Ativar o Defender for Containers no Microsoft Defender para a Cloud

Ative o plano Microsoft Defender for Containers no Microsoft Defender para a Cloud para proteger os seus clusters e cargas de trabalho de containers Kubernetes.

Azure Kubernetes Service (AKS)

Pré-requisitos

Antes de começar, certifique-se de que:

• Tem um cluster AKS. Veja a matriz de suporte.

• Revisaste os padrões de acesso da funcionalidade Defender para Containers.

• Revistaste o acesso à rede e as permissões necessárias.

Ativar o plano do 'Defender for Containers'

1. Inicie sessão no portal Azure.

2. Vai a Microsoft Defender para Cloud>Definições de ambiente.

3. Selecione a subscrição onde estão localizados os seus clusters AKS.

4. Na página de planos do Defender, localize a linha Containers e alterne o estado para Ligado.

5. Selecione Definições na linha do plano de Contentores.

6. Alterne Ligado ou Desligado os componentes relevantes do Defender de Containers.

   • Varredura sem agente para máquinas
     Realiza vulnerabilidade sem agente e varredura secreta nos nós Kubernetes.

     • Para excluir máquinas da análise sem agente, adicione o nome e o valor da tag de exclusão.

   • Sensor Defender
     Implanta o sensor Defender em nós de cluster para recolher telemetria de segurança em tempo de execução usada para deteção de ameaças.

     • Enable Defender Security Gating: Adiciona uma camada de controlo de admissão que avalia as implementações contra políticas de segurança antes da execução das cargas de trabalho no cluster.
     • Habilitar Defender Runtime Anti Malware: Ativa a deteção de malware em tempo de execução para hosts e containers Kubernetes e pode, opcionalmente, bloquear a execução de ficheiros maliciosos em tempo real.

   • Política do Azure
     Implementa o complemento Azure Policy for Kubernetes para permitir avaliações de postura de segurança do Kubernetes e recomendações de segurança relacionadas.

   • Acesso à API Kubernetes
     Permite ao Defender para a Cloud aceder à API Kubernetes para inventário de clusters, análise de configuração e capacidades que dependem dos metadados Kubernetes.

   • Acesso ao registo
     Permite a avaliação de vulnerabilidades sem agente para imagens de contentores armazenadas em registos ligados.

     • Conclusões de segurança: Gera conclusões e liga-as a imagens de contentores quando novas imagens são enviadas ou as existentes são atualizadas.

       Note

       O componente Security findings não pode ser ativado através do Azure Policy. Para o ativar, ative-o na página de Definições do plano.

   

7. Selecione Continuar.

8. Selecione Guardar.

Serviço Amazon Elastic Kubernetes (EKS)

Pré-requisitos

Antes de começar, certifique-se de que:

• Tem um projeto AWS integrado para Microsoft Defender para a Cloud.

• Tem um ou mais clusters Amazon EKS a correr uma versão Kubernetes suportada. Veja a matriz de suporte.

• Revisaste os padrões de acesso da funcionalidade Defender para Containers.

• Revistaste o acesso à rede e as permissões necessárias.

• Revistaste as permissões IAM necessárias na cloud.

Ativar o plano do 'Defender for Containers'

1. Inicie sessão no portal Azure.

2. Vai a Microsoft Defender para Cloud>Definições de ambiente.

3. Selecione o conector AWS relevante.

4. Na página de planos do Defender, localize a linha Containers e alterne o estado para Ligado.

5. Selecione Definições na linha do plano de Contentores.

6. Alterne Ativar os componentes relevantes do Defender para Contêineres:

   • Proteção contra ameaças sem agente
     Recolhe registos de auditoria do plano de controlo Kubernetes e analisa-os para deteção de ameaças no plano de controlo. Os registos são encaminhados através de serviços AWS (como CloudWatch, S3, Kineses e SQS).

     • Se ativado, defina o período de retenção dos registos de auditoria (em dias) para controlar quanto tempo os registos de auditoria do plano de controlo são armazenados.

   • Provisionar automaticamente o sensor do Defender para o Azure Arc
     Implanta o sensor Defender como uma extensão Azure Arc Kubernetes. O sensor funciona como um DaemonSet em nós de cluster e fornece deteção de ameaças em tempo de execução com base na telemetria do nó e da carga de trabalho.

     Note

     Quando o provisionamento automático está ativado, o sensor Defender é instalado após a descoberta do cluster e pode demorar várias horas a completar-se.

   • Provisionamento automático da extensão Azure Policy para Azure Arc
     Implementa a extensão Azure Policy no cluster para permitir avaliações da postura de segurança do Kubernetes e recomendações de segurança relacionadas.

   • Acesso à API Kubernetes
     Permite ao Defender para a Cloud aceder ao servidor API do Kubernetes para inventário do cluster, análise de configuração e capacidades que dependem dos metadados e do estado do Kubernetes.

   • Acesso ao registo Permite a avaliação de vulnerabilidades sem agente para imagens de contentores no Amazon ECR. As imagens enviadas para ECR são digitalizadas automaticamente (normalmente dentro de 24 horas).

     • Conclusões de segurança: Gera conclusões e liga-as a imagens de contentores quando novas imagens são enviadas ou as existentes são atualizadas.

       Note

       O componente Security findings não pode ser ativado através do Azure Policy. Para o ativar, ative-o na página de Definições do plano.

   

7. Selecione Guardar.

8. Selecionar Próximo: Configurar acesso >.

9. Regenera o modelo AWS CloudFormation para o conector e usa-o para atualizar a stack existente no AWS CloudFormation.

   

10. Selecione Próximo: Rever e gerar >.

11. Selecione Atualizar.

Motor Kubernetes do Google (GKE)

Pré-requisitos

Antes de começar, certifique-se de que:

• Tem um projeto GCP integrado para Microsoft Defender para a Cloud.

• Tem um ou mais clusters do Google Kubernetes Engine (GKE) a correr uma versão Kubernetes suportada. Veja a matriz de suporte.

• Revisaste os padrões de acesso da funcionalidade Defender para Containers.

• Revistaste o acesso à rede e as permissões necessárias.

• Revistaste as permissões IAM necessárias na cloud.

Ativar o plano do 'Defender for Containers'

1. Inicie sessão no portal Azure.

2. Vai a Microsoft Defender para Cloud>Definições de ambiente.

3. Selecione o conector GCP relevante.

4. Na página de planos do Defender, localize a linha Containers e alterne o estado para Ligado.

5. Selecione Definições na linha do plano de Contentores.

6. Alterne Ativar os componentes relevantes do Defender para Contêineres:

   • Proteção contra ameaças sem agente
     Recolhe registos de auditoria do plano de controlo Kubernetes e analisa-os para deteção de ameaças no plano de controlo. Os registos são exportados do GKE para o seu projeto Google Cloud.

   • Provisionar automaticamente o sensor do Defender para o Azure Arc
     Implanta o sensor Defender como uma extensão Azure Arc Kubernetes. O sensor funciona como um DaemonSet em nós de cluster e fornece deteção de ameaças em tempo de execução com base na telemetria do nó e da carga de trabalho.

     • Ativar Defender Security Gating
       Adiciona uma camada de controlo de admissão que avalia as implementações com base nas políticas de segurança antes de as cargas de trabalho serem executadas no cluster.

     Note

     Quando o provisionamento automático está ativado, o sensor Defender é instalado após a descoberta do cluster e pode demorar várias horas a completar-se.

   • Provisionamento automático da extensão Azure Policy para Azure Arc
     Implementa a extensão Azure Policy no cluster para permitir avaliações da postura de segurança do Kubernetes e recomendações de segurança relacionadas.

   • Acesso à API Kubernetes
     Permite ao Defender para a Cloud aceder ao servidor API Kubernetes para inventário de clusters, análise de configuração e capacidades que dependem dos metadados e do estado do cluster Kubernetes.

   • Acesso ao registo
     Permite a avaliação de vulnerabilidades sem agente para imagens de contentores armazenadas no Google Container Registry (GCR) e no Artifact Registry.

     • Conclusões de segurança: Gera conclusões e liga-as a imagens de contentores quando novas imagens são enviadas ou as existentes são atualizadas.

       Note

       O componente Security findings não pode ser ativado através do Azure Policy. Para o ativar, ative-o na página de Definições do plano.

   

7. Selecione Guardar.

8. Selecionar Próximo: Configurar acesso >.

9. Regenera e reexecuta o script de integração no teu projeto GCP.

   

10. Selecione Próximo: Rever e gerar >.

11. Selecione Atualizar.

Kubernetes ativado pelo Azure Arc

Pré-requisitos

Antes de começar, certifique-se de que:

• O teu cluster é:

  • Ligado a Azure Arc.
  • Suportado pelo Defender para contentores. Veja a matriz de suporte.

• Revisaste os padrões de acesso da funcionalidade Defender para Containers.

• Revistaste o acesso à rede e as permissões necessárias.

Ativar o plano do 'Defender for Containers'

1. Inicie sessão no portal Azure.

2. Vai a Microsoft Defender para Cloud>Definições de ambiente.

3. Selecione a subscrição do Azure que contém o recurso do cluster Kubernetes com suporte ao Azure Arc.

4. Na página de planos do Defender, localize a linha Containers e alterne o estado para Ligado.

5. Selecione Definições na linha do plano de Contentores.

6. Alterne Ativar os componentes relevantes do Defender para Contêineres:

   • Varredura sem agente para máquinas
     Realiza vulnerabilidade sem agente e varredura secreta nos nós Kubernetes.

   • Sensor Defender
     Implanta o sensor Defender em nós de cluster para recolher telemetria de segurança em tempo de execução usada para deteção de ameaças.

   • Política do Azure
     Implementa o complemento Azure Policy for Kubernetes para permitir avaliações de postura de segurança do Kubernetes e recomendações de segurança relacionadas.

   • Acesso à API Kubernetes
     Permite ao Defender para a Cloud aceder à API Kubernetes para inventário de clusters, análise de configuração e capacidades que dependem dos metadados Kubernetes.

   • Acesso ao registo
     Permite a avaliação de vulnerabilidades sem agente para imagens de contentores armazenadas em registos ligados.

   

7. Selecione Guardar.

Verifique se o plano está ativado

1. Inicie sessão no portal Azure.

2. Vai a Microsoft Defender para Cloud>Definições de ambiente.

3. Selecione uma subscrição.

4. Verifique se Containers está definido como Ligado.

5. Selecione Definições ao lado de Contentores e confirme que os componentes necessários estão ativados.

Conteúdo relacionado

• Visão geral da implementação do Defender para Contentores

• Deploye Defender para componentes de Containers usando CLI do Azure

• Resolver problemas do Defender para Containers