الحصول على إجابات للأسئلة الشائعة حول حماية الحاويات
ما هي الخيارات لتمكين الخطة الجديدة على نطاق واسع؟
يمكنك استخدام نهج Azure Configure Microsoft Defender for Containers to be enabled
، لتمكين Defender for Containers على نطاق واسع. يمكنك أيضًا رؤية جميع الخيارات المتوفرة لتمكين Microsoft Defender for Containers.
هل يدعم Microsoft Defender for Containers مجموعات AKS مع مجموعات مقياس الأجهزة الظاهرية؟
نعم.
هل يدعم Microsoft Defender for Containers AKS بدون مجموعة مقياس (افتراضي)؟
لا. يتم دعم مجموعات Azure Kubernetes Service (AKS) التي تستخدم مجموعات مقياس الجهاز الظاهري للعقد فقط.
هل أحتاج إلى تثبيت ملحق Log Analytics VM على عقد AKS الخاصة بي لحماية الأمان؟
لا، إن AKS هي خدمة مدارة، والتلاعب بموارد IaaS غير مدعوم. ملحق Log Analytics VM غير مطلوب وقد يؤدي إلى رسوم إضافية.
كيف يمكنني استخدام مساحة العمل الموجودة في Log Analytics؟
يمكنك استخدام مساحة عمل Log Analytics الموجودة لديك باتباع الخطوات الواردة في قسم مساحة العمل تعيين مساحة عمل مخصصة من هذه المقالة.
هل يمكنني حذف مساحات العمل الافتراضية التي أنشأها Defender for Cloud؟
لا نوصي بحذف مساحة العمل الافتراضية. يستخدم Defender للحاويات مساحات العمل الافتراضية لجمع بيانات الأمان من مجموعاتك. لن يتمكن Defender للحاويات من جمع البيانات، وستصبح بعض توصيات وتنبيهات الأمان غير متوفرة إذا قمت بحذف مساحة العمل الافتراضية.
لقد حذفت مساحة العمل الافتراضية الخاصة بي، كيف يمكنني استعادتها؟
لاسترداد مساحة العمل الافتراضية، تحتاج إلى إزالة أداة استشعار Defender، وإعادة تثبيت أداة الاستشعار. تؤدي إعادة تثبيت مستشعر Defender إلى إنشاء مساحة عمل افتراضية جديدة.
أين تقع مساحة عمل تحليلات السجل الافتراضية؟
اعتمادا على منطقتك، قد تكون مساحة عمل Log Analytics الافتراضية موجودة في مواقع مختلفة. للتحقق من منطقتك، راجع أين تم إنشاء مساحة عمل تحليلات السجل الافتراضية؟
تطلب مؤسستي مني وضع علامة على مواردي، ولم يتم تثبيت أداة الاستشعار المطلوبة، ما الخطأ الذي حدث؟
يستخدم مستشعر Defender مساحة عمل تحليلات السجل لإرسال البيانات من مجموعات Kubernetes إلى Defender for Cloud. يضيف Defender for Cloud مساحة العمل التحليلية للسجل ومجموعة الموارد كمعلمة لمستشعر لاستخدامها.
ومع ذلك، إذا كان لدى مؤسستك نهج يتطلب علامة معينة على مواردك، فقد يتسبب ذلك في فشل تثبيت أداة الاستشعار أثناء مجموعة الموارد أو مرحلة إنشاء مساحة العمل الافتراضية. إذا فشلت، يمكنك إما:
قم بتعيين مساحة عمل مخصصة وأضف أي علامة تتطلبها مؤسستك.
أو
إذا طلبت منك شركتك وضع علامة على المورد الخاص بك، فيجب عليك الانتقال إلى تلك السياسة واستبعاد الموارد التالية:
- مجموعة الموارد
DefaultResourceGroup-<RegionShortCode>
- مساحة العمل
DefaultWorkspace-<sub-id>-<RegionShortCode>
تمثل RegionShortCode سلسلة مكونة من 2-4 أحرف.
- مجموعة الموارد
كيف يفحص Defender for Containers صورة؟
يسحب Defender for Containers الصورة من السجل ويشغلها في بيئة اختبار معزولة مع إدارة الثغرات الأمنية في Microsoft Defender للبيئات متعددة السحابات. يستخرج الماسح الضوئي قائمة بالثغرات الأمنية المعروفة.
يقوم Defender for Cloud بالتصفية وتصنيف النتائج من الماسح الضوئي. عندما تكون الصورة سليمة، يقوم Defender for Cloud بتمييزها على هذا النحو. يقوم Defender for Cloud بإنشاء توصيات أمان فقط للصور التي تحتوي على مشكلات يجب حلها. من خلال إعلامك فقط عند وجود مشاكل، يقلل Defender for Cloud من احتمال وجود تنبيهات إعلامية غير مرغوب فيها.
كيف يمكنني تحديد أحداث السحب التي يقوم بها الماسح الضوئي؟
لتحديد أحداث السحب التي يقوم بها الماسح الضوئي، قم بالخطوات التالية:
- ابحث عن أحداث السحب باستخدام UserAgent من AzureContainerImageScanner.
- استخراج الهوية المقترنة بهذا الحدث.
- استخدم الهوية المستخرجة لتحديد أحداث السحب من الماسح الضوئي.
ما الفرق بين الموارد غير القابلة للتطبيق والموارد التي لم يتم التحقق من طاقتها؟
- الموارد غير القابلة للتطبيق هي الموارد التي لا يمكن للتوصية تقديم إجابة نهائية لها. تتضمن علامة التبويب غير القابلة للتطبيق أسبابا لكل مورد تعذر تقييمه.
- الموارد التي لم يتم التحقق منها هي موارد مجدولة لتقييمها، ولكن لم يتم تقييمها بعد.
لماذا ينبهني Defender for Cloud إلى الثغرات الأمنية حول صورة غير موجودة في السجل الخاص بي؟
قد تعيد بعض الصور استخدام العلامات من صورة تم مسحها ضوئيا بالفعل. على سبيل المثال، يمكنك إعادة تعيين العلامة "الأحدث" في كل مرة تضيف فيها صورة إلى ملخص. في مثل هذه الحالات، لا تزال الصورة "القديمة" موجودة في السجل وقد لا يزال يتم سحبها بواسطة ملخصها. إذا كانت الصورة تحتوي على نتائج أمنية وتم سحبها، فستكشف عن الثغرات الأمنية.
هل يقوم Defender for Containers بمسح الصور ضوئيا في Microsoft Container Registry؟
حاليا، يمكن ل Defender for Containers مسح الصور ضوئيا في Azure Container Registry (ACR) وAWS Elastic Container Registry (ECR) فقط. لا يتم دعم سجل Docker وMicrosoft Artifact Registry/Microsoft Container Registry وسجل صور الحاوية المضمن في Microsoft Azure Red Hat OpenShift (ARO). يجب أولا استيراد الصور إلى ACR. تعرف على المزيد حول استيراد صور الحاوية إلى سجل حاوية Azure.
هل يمكنني الحصول على نتائج الفحص عبر واجهة برمجة تطبيقات REST؟
نعم. النتائج تحت التقييمات الفرعية REST API. يمكنك أيضاً استخدام Azure Resource Graph (ARG)، واجهة برمجة تطبيقات شبيهة بواجهة برمجة التطبيقات (KUSTO) لجميع الموارد: يمكن أن يؤدي الاستعلام إلى إجراء فحص محدد.
كيف أعمل التحقق من نوع الوسائط الذي تستخدمه حاوياتي؟
للتحقق من نوع صورة، تحتاج إلى استخدام أداة يمكنها التحقق من بيان الصورة الخام مثل skopeo، وفحص تنسيق الصورة الخام.
- بالنسبة لتنسيق Docker v2، سيكون نوع وسائط البيان هو application/vnd.docker.distribution.manifest.v1+json أو application/vnd.docker.distribution.manifest.v2+json، كما هو موثق هنا.
- بالنسبة لتنسيق صورة OCI، سيكون نوع وسائط البيان هو application/vnd.oci.image.manifest.v1+json، وتطبيق نوع وسائط التكوين/vnd.oci.image.config.v1+json، كما هو موثق هنا.
ما هي ملحقات إدارة وضع الحاوية بدون عامل؟
هناك ملحقان يوفران وظيفة CSPM بدون عامل:
- تقييمات الثغرات الأمنية للحاوية بدون عامل: يوفر تقييمات الثغرات الأمنية للحاويات بدون عامل. تعرف على المزيد حول تقييم الثغرات الأمنية للحاوية بدون عامل.
- اكتشاف بدون عامل ل Kubernetes: يوفر اكتشافا مستندا إلى واجهة برمجة التطبيقات للمعلومات حول بنية نظام مجموعة Kubernetes وكائنات حمل العمل والإعداد.
كيف يمكنني إلحاق اشتراكات متعددة في وقت واحد؟
لإلحاق اشتراكات متعددة في وقت واحد، يمكنك استخدام هذا البرنامج النصي.
لماذا لا أرى نتائج من مجموعاتي؟
إذا لم تشاهد نتائج من مجموعاتك، فتحقق من الأسئلة التالية:
- هل قمت بإيقاف المجموعات؟
- هل مجموعات الموارد أو الاشتراكات أو المجموعات مؤمنة؟ إذا كانت الإجابة على أي من هذين السؤالين نعم، فشاهد الإجابات في الأسئلة التالية.
ماذا يمكنني أن أفعل إذا قمت بإيقاف المجموعات؟
لا ندعم أو نفرض رسوما على المجموعات المتوقفة. للحصول على قيمة القدرات بدون عامل على مجموعة متوقفة، يمكنك إعادة تشغيل نظام المجموعة.
ماذا أفعل إذا قمت بتأمين مجموعات الموارد أو الاشتراكات أو المجموعات؟
نقترح إلغاء تأمين مجموعة الموارد المؤمنة/الاشتراك/المجموعة، وإجراء الطلبات ذات الصلة يدويا، ثم إعادة حظر مجموعة الموارد/الاشتراك/المجموعة عن طريق القيام بما يلي:
- قم بتمكين علامة الميزة يدويا عبر CLI باستخدام الوصول الموثوق به.
“az feature register --namespace "Microsoft.ContainerService" --name "TrustedAccessPreview”
- تنفيذ عملية الربط في CLI:
az account set -s <SubscriptionId> az extension add --name aks-preview az aks trustedaccess rolebinding create --resource-group <cluster resource group> --cluster-name <cluster name> --name defender-cloudposture --source-resource-id /subscriptions/<SubscriptionId>/providers/Microsoft.Security/pricings/CloudPosture/securityOperators/DefenderCSPMSecurityOperator --roles "Microsoft.Security/pricings/microsoft-defender-operator"
بالنسبة للمجموعات المؤمنة، يمكنك أيضا تنفيذ إحدى الخطوات التالية:
- إزالة التأمين.
- تنفيذ عملية الربط يدويا عن طريق إجراء طلب واجهة برمجة التطبيقات. تعرف على المزيد حول الموارد المؤمنة.
هل تستخدم إصدارا محدثا من AKS؟
تعرف على المزيد حول إصدارات Kubernetes المدعومة في Azure Kubernetes Service (AKS).
ما هو الفاصل الزمني للتحديث لاكتشاف Kubernetes بدون عامل؟
قد يستغرق الأمر ما يصل إلى 24 ساعة حتى تعكس التغييرات في الرسم البياني للأمان ومسارات الهجوم ومستكشف الأمان.
كيف أعمل الترقية من تقييم الثغرات الأمنية Trivy المتوقف إلى تقييم الثغرات الأمنية AWS المدعوم من إدارة الثغرات الأمنية في Microsoft Defender؟
ستقوم الخطوات التالية بإزالة توصية السجل الفردي التي يتم تشغيلها بواسطة Trivy وإضافة توصيات السجل ووقت التشغيل الجديدة التي يتم تشغيلها بواسطة MDVM.
- افتح موصل AWS ذي الصلة.
- افتح صفحة الإعدادات ل Defender for Containers.
- تمكين تقييم الثغرات الأمنية للحاوية بدون عامل.
- أكمل خطوات معالج الموصل، بما في ذلك نشر البرنامج النصي الجديد للإلحاق في AWS.
- حذف الموارد التي تم إنشاؤها يدويا أثناء الإعداد:
- مستودع S3 مع البادئة defender-for-containers-va
- نظام مجموعة ECS باسم defender-for-containers-va
- VPC:
- وضع علامة
name
بالقيمةdefender-for-containers-va
- شبكة IP الفرعية CIDR 10.0.0.0/16
- مقترن بمجموعة الأمان الافتراضية مع العلامة
name
والقيمةdefender-for-containers-va
التي تحتوي على قاعدة واحدة من كل حركة المرور الواردة. - الشبكة الفرعية مع العلامة
name
والقيمةdefender-for-containers-va
defender-for-containers-va
في VPC مع CIDR 10.0.1.0/24 الشبكة الفرعية IP المستخدمة من قبل نظام مجموعة ECSdefender-for-containers-va
- Internet Gateway مع العلامة
name
والقيمةdefender-for-containers-va
- جدول التوجيه - جدول التوجيه مع العلامة
name
والقيمةdefender-for-containers-va
، ومع هذه المسارات:- الوجهة:
0.0.0.0/0
؛ الهدف: Internet Gateway مع العلامةname
والقيمةdefender-for-containers-va
- الوجهة:
10.0.0.0/16
؛ هدف:local
- الوجهة:
- وضع علامة
للحصول على تقييمات الثغرات الأمنية لتشغيل الصور، قم إما بتمكين الاكتشاف بدون عامل ل Kubernetes أو نشر أداة استشعار Defender على مجموعات Kubernetes الخاصة بك.