클라우드의 Defender에서 Kubernetes 데이터 평면을 강화하도록 구성합니다.

Kubernetes 데이터 평면 강화는 권한 있는 컨테이너 제한, 리소스 제한 적용 및 네트워크 액세스 제한과 같이 클러스터에서 실행되는 워크로드에 대한 보안 구성을 적용하는 데 도움이 됩니다.

클라우드용 Microsoft Defender 데이터 평면 강화는 Kubernetes에 Azure Policy 사용하여 이러한 구성을 평가하고 적용하여 구현됩니다. Azure Policy 자동 프로비저닝을 사용하는 경우 컨테이너에 대한 Defender 일부로 배포됩니다.

Defender 컨테이너 계획 설정에서 Kubernetes에 대한 Azure Policy 해제된 경우 관련 권장 사항을 수정하여 배포할 수 있습니다. 사용하도록 설정하는 동안 자동 프로비저닝을 사용하지 않도록 설정하거나 특정 클러스터를 자동 프로비저닝에서 제외한 경우 Azure CLI 또는 Helm을 사용하여 Azure Policy 수동으로 배포할 수도 있습니다.

Kubernetes에 대한 Azure Policy 배포된 후 클라우드용 Defender 클러스터 구성에 따라 데이터 평면 강화 권장 사항을 생성합니다. 이 페이지에서는 이러한 권장 사항을 검토하고, 정책 매개 변수를 구성하고, 클러스터에 적용하는 방법을 보여 줍니다.

필수 조건

시작하려면 다음을 확인합니다.

• 사용자의 구독에서 Defender for Containers가 활성화되었습니다.

• Azure 정책에 대한 필수 FQDN/애플리케이션 규칙 추가했습니다.

• (AKS 클러스터가 아닌 경우) Kubernetes 클러스터는 Azure Arc 연결됩니다.

권장 사항을 수정하여 Kubernetes에 대한 Azure Policy 사용하도록 설정

Kubernetes에 대한 Azure Policy 배포되지 않았거나 컨테이너용 Defender 계획 설정에서 해제된 경우 클라우드용 Defender 관련 권장 사항을 수정하여 설치할 수 있습니다.

1. Azure 포털 로그인합니다.

2. 클라우드용 Microsoft Defender>권장 사항으로 이동합니다.

3. 관련 권장 사항을 검색합니다.

   • Azure: Azure Kubernetes Service 클러스터에는 Kubernetes용 Azure Policy 추가 기능이 설치되어 있어야 합니다.
   • GCP: GKE 클러스터에는 Azure Policy 확장이 설치되어 있어야 합니다.
   • AWS/Arc 지원 Kubernetes: Azure Arc 사용 가능한 Kubernetes 클러스터에는 Azure Policy 확장이 설치되어 있어야 합니다.

   Azure Kubernetes 서비스 클러스터 추천을 보여주는 스크린샷입니다.

4. 권장 사항을 선택합니다.

5. 작업 수행 탭에서 수정을 선택합니다.

   

6. 수정을 선택하여 선택한 리소스를 수정합니다.

7. 각 권장 사항에 대해 반복합니다.

데이터 평면 강화 권장 사항

Kubernetes용 Azure Policy 배포한 후 클라우드용 Defender 클러스터 구성을 평가하고 데이터 평면 강화 권장 사항을 생성합니다. 이 프로세스는 최대 30분이 걸릴 수 있습니다.

다음 표에서는 일반적인 데이터 평면 강화 권장 사항을 나열합니다.

클러스터에 대한 권장 사항 보기

특정 클러스터에 대한 데이터 평면 강화 권장 사항을 보려면 다음을 수행합니다.

1. Azure 포털 로그인합니다.

2. 클라우드용 Defender>벤토리로 이동합니다.

3. 리소스 종류 필터를 Kubernetes 서비스 로 설정하고 적용을 선택합니다.

   

4. 관련 클러스터를 선택합니다.

5. 사용 가능한 권장 사항을 검토합니다. 데이터 평면 강화 권장 사항은 영향을 받는 Kubernetes 구성 요소의 수를 보여 줍니다.

6. 영향을 받는 리소스를 보려면 권장 사항을 선택합니다.

   

7. 작업 수행 탭을 선택하여 수정 옵션을 검토합니다.

   

정책 매개 변수 구성

일부 권장 사항에는 매개 변수 구성이 유효해야 합니다. 예를 들어 신뢰할 수 있는 레지스트리에서 컨테이너 이미지를 배포해야 하는 권장 사항은 신뢰할 수 있는 레지스트리 목록을 정의하기만 하면 됩니다.

필수 매개 변수가 구성되지 않으면 리소스가 비정상으로 표시됩니다.

정책 매개 변수를 구성하려면 다음을 수행합니다.

1. Azure 포털 로그인합니다.

2. 클라우드용 Microsoft Defender> 환경 설정 이동합니다.

3. 관련 구독을 선택합니다.

4. 보안 정책을 선택합니다.

   

5. 표준 탭에서 관련 보안 표준을 선택합니다.

6. 관련 정책 할당의 3점 메뉴를 선택하고 효과 및 매개 변수 관리를 선택합니다.

   

7. 필요한 매개 변수 값을 업데이트합니다.

   

8. 저장을 선택합니다.

데이터 평면 강화 정책 적용

기본적으로 정책은 감사 모드에서 리소스를 평가합니다. 정책을 적용하려면 해당 효과를 거부로 설정합니다.

권장 사항을 적용하려면 다음을 수행합니다.

1. Azure 포털 로그인합니다.

2. 클라우드용 Microsoft Defender>권장 사항으로 이동합니다.

3. 관련 데이터 평면 강화 권장 사항을 검색하고 선택합니다.

4. 작업 수행 탭에서 거부를 선택합니다.

   

5. 범위를 설정합니다.

6. 거부하려면 [변경]을 선택합니다.

테스트 정책 적용

테스트 워크로드를 배포하여 데이터 평면 강화 정책의 유효성을 검사할 수 있습니다.

• 데이터 평면 강화 요구 사항을 충족하는 규정 준수 배포.
• 여러 정책을 위반하는 비규격 배포

다음 예제 YAML 파일을 배포하여 정책 적용 설정에 따라 규정 준수 워크로드가 성공적으로 배포되고 비규격 워크로드가 플래그가 지정되거나 차단되었는지 확인합니다.

규정 준수 배포 예제

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-healthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:
      labels:
        app: redis
      annotations:
        container.apparmor.security.beta.kubernetes.io/redis: runtime/default
    spec:
      containers:
      - name: redis
        image: <customer-registry>.azurecr.io/redis:latest
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: 100m
            memory: 250Mi
        securityContext:
          privileged: false
          readOnlyRootFilesystem: true
          allowPrivilegeEscalation: false
          runAsNonRoot: true
          runAsUser: 1000
---
apiVersion: v1
kind: Service
metadata:
  name: redis-healthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 80
    targetPort: 80

규정을 따르지 않는 배포의 예

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-unhealthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:      
      labels:
        app: redis
    spec:
      hostNetwork: true
      hostPID: true 
      hostIPC: true
      containers:
      - name: redis
        image: redis:latest
        ports:
        - containerPort: 9001
          hostPort: 9001
        securityContext:
          privileged: true
          readOnlyRootFilesystem: false
          allowPrivilegeEscalation: true
          runAsUser: 0
          capabilities:
            add:
              - NET_ADMIN
        volumeMounts:
        - mountPath: /test-pd
          name: test-volume
          readOnly: true
      volumes:
      - name: test-volume
        hostPath:
          # directory location on host
          path: /tmp
---
apiVersion: v1
kind: Service
metadata:
  name: redis-unhealthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 6001
    targetPort: 9001

관련 콘텐츠

• 클라우드용 Microsoft Defender에서 컨테이너용 Defender 활성화

• Azure CLI