠暴露分析功能，用於檢測容器叢集的公網連接埠資訊。

1. 執行暴露分析。

   叢集暴露分析支援自動執行和手動執行方式：

   • 自動執行暴露分析：接入K8s叢集後，Security Center預設每日淩晨自動全量同步叢集資訊，並且自動對所有已接入叢集執行暴露分析。

   • 手動執行暴露分析：在容器資產頁面的叢集頁簽，單擊目的地組群操作列的暴露分析。

     

2. （可選）在容器資產頁面右上方，單擊任務管理。在任務管理面板的容器暴露頁簽，查看叢集暴露分析任務進展和詳情。

3. 查看叢集暴露分析結果。

   1. 在容器資產頁面，單擊目前叢集名稱。

   2. 在叢集詳情頁面，選擇類型為容器，並設定過濾條件是否暴露為是。

      

   3. 移動滑鼠到容器是否暴露列的表徵圖，查看該容器叢集暴露的連接埠資訊。

      如果您的容器叢集暴露公網的連接埠無需使用，建議您及時關閉連接埠，減少安全風險。

查看鏡像資訊

1. 登入Security Center控制台。

2. 在左側導覽列，選擇資產 > 容器資產。在控制台左上方，選擇需防護資產所在的地區：中國或全球（不含中國）。

3. 在容器資產頁面的倉庫鏡像頁簽，查看鏡像的相關資訊。

   

   • 查看總覽資訊

     在頁面上方的總覽地區，您可以查看存在風險的鏡像數量、鏡像安全掃描的剩餘授權數等資訊。

     • 在剩餘授權數地區單擊增加授权，可增加鏡像安全掃描授權數。具體操作，請參見升級與降配。

     • 在三方镜像仓接入地區單擊接入，可接入私人鏡像倉，具體操作，請參見接入鏡像倉庫。

   • 查看鏡像倉列表

     鏡像倉列表中展示了所有已接入資產中心的鏡像倉。您可在鏡像倉列表中查看鏡像倉的名稱、所在地區、鏡像倉的類型以及風險狀態等資訊。

     • 搜尋目標鏡像倉

       您可使用鏡像倉列表上方提供的搜尋組件，通過鏡像倉的執行個體ID、命名空間等資訊尋找目標鏡像倉。

     • 查看目標鏡像倉

       單擊目標鏡像倉的名稱或者操作列的查看，進入該鏡像倉的詳情頁面，可以查看該鏡像倉中的所有鏡像的鏡像倉名稱、版本、大小、風險狀態等資訊。其中的建立時間/更新時間表示Security Center首次和最近一次同步當前鏡像倉的時間，而不是當前鏡像倉本地建立和更新的時間。

       在鏡像倉的詳情頁面，單擊目標鏡像倉版本對應操作列的處理，可以查看或匯出相關風險漏洞資訊。

     • 查看人工智慧平台PAI的鏡像倉庫

       通過在搜尋條件組件中選擇標籤 > PAI，可查看人工智慧平台PAI相關的鏡像倉庫列表。

     • 同步ACR資產

       針對阿里雲Container RegistryACR（Alibaba Cloud Container Registry）企業版，您可以單擊目標鏡像倉操作列的同步，開啟ACR資產自動同步。開啟後，在ACR新增的資產將自動更新至Security Center鏡像資產列表。

掃描容器鏡像

Security Center的鏡像掃描功能，可以協助您檢測鏡像是否存在鏡像漏洞、基準風險、惡意樣本和敏感檔案，為您創造安全的鏡像運行環境。

1. 登入Security Center控制台。

2. 在左側導覽列，選擇資產 > 容器資產。在控制台左上方，選擇需防護資產所在的地區：中國或全球（不含中國）。

3. 在容器資產頁面的倉庫鏡像頁簽，單擊容器鏡像掃描地區的立即掃描。

   

4. 在一鍵掃描對話方塊，選擇需要掃描的鏡像類型，按需配置掃描範圍，然後單擊確定。

   配置掃描範圍的具體操作，請參見執行鏡像安全掃描。

5. （可選）在容器資產頁面右上方，單擊任務管理。在任務管理面板的鏡像掃描、鏡像修復和容器運行時鏡像掃描頁簽，查看鏡像掃描和鏡像修複資訊。