Solução de Problemas do Microsoft Defender para Contentores

Este artigo fornece orientações de resolução de problemas para problemas comuns de implementação e operações no Microsoft Defender for Containers em todos os ambientes suportados.

Azure Kubernetes Service (AKS)

Problemas comuns de implantação

• A instalação do sensor do Defender falha

  • Sintomas: mostra unidades de sensores Defender em , ou .
  • Solução:
    • Recursos insuficientes: Verifique a capacidade dos nós. Use kubectl top nodes para verificar se os nós têm CPU e memória suficientes para agendar o sensor.
    • Saída da rede: Verifique se o firewall do seu cluster ou NSG permite o tráfego de saída para as FQDNs exigidas.
    • Manchas e Tolerâncias: Garante que as contaminações dos nós não impedem os pods de agendarem em pools específicos de nós.

• Recomendações em falta

  • Sintomas: Os clusters aparecem como "Saudáveis", mas recomendações específicas como "os clusters AKS devem ter Defender profile ativados" estão em falta.
  • Solução:
    • Tempo de espera: As análises de avaliação podem demorar até 24 horas a refletir-se no painel de controlo.
    • Etiquetas de exclusão: Verifica se o recurso tem a tag ms_defender_container_exclude_sensors = true.
    • Policy Add-on: Garantir que o add-on Azure Policy está instalado; sem ele, as recomendações baseadas em configuração não serão ativadas.

Problemas de varredura de vulnerabilidades

• Falhas de vulnerabilidade para imagens em Azure Container Registry

  • Sintomas: Os achados de vulnerabilidade não aparecem nas imagens armazenadas em Azure Container Registry.
  • Solução:
    • Digitalização do registo: Confirme que a capacidade relevante de digitalização do registo está ativada para o Defender para Contentores. No portal Azure, verifique se Registry access está ativado para o âmbito relevante.
    • Investigação adicional: Se a digitalização do registo estiver ativada e as conclusões continuarem em falta, abra um caso de suporte com o nome do registo, nome da imagem, resumo da imagem e detalhes esperados da descoberta.

• Falhas de vulnerabilidades ausentes para imagens a correr em clusters AKS

  • Sintomas: As descobertas de vulnerabilidades não aparecem para imagens que estão atualmente a correr em cargas de trabalho do AKS.
  • Solução:
    • Análise de vulnerabilidades: Confirme que a capacidade relevante de varredura de vulnerabilidades está ativada para Defender para Contentores. As descobertas de vulnerabilidades em tempo de execução dependem dos resultados de varrimento disponíveis para a imagem em execução, como resultados de registo ou de disco.
    • Coleção de inventário dos pods: Confirma que a recolha de inventário dos pods está ativada para o cluster. Para o AKS, o inventário de pods pode ser recolhido pelo sensor Defender ou por recolha sem agente, dependendo da configuração de implantação.
    • Investigação adicional: Se a análise de vulnerabilidades e a recolha de inventário de pods estiverem ativadas, mas as conclusões ainda estiverem em falta, abra um caso de suporte com o nome do cluster, namespace, nome da carga de trabalho, nome da imagem e digest da imagem.

Serviço Amazon Elastic Kubernetes (EKS)

Conector e Descoberta

• Conector AWS desligado

  • Estado da CloudFormation: Verifique a consola AWS CloudFormation para garantir que a pilha de onboarding está no estado de CREATE_COMPLETE.
  • Permissões: Verifique se a MDCContainersAgentlessDiscoveryK8sRole função não foi modificada. Este papel é obrigatório para que o Defender para a Cloud descubra os seus clusters através da API EKS.

• Clusters EKS não aparecem no inventário

  • Kubernetes API access: Certifique-se de que este componente está ativado nas definições do conector AWS.
  • Mapeamento de identidade IAM: Assegure-se de que o aws-auth ConfigMap foi atualizado para incluir a função Defender para a Cloud, ou que uma entrada de acesso do EKS foi criada para a função.

Problemas de varredura de vulnerabilidades

• Faltam descobertas de vulnerabilidades para imagens no Amazon Elastic Container Registry

  • Sintomas: As descobertas de vulnerabilidades não aparecem nas imagens armazenadas no Amazon Elastic Container Registry.
  • Solução:
    • Digitalização do registo: Confirme que a capacidade relevante de digitalização do registo está ativada para o Defender para Contentores. Nas definições do conector AWS, verifique se o acesso ao Registo está ativado.
    • Investigação adicional: Se a digitalização do registo estiver ativada e as conclusões continuarem em falta, abra um caso de suporte com o nome do registo, nome da imagem, resumo da imagem e detalhes esperados da descoberta.

• Falhas de vulnerabilidade ausentes para imagens a correr em clusters EKS

  • Sintomas: As descobertas de vulnerabilidades não aparecem para imagens que estão atualmente a correr em cargas de trabalho do EKS.
  • Solução:
    • Análise de vulnerabilidades: Confirme que a capacidade relevante de varredura de vulnerabilidades está ativada para Defender para Contentores. As descobertas de vulnerabilidades em tempo de execução dependem dos resultados de varrimento disponíveis para a imagem em execução, como resultados de registo ou de disco.
    • Coleção de inventário dos pods: Confirma que a recolha de inventário dos pods está ativada para o cluster. O inventário do pod pode ser recolhido pelo sensor Defender ou por recolha sem agente, dependendo da configuração de implantação.
    • Conector e permissões: Verifique se o conector AWS e as permissões necessárias na cloud estão configurados corretamente.
    • Investigação adicional: Se a análise de vulnerabilidades, a recolha de inventário do pod e as permissões do conector estiverem configuradas mas as conclusões continuarem em falta, abra um caso de suporte com o nome do cluster, namespace, nome da carga de trabalho, nome da imagem e digest da imagem.

Alertas em Tempo de Execução

• Nenhum alerta de plano de controle gerado
  • Registo de auditorias: Os registos de auditoria devem estar ativados para cada cluster. Executar: aws eks update-cluster-config --name <cluster-name> --logging '{"clusterLogging":[{"types":["audit","authenticator"],"enabled":true}]}'
  • Configuração do SQS: Verifique se o CloudTrail está a enviar corretamente os registos para a fila SQS usada pelo conector. Verifica se o ARN do SQS está correto nas definições do conector.

Motor Kubernetes do Google (GKE)

Postura e Descoberta

• Limitações do piloto automático GKE

  Importante

  Nos clusters do Autopilot GKE, não se pode configurar manualmente ou sobrepor os limites de recursos do sensor Defender. O sensor foi concebido para solicitar automaticamente os recursos mínimos necessários pelo agendamento especializado do Autopilot.

• Erros na Conta de Serviço

  • Email da Conta de Serviço: Confirme que o email da Conta de Serviço no portal Azure corresponde ao email gerado na consola do GCP.
  • Papéis do IAM: Garantir que a Conta de Serviço tem os container.viewer e container.clusters.update papéis ao nível do projeto.

Questões de avaliação do registo

• Descobertas de vulnerabilidades em falta no Registo de Artefactos

  • Sintomas: As descobertas de vulnerabilidades não aparecem nas imagens armazenadas no Google Artifact Registry.
  • Solução:
    • Digitalização do registo: Confirme que a capacidade relevante de digitalização do registo está ativada para o Defender para Contentores. Nas definições do conector GCP, verifique se o acesso ao Registo está ativado.
    • Investigação adicional: Se a digitalização do registo estiver ativada e as conclusões continuarem em falta, abra um caso de suporte com o nome do registo, nome da imagem, resumo da imagem e detalhes esperados da descoberta.

• Falhas de vulnerabilidade em falta para imagens em execução em clusters GKE

  • Sintomas: As descobertas de vulnerabilidades não aparecem para imagens que estão atualmente a correr em cargas de trabalho GKE.
  • Solução:
    • Análise de vulnerabilidades: Confirme que a capacidade relevante de varredura de vulnerabilidades está ativada para Defender para Contentores. As descobertas de vulnerabilidades em tempo de execução dependem dos resultados de varrimento disponíveis para a imagem em execução, como resultados de registo ou de disco.
    • Coleção de inventário dos pods: Confirma que a recolha de inventário dos pods está ativada para o cluster. O inventário do pod pode ser recolhido pelo sensor Defender ou por recolha sem agente, dependendo da configuração de implantação.
    • Conector e permissões: Verifique se o conector GCP e as permissões necessárias na cloud estão configurados corretamente.
    • Investigação adicional: Se a análise de vulnerabilidades e a recolha de inventário de pods estiverem ativadas, mas as conclusões ainda estiverem em falta, abra um caso de suporte com o nome do cluster, namespace, nome da carga de trabalho, nome da imagem e digest da imagem.

Kubernetes habilitado para Arc

Conectividade de Arco

• Estado do cluster: "Desligado"
  • Saída de Rede: Garantir que o cluster consiga alcançar os endpoints necessários do Azure Arc no TCP 443.
  • Sincronização Temporal: Garantir que o tempo do sistema de nós é preciso e sincronizado via NTP. Se o tempo do nó apresentar uma derivação significativa, o estabelecimento de conexão do certificado Arc falhará, impedindo a implementação dos componentes.
  • Configuração de proxy: Caso o seu ambiente utilize um proxy, certifique-se de que os agentes Arc estão configurados com as definições corretas durante o passo http_proxy, incluindo https_proxy e az connectedk8s connect.

Gestão de Extensão

• Extensão do Defender presa em "A criar" ou "Com falha"

  • Registos de agentes: Consulte os registos do agente Arc para erros detalhados: kubectl logs -n azure-arc -l app.kubernetes.io/component=cluster-agent
  • Reinstalação: Se a extensão continuar bloqueada, apague-a e recrie-a através da linha de código: az k8s-extension delete --cluster-name <name> --resource-group <rg> --cluster-type connectedClusters --name microsoft.azuredefender.kubernetes

• Pod do sensor do Defender "ImagePullBackOff"

  • Sintomas: Os pods não iniciam devido a um erro ao puxar a imagem.
  • Solução:
    • MCR Connectivity: Verificar se os nós conseguem alcançar mcr.microsoft.com para obter a imagem do sensor do Defender.
    • Conflitos no espaço de nomes: Certifique-se de que nenhuma outra solução de segurança ou controladores de admissão interfere com o mdc namespace.

Verificação via simulação de alerta

Usa a ferramenta de simulação de alertas Kubernetes para confirmar que Defender para Containers consegue gerar alertas para o teu cluster e enviá-los para Defender para a Cloud.

Conteúdo relacionado

• Implante Defender sensor e Azure Policy para clusters usando CLI do Azure.

• Instale Defender sensor usando Helm.