Arquitetura do Microsoft Defender para Contêineres

Diagrama de arquitetura dos clusters do Defender para Nuvem e do AKS

Quando o Defender para Nuvem protege um cluster hospedado no Serviço de Kubernetes do Azure, ele coleta dados de log de auditoria sem agente e automaticamente por meio da infraestrutura do Azure sem considerações adicionais de custo ou configuração. Para obter a proteção completa oferecida pelo Microsoft Defender para Contêineres, você precisa desses componentes:

• Sensor do Defender: um DaemonSet leve implantado em nós do AKS que coleta telemetria de runtime (eventos do Kubernetes, processos e dados de rede) usando a tecnologia eBPF. Ele envia a telemetria com segurança ao Defender para Nuvem para proteção contra ameaças em tempo de execução. O sensor é registrado em um workspace de Análise de Logs e atua como um pipeline de dados. No entanto, os dados de log de auditoria não são armazenados no workspace do Log Analytics. O sensor do Defender é implantado como um perfil de segurança do AKS, integrado nativamente no RP (Provedor de Recursos do AKS).

• Azure Policy para Kubernetes: um pod que estende o Gatekeeper v3 open-source e se registra como um web hook para o controle de admissão do Kubernetes. Com esse pod, você pode aplicar políticas e proteções em larga escala em seus clusters de maneira centralizada e consistente. O pod do Azure Policy para Kubernetes é implantado como um complemento do AKS e só é necessário instalá-lo em um nó do cluster. Ele fornece a opção de impor regras de configuração. Para obter mais informações, confira Proteger suas cargas de trabalho do Kubernetes e Entender o Azure Policy para clusters do Kubernetes.

• Integração do ACR: varredura de imagem periódica e ativada por push para o Registro de Contêiner do Azure, fornecendo avaliação de vulnerabilidade, sem a necessidade de componentes adicionais.

• Descoberta sem agente: fornece visibilidade dos clusters do Kubernetes sem a necessidade de agentes, usando recursos nativos do Azure para descobrir e avaliar as configurações do cluster.

• Verificação sem agente para computadores: instantâneos de disco periódico de nós do Kubernetes para uma análise profunda e fora de banda da configuração do sistema operacional e do sistema de arquivos. Esse recurso não precisa de agentes instalados ou conectividade de rede e não afeta o desempenho do computador.

• Integração do Microsoft XDR: integra-se perfeitamente à plataforma de detecção e resposta estendida da Microsoft para operações de segurança unificadas e resposta a incidentes.

Detalhes do componente de sensor do Defender

* Você não pode configurar limites de recursos. Saiba mais sobre os limites de recursos do Kubernetes.

Como funciona a descoberta sem agente para Kubernetes no Azure?

O processo de descoberta usa instantâneos feitos em intervalos:

Quando você ativa a descoberta sem agente da extensão do Kubernetes, ocorre o seguinte processo:

• Criar:

  • Se você habilitar a extensão do Defender CSPM, o Defender para Nuvem criará uma identidade em seu ambiente chamada CloudPosture/securityOperator/DefenderCSPMSecurityOperator.
  • Se você habilitar a extensão do Defender para Contêineres, o Defender para Nuvem criará uma identidade em seu ambiente chamada CloudPosture/securityOperator/DefenderForContainersSecurityOperator.

• Atribuir: o Defender para Nuvem atribui uma função interna chamada Operador Sem Agente do Kubernetes a essa identidade no escopo da assinatura. A função contém as seguintes permissões:

  • Leitura do AKS (Microsoft.ContainerService/managedClusters/read)
  • Acesso Confiável do AKS com as seguintes permissões:
  • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/write
  • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/read
  • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/delete

  Saiba mais sobre o Acesso Confiável do AKS.

• Descobrir: Usando a identidade atribuída pelo sistema, o Defender para Nuvem descobre os clusters do AKS em seu ambiente fazendo chamadas à API para o servidor de API do AKS.

• Vinculação: após a descoberta de um cluster do AKS, o Defender para Nuvem executa uma operação de vinculação ao AKS criando uma ClusterRoleBinding entre a identidade criada e a ClusterRoleaks:trustedaccessrole:defender-containers:microsoft-defender-operator do Kubernetes. Ele ClusterRole é visível por meio da API e fornece permissão de leitura do plano de dados do Defender para Nuvem dentro do cluster.

Diagrama de arquitetura do Defender para Nuvem e clusters do Kubernetes habilitados pelo Arc.

Para obter proteção total do Microsoft Defender para Contêineres, você precisa desses componentes:

• Kubernetes habilitado para Azure Arc – conecta seus clusters ao Azure e permite que o Defender para Nuvem implante componentes de segurança como extensões do Arc.

• Sensor do Defender: um DaemonSet leve implantado em cada nó que coleta telemetria de runtime (eventos, processos e dados de rede do Kubernetes) usando a tecnologia eBPF e logs de auditoria do Kubernetes para proteção contra ameaças em runtime. O sensor é registrado em um workspace de Análise de Logs e atua como um pipeline de dados. No entanto, os dados de log de auditoria não são armazenados no workspace do Log Analytics. Implante o sensor do Defender como uma extensão do Kubernetes habilitada para Arc.

• Azure Policy para Kubernetes: um pod que estende o Gatekeeper v3 open-source e se registra como um web hook para o controle de admissão do Kubernetes. Com este pod, você pode aplicar regras e proteções em larga escala em seus clusters de maneira centralizada e consistente. Você precisa apenas instalá-lo em um nó do cluster. Ele fornece a opção de impor regras de configuração. Para obter mais informações, confira Proteger suas cargas de trabalho do Kubernetes e Entender o Azure Policy para clusters do Kubernetes.

Diagrama de arquitetura dos clusters do Defender para Nuvem e do EKS

Quando o Defender para Nuvem protege um cluster hospedado no Serviço de Kubernetes Elástico, ele coleta dados de log de auditoria sem usar um agente. Para obter a proteção completa oferecida pelo Microsoft Defender para Contêineres, você precisa desses componentes:

• Logs de auditoria do Kubernetes – o CloudWatch da conta AWS habilita e coleta dados de log de auditoria por meio de um coletor sem agente e envia as informações coletadas para o back-end do Microsoft Defender para Nuvem para análise posterior.

• Kubernetes com Azure Arc habilitado – Conecta seus clusters EKS ao Azure e permite que o Defender para a Nuvem implante componentes de segurança como extensões do Azure Arc.

• Sensor do Defender: um DaemonSet leve implantado em cada nó que coleta telemetria de runtime (eventos, processos e dados de rede do Kubernetes) usando a tecnologia eBPF para proteção contra ameaças em runtime. O sensor é registrado em um workspace de Análise de Logs e atua como um pipeline de dados. No entanto, os dados de log de auditoria não são armazenados no workspace do Log Analytics. O sensor do Defender é implantado como uma extensão do Kubernetes habilitado para Arc.

• Azure Policy para Kubernetes: um pod que estende o Gatekeeper v3 open-source e se registra como um web hook para o controle de admissão do Kubernetes, possibilitando a aplicação de imposição em escala e proteções em seus clusters de maneira centralizada e consistente. O pod do Azure Policy para Kubernetes é implantado como uma extensão do Kubernetes habilitada para Arc e só precisa ser instalado em um nó no cluster. Ele fornece a opção de impor regras de configuração. Para obter mais informações, confira Proteger suas cargas de trabalho do Kubernetes e Entender o Azure Policy para clusters do Kubernetes.

Como funciona a descoberta sem agente do Kubernetes na AWS?

O processo de descoberta usa instantâneos feitos em intervalos:

Quando você ativa a descoberta sem agente da extensão do Kubernetes, ocorre o seguinte processo:

• Criar:

  • Adicione a função do Defender para Nuvem MDCContainersAgentlessDiscoveryK8sRole ao aws-auth ConfigMap dos clusters EKS. Você pode personalizar o nome.

• Atribuir: o Defender para Nuvem atribui à função MDCContainersAgentlessDiscoveryK8sRole as seguintes permissões:

  • eks:UpdateClusterConfig
  • eks:DescribeCluster

• Descobrir: Usando a identidade atribuída pelo sistema, o Defender para Nuvem descobre os clusters EKS em seu ambiente fazendo chamadas à API para o servidor de API do EKS.

Diagrama de arquitetura dos clusters do Defender para Nuvem e do GKE

Quando o Defender para Nuvem protege um cluster hospedado no Mecanismo de Kubernetes do Google, ele coleta dados de log de auditoria sem usar um agente. Para obter proteção total do Microsoft Defender para Contêineres, você precisa desses componentes:

• Logs de auditoria do Kubernetes – o Registro em Log da Nuvem do GCP habilita e coleta dados de log de auditoria por meio de um coletor sem agente e envia as informações coletadas para o back-end do Microsoft Defender para Nuvem para análise posterior.

• Kubernetes habilitado para Azure Arc – conecta seus clusters do GKE ao Azure e permite que o Defender para Nuvem implante componentes de segurança como extensões do Arc.

• Sensor do Defender: um DaemonSet leve implantado em cada nó que coleta telemetria de runtime (eventos, processos e dados de rede do Kubernetes) usando a tecnologia eBPF para proteção contra ameaças em runtime. O sensor é registrado em um workspace de Análise de Logs e atua como um pipeline de dados. No entanto, os dados de log de auditoria não são armazenados no workspace do Log Analytics. O sensor do Defender é implantado como uma extensão do Kubernetes habilitado para Arc.

• Azure Policy para Kubernetes: um pod que estende o Gatekeeper v3 open-source e se registra como um web hook para o controle de admissão do Kubernetes, possibilitando a aplicação de imposição em escala e proteções em seus clusters de maneira centralizada e consistente. O pod do Azure Policy para Kubernetes é implantado como uma extensão do Kubernetes habilitada para Arc e só precisa ser instalado em um nó no cluster. Ele fornece a opção de impor regras de configuração. Para obter mais informações, confira Proteger suas cargas de trabalho do Kubernetes e Entender o Azure Policy para clusters do Kubernetes.

Como funciona a descoberta sem agente para Kubernetes no GCP?

O processo de descoberta usa instantâneos feitos em intervalos:

Quando você ativa a descoberta sem agente da extensão do Kubernetes, ocorre o seguinte processo:

• Criar:

  • A conta de serviço mdc-containers-k8s-operator é criada. Você pode personalizar o nome.

• Atribuir: o Defender para Nuvem anexa as seguintes funções à conta de serviço mdc-containers-k8s-operator:

  • A função personalizada MDCGkeClusterWriteRole, que tem a permissão container.clusters.update
  • A função interna container.viewer

• Descobrir: Usando a identidade atribuída pelo sistema, o Defender para Nuvem descobre os clusters GKE em seu ambiente fazendo chamadas à API para o servidor de API do GKE.