Configurar o endurecimento do plano de dados do Kubernetes no Defender para a Cloud

O endurecimento do plano de dados Kubernetes ajuda a impor configurações seguras para cargas de trabalho a correr no seu cluster, como restringir containers privilegiados, impor limites de recursos e limitar o acesso à rede.

Em Microsoft Defender para a Cloud, o endurecimento do plano de dados é implementado usando Azure Policy para Kubernetes avaliar e aplicar estas configurações. O Azure Policy é implementado como parte do Defender for Containers quando o provisionamento automático está ativado.

Se a Azure Policy for Kubernetes estiver desativada nas definições do plano do Defender for Containers, pode implementá-la corrigindo a recomendação relevante. Também pode implementar Azure Policy manualmente usando CLI do Azure ou Helm se desativou o provisionamento automático durante a ativação ou excluiu clusters específicos do provisionamento automático.

Após a implementação do Azure Policy for Kubernetes, o Defender para a Cloud gera recomendações de reforço do plano de dados com base na configuração do seu cluster. Esta página mostra como rever estas recomendações, configurar parâmetros de políticas e aplicá-las aos seus clusters.

Pré-requisitos

Para começar, certifique-se de que:

• Defender para Containers está ativado na sua subscrição.

• Foram adicionadas as regras necessárias de FQDN/aplicação para a política do Azure.

• (Para clusters não AKS) O teu cluster Kubernetes está ligado a Azure Arc.

Ativar a Política do Azure para Kubernetes corrigindo recomendações

Se o Azure Policy for Kubernetes não estiver implementado ou desligado nas definições do plano Defender for Containers, pode instalá-lo corrigindo a recomendação relevante no Defender para a Cloud.

1. Inicie sessão no portal Azure.

2. Vá para Microsoft Defender para Nuvem>Recomendações.

3. Procure a recomendação relevante:

   • Azure: Os clusters do Azure Kubernetes Service devem ter o complemento Azure Policy para Kubernetes instalado.
   • GCP: Os clusters GKE devem ter a extensão Azure Policy instalada
   • Clusters Kubernetes habilitados pelo Azure Arc devem ter a extensão Azure Policy instalada.

   

4. Selecione uma recomendação.

5. No separador Tomar Ação , selecione Corrigir.

   

6. Selecione Corrigir para remediar os recursos selecionados.

7. Repita para cada recomendação.

Recomendações de fortalecimento do plano de dados

Depois de implementar o Azure Policy for Kubernetes, o Defender para a Cloud avalia a configuração do seu cluster e gera recomendações de endurecimento do plano de dados. Este processo pode demorar até 30 minutos a concluir.

A tabela seguinte lista recomendações comuns de endurecimento do plano de dados:

Consulte recomendações para um cluster

Para ver as recomendações de endurecimento do plano de dados para um cluster específico:

1. Inicie sessão no portal Azure.

2. Vai ao Defender para a Cloud>Inventory.

3. Defina o filtro de tipo de recurso para serviço Kubernetes e selecione Aplicar.

   

4. Selecione o cluster relevante.

5. Consulte as recomendações disponíveis. As recomendações de endurecimento do plano de dados mostram o número de componentes Kubernetes afetados.

6. Selecione uma recomendação para visualizar os recursos afetados.

   

7. Selecione o separador Agir para rever as opções de remediação.

   

Configurar parâmetros de política

Algumas recomendações exigem que a configuração dos parâmetros seja eficaz. Por exemplo, a recomendação Imagens de contentores apenas devem ser implementadas a partir de registos confiáveis requer que defina uma lista de registos confiáveis.

Se os parâmetros necessários não forem configurados, os recursos são mostrados como pouco saudáveis.

Para configurar parâmetros de política:

1. Inicie sessão no portal Azure.

2. Vai a Microsoft Defender para Cloud>Definições de ambiente.

3. Selecione a subscrição relevante.

4. Selecione Políticas de segurança.

   

5. No separador Padrões, selecione o padrão de segurança relevante.

6. Selecione o menu de 3 pontos da atribuição de políticas relevante e selecione Gerir efeito e parâmetros.

   

7. Atualize os valores dos parâmetros necessários.

   

8. Selecione Guardar.

Aplicar políticas de endurecimento do plano de dados

Por defeito, as políticas avaliam os recursos em modo de auditoria. Para fazer cumprir uma política, defina o seu efeito para Deny.

Para fazer cumprir uma recomendação:

1. Inicie sessão no portal Azure.

2. Vá para Microsoft Defender para Nuvem>Recomendações.

3. Pesquise e selecione a recomendação relevante de endurecimento de plano de dados.

4. No separador Tomar Ação , selecione Negar.

   

5. Defina o escopo.

6. Selecione Alterar para recusar.

Aplicação da política de testes

Pode validar políticas de endurecimento de planos de dados implementando cargas de trabalho de teste.

• Uma implementação compatível que cumpra os requisitos de fortalecimento do plano de dados
• Uma implementação não conforme que viola múltiplas políticas

Implemente os seguintes ficheiros YAML de exemplo para verificar se cargas de trabalho compatíveis são implementadas com sucesso e se cargas de trabalho não compatíveis são sinalizadas ou bloqueadas, dependendo das definições de aplicação de políticas.

Exemplo de implementação conforme

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-healthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:
      labels:
        app: redis
      annotations:
        container.apparmor.security.beta.kubernetes.io/redis: runtime/default
    spec:
      containers:
      - name: redis
        image: <customer-registry>.azurecr.io/redis:latest
        ports:
        - containerPort: 80
        resources:
          limits:
            cpu: 100m
            memory: 250Mi
        securityContext:
          privileged: false
          readOnlyRootFilesystem: true
          allowPrivilegeEscalation: false
          runAsNonRoot: true
          runAsUser: 1000
---
apiVersion: v1
kind: Service
metadata:
  name: redis-healthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 80
    targetPort: 80

Exemplo de implementação não conforme

apiVersion: apps/v1
kind: Deployment
metadata:
  name: redis-unhealthy-deployment
  labels:
    app: redis
spec:
  replicas: 3
  selector:
    matchLabels:
      app: redis
  template:
    metadata:      
      labels:
        app: redis
    spec:
      hostNetwork: true
      hostPID: true 
      hostIPC: true
      containers:
      - name: redis
        image: redis:latest
        ports:
        - containerPort: 9001
          hostPort: 9001
        securityContext:
          privileged: true
          readOnlyRootFilesystem: false
          allowPrivilegeEscalation: true
          runAsUser: 0
          capabilities:
            add:
              - NET_ADMIN
        volumeMounts:
        - mountPath: /test-pd
          name: test-volume
          readOnly: true
      volumes:
      - name: test-volume
        hostPath:
          # directory location on host
          path: /tmp
---
apiVersion: v1
kind: Service
metadata:
  name: redis-unhealthy-service
spec:
  type: LoadBalancer
  selector:
    app: redis
  ports:
  - port: 6001
    targetPort: 9001

Conteúdo relacionado

• Ativar Defender para contentores em Microsoft Defender para a Cloud

• Deploye Defender para componentes de Containers usando CLI do Azure