Sdílet prostřednictvím

Matice podpory kontejnerů v Defender for Cloud

Upozornění

Tento článek odkazuje na CentOS, což je distribuce Linuxu, která je ukončena od 30. června 2024. Zvažte své použití a plánování odpovídajícím způsobem. Další informace najdete v doprovodných materiálech CentOS End Of Life.

Tento článek shrnuje informace o podpoře pro funkce kontejnerů v programu Microsoft Defender for Cloud.

Poznámka:

  • Konkrétní funkce jsou ve verzi Preview. Dodatkové podmínky Azure Preview zahrnují další právní podmínky, které se vztahují na funkce Azure, které jsou v beta verzi, preview nebo které ještě nejsou vydány v obecné dostupnosti.
  • Defender for Cloud oficiálně podporuje jenom verze AKS, EKS a GKE podporované dodavatelem cloudu.

Níže jsou uvedené funkce, které poskytuje Defender for Containers, pro podporovaná cloudová prostředí a registry kontejnerů.

Funkce hodnocení zranitelnosti (VA)

Funkce Popis Podporované prostředky Stav vydání Linuxu Stav vydání Windows Metoda zprovoznění Plány Dostupnost cloudových služeb
Registr kontejnerů – VA VA pro obrazy v registroch kontejnerů ACR, ECR, GAR, GCR, Docker Hub, JFrog Artifactory GHANŠTINA GHANŠTINA Vyžaduje vytvoření přístupu k registru1 nebo konektoru pro Docker Hub/Jfrog. Defender for Containers nebo Defender CSPM Komerční cloudové služby

Národní cloudy: Azure Government, Azure provozovaný společností 21Vianet
Kontejner modulu runtime VA – Prohledávání registru na základě VA kontejnerů se spuštěnými imagemi z podporovaných registrů ACR, ECR, GAR, GCR, Docker Hub, JFrog Artifactory GHANŠTINA GHANŠTINA Vyžaduje vytvoření přístupu k registru1 nebo konektoru pro Docker Hub/Jfrog a přístup k rozhraní API K8S nebo senzor defenderu1. Defender for Containers nebo Defender CSPM Komerční cloudové služby

Národní cloudy: Azure Government, Azure provozovaný společností 21Vianet
Běhový kontejner VA Nezávislá na registru VA kontejnerů s běžícími snímky Všechno Náhled - Vyžaduje bezagentové skenování pro počítače a buď přístup k rozhraní K8S API nebo senzor Defenderu1 Defender for Containers nebo Defender CSPM Komerční cloudové služby

Národní cloudy: Azure Government, Azure provozovaný společností 21Vianet

1Národní cloudy jsou automaticky povoleny a nelze je zakázat.

Podpora registrů a imagí pro hodnocení zranitelnosti

Aspekt Podrobnosti
Registry a obrázky Podporuje se
* Image kontejnerů ve formátu Docker V2
* Obrázky s obrazovým formátem podle specifikace Open Container Initiative (OCI)
Nepodporuje se
* Super minimalistické image jako Docker scratch image nejsou v současné době podporované.
* Veřejná úložiště
* Seznamy manifestů
Operační systémy Podporuje se
* Alpine Linux 3.12-3.21
* Red Hat Enterprise Linux 6-9
* CentOS 6-9 (CentOS je konec služby od 30. června 2024. Další informace najdete v doprovodných materiálech CentOS End Of Life.)
* Oracle Linux 6-9
* Amazon Linux 1, 2
* openSUSE Leap, openSUSE Tumbleweed
* SUSE Enterprise Linux 11-15
* Debian GNU/Linux 7-12
* Google Distroless (založený na Debian GNU/Linux 7-12)
* Ubuntu 12.04-24.04
* Fedora 31-37
* Azure Linux 1–2
* Windows Server 2016, 2019, 2022
Balíčky specifické pro jazyk

Podporuje se
*Python
* Node.js
* PHP
*Rubín
* Rez
*.NET
*Java
*Běž

Funkce ochrany za běhu

Funkce Popis Podporované prostředky Stav vydání Linuxu Stav vydání Windows Metoda zprovoznění Plány Dostupnost cloudových služeb
Detekce řídicí roviny Detekce podezřelé aktivity pro Kubernetes na základě záznamu auditu Kubernetes Azure Kubernetes Service (AKS) GHANŠTINA GHANŠTINA Povolené v rámci plánu Defender for Containers nebo Defender CSPM Komerční cloudy, národní cloudy: Azure Government, Azure provozovaný společností 21Vianet
Detekce úloh Monitoruje kontejnerizované úlohy kvůli hrozbám a poskytuje výstrahy na podezřelé aktivity. Azure Kubernetes Service (AKS) GHANŠTINA - Vyžaduje senzor Defender. Defender pro kontejnery Komerční cloudy a národní cloudy: Azure Government, Azure provozovaný společností 21Vianet
Detekce binárních posunů Zjistí binární soubor běhového kontejneru z kontejnerového image. Azure Kubernetes Service (AKS) GHANŠTINA - Vyžaduje senzor Defender. Defender pro kontejnery Komerční cloudové služby
Detekce DNS Možnosti detekce DNS Azure Kubernetes Service (AKS) Náhled Vyžaduje senzor Defenderu přes Helm. Defender pro kontejnery Komerční cloudové služby
Pokročilé proaktivní vyhledávání v XDR Zobrazení incidentů a upozornění v clusterech v Microsoft XDR Azure Kubernetes Service (AKS) Preview – aktuálně podporuje záznamy auditu aktivit procesu & Preview – aktuálně podporuje protokoly auditu Vyžaduje senzor Defender. Defender pro kontejnery Komerční cloudy a národní cloudy: Azure Government, Azure provozovaný společností 21Vianet
Reakční opatření v XDR Poskytuje automatizovanou a ruční nápravu v Microsoft XDR. Azure Kubernetes Service (AKS) Náhled - Vyžaduje senzor Defenderu a rozhraní API pro přístup k K8S Defender pro kontejnery Komerční cloudy a národní cloudy: Azure Government, Azure provozovaný společností 21Vianet
Detekce malwaru Detekce malwaru Uzly AKS GHANŠTINA GHANŠTINA Vyžaduje skenování bez agentů pro počítače. Defender for Containers nebo Defender for Servers Plan 2 Komerční cloudové služby

Distribuce a konfigurace Kubernetes pro ochranu před internetovými útoky za běhu v Azure

Aspekt Podrobnosti
Distribuce a konfigurace Kubernetes Podporuje se
* Azure Kubernetes Service (AKS) s Kubernetes RBAC

Podporováno prostřednictvím Kubernetes s podporou Arc12
* Hybridní služba Azure Kubernetes Service
* Kubernetes
* Modul AKS
* Azure Red Hat OpenShift

1 Všechny clustery Kubernetes s certifikací CLOUD Native Computing Foundation (CNCF) by se měly podporovat, ale v Azure byly testovány pouze zadané clustery.

2 Pokud chcete získat ochranu Microsoft Defenderu pro kontejnery pro vaše prostředí, musíte nasadit Kubernetes s podporou Azure Arc a povolit Defender for Containers jako rozšíření Arc.

Poznámka:

Další požadavky na ochranu úloh Kubernetes najdete v existujících omezeních.

Funkce správy stavu zabezpečení

Funkce Popis Podporované prostředky Stav vydání Linuxu Stav vydání Windows Metoda zprovoznění Plány Dostupnost cloudových služeb
Zjišťování bez agentů pro Kubernetes1 Poskytuje nulový dopad a zjišťování clusterů Kubernetes založených na rozhraní API, včetně jejich konfigurací a nasazení. Azure Kubernetes Service (AKS) GHANŠTINA GHANŠTINA Vyžaduje přístup k rozhraní API K8S Defender for Containers OR Defender CSPM Komerční cloudy Azure
Komplexní možnosti inventáře Umožňuje zkoumat prostředky, pody, služby, úložiště, image a konfigurace prostřednictvím Průzkumníka zabezpečení a snadno monitorovat a spravovat vaše prostředky. ACR, AKS GHANŠTINA GHANŠTINA Vyžaduje přístup k rozhraní API K8S Defender for Containers OR Defender CSPM Komerční cloudy Azure
Analýza cesty útoku Grafový algoritmus, který prohledá graf zabezpečení cloudu. Kontroly zpřístupňují zneužitelné cesty, které by útočníci mohli použít k narušení vašeho prostředí. ACR, AKS GHANŠTINA GHANŠTINA Vyžaduje přístup k rozhraní API K8S Ochránce CSPM Komerční cloudy Azure
Rozšířené proaktivní vyhledávání rizik Umožňuje správcům zabezpečení aktivně vyhledávat problémy s stavem v kontejnerizovaných prostředcích prostřednictvím dotazů (integrovaných a vlastních) a přehledů zabezpečení v Průzkumníku zabezpečení. ACR, AKS GHANŠTINA GHANŠTINA Vyžaduje přístup k rozhraní API K8S Defender for Containers OR Defender CSPM Komerční cloudy Azure
Posílení řídicí roviny1 Průběžně vyhodnocuje konfigurace vašich clusterů a porovnává je s iniciativami použitými u vašich předplatných. Když najde chybné konfigurace, Defender for Cloud vygeneruje doporučení zabezpečení, která jsou k dispozici na stránce Doporučení pro Defender for Cloud. Doporučení vám umožňují prozkoumat a opravit problémy. ACR, AKS GHANŠTINA GHANŠTINA Povolené v rámci plánu Bezplatný Komerční cloudové služby

Národní cloudy: Azure Government, Azure provozovaný společností 21Vianet
Zodolňování úloh1 Chraňte úlohy svých kontejnerů Kubernetes pomocí odborných doporučení osvědčených postupů. Azure Kubernetes Service (AKS) GHANŠTINA - Vyžaduje azure Policy Bezplatný Komerční cloudové služby

Národní cloudy: Azure Government, Azure provozovaný společností 21Vianet
CIS Azure Kubernetes Service Srovnávací test CIS Azure Kubernetes Service Azure Kubernetes Service (AKS) GHANŠTINA - Přiřazeno jako standard zabezpečení Defender for Containers OR Defender CSPM Komerční cloudové služby

1 Tato funkce může být povolena pro jednotlivé clustery při povolování defenderu pro kontejnery na úrovni prostředků clusteru.

Funkce ochrany dodavatelského řetězce softwaru

Funkce Popis Podporované prostředky Stav vydání Linuxu Stav vydání Windows Metoda zprovoznění Plány Dostupnost cloudových služeb
Řízené nasazení Kontrolované nasazení obrazů kontejnerů do prostředí Kubernetes AKS 1.32 nebo vyšší Náhled Náhled Povolené v rámci plánu Defender for Containers nebo Defender CSPM Komerční cloudy, národní cloudy: Azure Government, Azure provozovaný společností 21Vianet

Omezení sítě

Aspekt Podrobnosti
Podpora odchozího proxy serveru Odchozí proxy server bez ověřování a odchozí proxy server se základním ověřováním jsou podporovány. Odchozí proxy server, který očekává důvěryhodné certifikáty, není v současné době podporován.
Clustery s omezeními IP adres Pokud má váš cluster Kubernetes v AWS povolené omezení IP roviny řízení (viz Řízení přístupu ke koncovému bodu clusteru Amazon EKS – Amazon EKS ), aktualizuje se konfigurace omezení IP řídicí roviny tak, aby zahrnovala blok CIDR programu Microsoft Defender for Cloud.

Podporované hostitelské operační systémy

Defender for Containers využívá senzor Defenderu pro několik funkcí. Senzor Defenderu je podporován pouze s linuxovým jádrem 5.4 a novějším v následujících hostitelských operačních systémech:

  • Amazon Linux 2
  • CentOS 8 (CentOS je konec služby od 30. června 2024). Další informace najdete v doprovodných materiálech CentOS End Of Life.)
  • Debian 10
  • Debian 11
  • Operační systém optimalizovaný pro kontejnery Google
  • Azure Linux 1.0
  • Azure Linux 2.0
  • Red Hat Enterprise Linux 8
  • Ubuntu 16.04
  • Ubuntu 18.04
  • Ubuntu 20.04
  • Ubuntu 22.04

Ujistěte se, že váš uzel Kubernetes běží na jednom z těchto ověřených operačních systémů. Clustery s nepodporovanými hostitelskými operačními systémy nezískají výhody funkcí závislých na senzoru Defenderu.

Omezení senzoru Defenderu

Senzor Defenderu v AKS V1.28 a níže není na uzlech Arm64 podporovaný.

Další kroky