Arquitectura de Defender for Containers

Componentes de arquitectura

Cuando Defender for Cloud protege un clúster hospedado en Azure Kubernetes Service, recopila datos de registro de auditoría de Kubernetes de forma nativa a través de Azure infraestructura sin necesidad de agentes ni configuración adicionales. Para obtener la protección completa que ofrece Microsoft Defender para contenedores, necesita estos componentes:

• Defender sensor: Un daemonSet ligero implementado en nodos de AKS que recopila datos de telemetría en tiempo de ejecución (eventos de Kubernetes, procesos y datos de red) mediante eBPF. Envía la telemetría de forma segura a Defender for Cloud para la protección contra amenazas en tiempo de ejecución. El sensor se registra con un área de trabajo de Log Analytics y actúa como una tubería de datos. Sin embargo, los datos del registro de auditoría no se almacenan en el área de trabajo de Log Analytics. El sensor Defender se implementa como un perfil de seguridad de AKS, integrado de forma nativa en el proveedor de recursos (RP) de AKS.

• Azure Policy para Kubernetes: un pod que extiende el Gatekeeper v3 de código abierto y se registra como un webhook en el control de admisión de Kubernetes. Con este pod, puede aplicar medidas de cumplimiento y protecciones a gran escala en los clústeres de forma centralizada y coherente. El pod de Azure Policy para Kubernetes se implementa como un complemento de AKS y solo tiene que instalarlo en un nodo del clúster. Proporciona la opción de aplicar reglas de configuración. Obtenga más información sobre la protección de cargas de trabajo de Kubernetes y Azure Policy de Kubernetes.
• Integración de ACR: el análisis de imágenes periódico y activado por inserciones de Azure Container Registry, a fin de evaluar las vulnerabilidades sin que necesiten otros componentes.
• Agentless discovery: Proporciona visibilidad de los clústeres de Kubernetes sin necesidad de agentes, mediante el uso de Azure funcionalidades nativas para detectar y evaluar configuraciones de clúster.
• Examen sin agente de máquinas: Instantáneas periódicas de discos de los nodos de Kubernetes para un análisis profundo y fuera de banda de la configuración del sistema operativo y del sistema de archivos. Esta característica no necesita agentes instalados ni conectividad de red y no afecta al rendimiento de la máquina.
• Microsoft integración XDR: se integra con la plataforma de detección y respuesta extendidas de Microsoft para operaciones de seguridad unificadas y respuesta a incidentes.

Detalles del componente del sensor de Defender

* No se pueden configurar límites de recursos. Obtenga más información sobre los límites de recursos de Kubernetes.

¿Cómo funciona la detección sin agente para Kubernetes en Azure?

El proceso de detección usa instantáneas tomadas a intervalos:

Al habilitar la extensión Detección sin agente para Kubernetes, se producirá el siguiente proceso:

• Crear:
  • Si habilita la extensión desde CSPM de Defender, Defender for Cloud crea una identidad en su entorno llamada como CloudPosture/securityOperator/DefenderCSPMSecurityOperator.
  • Si habilita la extensión desde Defender for Containers, Defender for Cloud crea una identidad en el entorno denominado CloudPosture/securityOperator/DefenderForContainersSecurityOperator.
• Assign: Defender for Cloud asigna un rol integrado denominado Kubernetes Agentless Operator a esa identidad en el ámbito de la suscripción. El rol contiene los permisos siguientes:
  • Lectura AKS (Microsoft.ContainerService/managedClusters/read)
  • Acceso de confianza de AKS con los siguientes permisos:
    • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/write
    • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/read
    • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/delete Aprenda más sobre AKS Trusted Access.
• Discover: Mediante la identidad asignada por el sistema, Defender for Cloud detecta los clústeres de AKS en su entorno realizando llamadas API al servidor de API de AKS.
• Enlace: después de detectar un clúster AKS, Defender for Cloud realiza una operación de enlace AKS, por el que se crea un ClusterRoleBinding entre la identidad creada y el ClusterRoleaks:trustedaccessrole:defender-containers:microsoft-defender-operator de Kubernetes. El ClusterRole es visible a través de la API y proporciona permiso de lectura del plano de datos de Defender for Cloud dentro del clúster.

Componentes de arquitectura

Cuando Defender for Cloud protege un clúster hospedado en Elastic Kubernetes Service, recopila datos de registro de auditoría sin usar un agente. Para obtener la protección completa que ofrece Microsoft Defender para contenedores, necesita estos componentes:

• Kubernetes audit logs:AWS account's CloudWatch habilita y recopila datos de registro de auditoría a través de un recopilador sin agente y envía la información recopilada al back-end de Microsoft Defender para la nube para su posterior análisis.
• Kubernetes habilitado para Azure Arc: conecta los clústeres de EKS a Azure y permite a Defender for Cloud implementar componentes de seguridad como extensiones de Arc.
• Defender sensor: Un daemonSet ligero implementado en cada nodo que recopila telemetría en tiempo de ejecución (eventos de Kubernetes, procesos y datos de red) mediante eBPF para la protección contra amenazas en tiempo de ejecución. El sensor se registra con un área de trabajo de Log Analytics y actúa como una tubería de datos. Sin embargo, los datos del registro de auditoría no se almacenan en el área de trabajo de Log Analytics. El sensor de Defender se implementa como una extensión de Kubernetes habilitada para Arc.
• Azure Policy para Kubernetes: un pod que extiende el Gatekeeper v3 de código abierto y se registra como un webhook en el control de admisión de Kubernetes, lo que permite aplicar directivas de cumplimiento y medidas de seguridad en los clústeres a escala de una manera centralizada y coherente. El pod de Azure Policy para Kubernetes se implementa como una extensión de Kubernetes habilitada para Arc y solo debe instalarse en un nodo del clúster. Proporciona la opción de aplicar reglas de configuración.
• Integración de Amazon ECR: Evaluación de vulnerabilidades sin agente para imágenes de contenedor almacenadas en Amazon Elastic Container Registry (ECR). Las imágenes se examinan automáticamente cuando se insertan en el registro, lo que proporciona resultados de seguridad integrados en Defender for Cloud.

¿Cómo funciona la detección sin agente para Kubernetes en AWS?

El proceso de detección usa instantáneas tomadas a intervalos:

Al habilitar la extensión Detección sin agente para Kubernetes, se producirá el siguiente proceso:

• Crear:
  • Agregue el rol de Defender for Cloud MDCContainersAgentlessDiscoveryK8sRole al aws-auth ConfigMap de los clústeres EKS. Puede personalizar el nombre.
• Assign: Defender for Cloud asigna el rol MDCContainersAgentlessDiscoveryK8sRole los permisos siguientes:
  • eks:UpdateClusterConfig
  • eks:DescribeCluster
• Discover: Mediante la identidad asignada por el sistema, Defender for Cloud detecta los clústeres EKS en su entorno realizando llamadas API al servidor de API de EKS.

Componentes de arquitectura

Cuando Defender for Cloud protege un clúster hospedado en Google Kubernetes Engine, recopila datos de registro de auditoría sin usar un agente. Para obtener protección completa de Microsoft Defender para contenedores, necesita estos componentes:

• Kubernetes registros de auditoría:GCP Cloud Logging habilita y recopila datos de registro de auditoría a través de un recopilador sin agente y envía la información recopilada al back-end de Microsoft Defender para la nube para su posterior análisis.
• Azure Arc-enabled Kubernetes: Conecta los clústeres de GKE a Azure y permite a Defender for Cloud implementar componentes de seguridad como extensiones de Arc.
• Defender sensor: Un daemonSet ligero implementado en cada nodo que recopila telemetría en tiempo de ejecución (eventos de Kubernetes, procesos y datos de red) mediante eBPF para la protección contra amenazas en tiempo de ejecución. El sensor se registra con un área de trabajo de Log Analytics y actúa como una tubería de datos. Sin embargo, los datos del registro de auditoría no se almacenan en el área de trabajo de Log Analytics. El sensor de Defender se implementa como una extensión de Kubernetes habilitada para Arc.
• Azure Policy para Kubernetes: un pod que extiende el Gatekeeper v3 de código abierto y se registra como un webhook en el control de admisión de Kubernetes, lo que permite aplicar directivas de cumplimiento y medidas de seguridad en los clústeres a escala de una manera centralizada y coherente. El pod de Azure Policy para Kubernetes se implementa como una extensión de Kubernetes habilitada para Arc y solo debe instalarse en un nodo del clúster. Proporciona la opción de aplicar reglas de configuración.
• Integración del Registro de Google: Evaluación de vulnerabilidades sin agente para imágenes de contenedor almacenadas en Google Container Registry (GCR) y Google Artifact Registry (GAR). Las imágenes se examinan automáticamente cuando se insertan en los registros y se muestran vulnerabilidades de forma nativa en Defender for Cloud.

¿Cómo funciona la detección sin agente para Kubernetes en GCP?

El proceso de detección usa instantáneas tomadas a intervalos:

Al habilitar la extensión Detección sin agente para Kubernetes, se producirá el siguiente proceso:

• Crear:
  • Se crea la cuenta de servicio mdc-containers-k8s-operator. Puede personalizar el nombre.
• Assign: Defender for Cloud adjunta los siguientes roles a la cuenta de servicio mdc-containers-k8s-operator:
  • El rol personalizado MDCGkeClusterWriteRole, que tiene el permiso container.clusters.update
  • El rol integrado container.viewer
• Discover: Mediante la identidad asignada por el sistema, Defender for Cloud detecta los clústeres de GKE en su entorno realizando llamadas API al servidor de API de GKE.

Componentes de arquitectura

Para obtener protección completa de Microsoft Defender para contenedores, necesita estos componentes:

• Kubernetes habilitado para Azure Arc: conecta los clústeres de EKS a Azure y permite que Defender for Cloud pueda implementar componentes de seguridad como extensiones de Arc.
• Defender sensor: Un daemonSet ligero implementado en cada nodo que recopila datos de telemetría en tiempo de ejecución (eventos de Kubernetes, procesos y datos de red) mediante eBPF y registros de auditoría de Kubernetes para la protección contra amenazas en tiempo de ejecución. El sensor se registra con un área de trabajo de Log Analytics y actúa como una tubería de datos. Sin embargo, los datos del registro de auditoría no se almacenan en el área de trabajo de Log Analytics. Implemente el sensor de Defender como una extensión de Kubernetes habilitada para Arc.
• Azure Policy para Kubernetes: un pod que extiende el Gatekeeper v3 de código abierto y se registra como un webhook en el control de admisión de Kubernetes. Con este pod, puede aplicar medidas de cumplimiento y protecciones a gran escala en los clústeres de forma centralizada y coherente. Solo tiene que instalarlo en un nodo del clúster. Proporciona la opción de aplicar reglas de configuración. Obtenga más información sobre la protección de cargas de trabajo de Kubernetes y Azure Policy de Kubernetes.