Configurar el endurecimiento del plano de datos de Kubernetes en Defender for Cloud

La protección del plano de datos de Kubernetes ayuda a aplicar configuraciones seguras para cargas de trabajo que se ejecutan en el clúster, como restringir contenedores con privilegios, aplicar límites de recursos y limitar el acceso a la red.

En Microsoft Defender para la nube, la protección del plano de datos se implementa mediante Azure Policy para que Kubernetes evalúe y aplique estas configuraciones. Azure Policy se implementa como parte de Defender para contenedores cuando se habilita el aprovisionamiento automático.

Si la Azure Policy para Kubernetes está desactivada en la configuración del plan Defender for Containers, puede desplegarlo corrigiendo la recomendación pertinente. También puede implementar Azure Policy manualmente mediante CLI de Azure o Helm si deshabilita el aprovisionamiento automático durante la habilitación o excluye clústeres específicos del aprovisionamiento automático.

Después de implementar Azure Policy para Kubernetes, Defender for Cloud genera recomendaciones de protección del plano de datos en función de la configuración del clúster. En esta página se muestra cómo revisar estas recomendaciones, configurar parámetros de directiva y aplicarlas en los clústeres.

Requisitos previos

Para empezar, asegúrese de que:

• Defender for Containers está habilitado en la suscripción.

• Ha agregado las reglas requeridas de FQDN/aplicación para la política de Azure.

• (Para clústeres que no son de AKS) El clúster de Kubernetes está conectado a Azure Arc.

Habilitación de Azure Policy para Kubernetes mediante la corrección de recomendaciones

Si no se implementa Azure Policy para Kubernetes o se ha desactivado en la configuración del plan de Defender para contenedores, puede instalarlo mediante la corrección de la recomendación pertinente en Defender for Cloud.

1. Inicie sesión en el portal Azure.

2. Vaya a Microsoft Defender para la nube>Recommendations.

3. Busque la recomendación pertinente:

   • Azure: Los clústeres del servicio de Kubernetes de Azure deben tener instalado el complemento de Azure Policy para Kubernetes
   • GCP: los clústeres de GKE deben tener instalada la extensión Azure Policy
   • AWS/Arc-enabled Kubernetes: Los clústeres de Kubernetes habilitados por Azure Arc deben tener instalada la extensión Azure Policy.

   

4. Seleccione una recomendación.

5. En la pestaña Realizar acción , seleccione Corregir.

   

6. Seleccione Corregir para corregir los recursos seleccionados.

7. Repita para cada recomendación.

Recomendaciones de reforzamiento del plano de datos

Después de implementar Azure Policy para Kubernetes, Defender for Cloud evalúa la configuración del clúster y genera recomendaciones de protección del plano de datos. Este proceso puede tardar hasta 30 minutos.

En la tabla siguiente se enumeran las recomendaciones comunes de endurecimiento del plano de datos.

Visualización de recomendaciones para un clúster

Para ver las recomendaciones de endurecimiento del plano de datos para un clúster específico:

1. Inicie sesión en el portal Azure.

2. Vaya a Defender for Cloud>Inventory.

3. Establezca el filtro de tipo de recurso en El servicio Kubernetes y seleccione Aplicar.

   

4. Seleccione el clúster correspondiente.

5. Revise las recomendaciones disponibles. Las recomendaciones de fortalecimiento del plano de datos muestran el número de componentes de Kubernetes afectados.

6. Seleccione una recomendación para ver los recursos afectados.

   

7. Seleccione la pestaña Realizar acción para revisar las opciones de corrección.

   

Configuración de parámetros de directiva

Algunas recomendaciones requieren que la configuración de parámetros sea eficaz. Por ejemplo, la recomendación Las imágenes de contenedor deben ser implementadas solo desde registros de confianza requiere que defina una lista de registros de confianza.

Si los parámetros requeridos no están configurados, los recursos se muestran como no saludables.

Para configurar parámetros de directiva:

1. Inicie sesión en el portal Azure.

2. Vaya a Microsoft Defender para la nube>Configuración del entorno.

3. Seleccione la suscripción correspondiente.

4. Seleccione Directivas de seguridad.

   

5. En la pestaña Estándares , seleccione el estándar de seguridad correspondiente.

6. Seleccione el menú de 3 puntos de la asignación de directiva pertinente y seleccione Administrar efecto y parámetros.

   

7. Actualice los valores de parámetro necesarios.

   

8. Seleccione Guardar.

Aplicar políticas de endurecimiento del plano de datos

De forma predeterminada, las directivas evalúan los recursos en modo auditoría. Para aplicar una directiva, establezca su efecto en Denegar.

Para aplicar una recomendación:

1. Inicie sesión en el portal Azure.

2. Vaya a Microsoft Defender para la nube>Recommendations.

3. Busque y seleccione la recomendación de protección del plano de datos pertinente.

4. En la pestaña Realizar acción , seleccione Denegar.

   

5. Establezca el ámbito.

6. Seleccione Cambiar para denegar.

Aplicación de directivas de prueba

Puede validar las directivas de protección del plano de datos mediante la implementación de cargas de trabajo de prueba.

• Implementación compatible que cumple los requisitos de endurecimiento del plano de control de datos
• Una implementación no conforme que infringe varias directivas

Implemente los siguientes archivos YAML de ejemplo para comprobar que las cargas de trabajo compatibles se implementan correctamente y las cargas de trabajo no compatibles se marcan o bloquean, en función de la configuración de cumplimiento de directivas.

Ejemplo de implementación compatible

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-healthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:
      labels:
        app: redis
      annotations:
        container.apparmor.security.beta.kubernetes.io/redis: runtime/default
    spec:
      containers:
      - name: redis
        image: <customer-registry>.azurecr.io/redis:latest
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: 100m
            memory: 250Mi
        securityContext:
          privileged: false
          readOnlyRootFilesystem: true
          allowPrivilegeEscalation: false
          runAsNonRoot: true
          runAsUser: 1000
---
apiVersion: v1
kind: Service
metadata:
  name: redis-healthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 80
    targetPort: 80

Ejemplo de implementación no compatible

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-unhealthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:      
      labels:
        app: redis
    spec:
      hostNetwork: true
      hostPID: true 
      hostIPC: true
      containers:
      - name: redis
        image: redis:latest
        ports:
        - containerPort: 9001
          hostPort: 9001
        securityContext:
          privileged: true
          readOnlyRootFilesystem: false
          allowPrivilegeEscalation: true
          runAsUser: 0
          capabilities:
            add:
              - NET_ADMIN
        volumeMounts:
        - mountPath: /test-pd
          name: test-volume
          readOnly: true
      volumes:
      - name: test-volume
        hostPath:
          # directory location on host
          path: /tmp
---
apiVersion: v1
kind: Service
metadata:
  name: redis-unhealthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 6001
    targetPort: 9001

Contenido relacionado

• Habilitar Defender para Contenedores en Microsoft Defender para la Nube

• Deploy Defender for Containers componentes mediante CLI de Azure