Политики реагирования

Развернуть всё | Свернуть всё

Политика реагирования определяет действия, которые решение выполняет при наступлении определенных событий, заданных в политике. Например, Kaspersky Container Security может уведомлять пользователя об обнаружении угроз.

Если вы хотите настроить политики реагирования для уведомления пользователя, вам нужно предварительно настроить интеграцию со средствами уведомления.

В разделе Политики → Реагирование в виде таблицы отображается список настроенных политик реагирования.

В списке вы можете выполнять следующие действия:

• Создавать новые политики. Окно ввода параметров политики открывается с помощью кнопки Создать политику реагирования над списком.

  Создание политики реагирования

  Для создания политики реагирования в Kaspersky Container Security требуются права на управление параметрами политики реагирования.

  Чтобы создать политику реагирования:

  1. В разделе Политики → Реагирование нажмите на кнопку Создать политику реагирования.

     Откроется окно ввода параметров политики.

  2. Введите название политики и, если требуется, ее описание.
  3. В поле Область применения из предложенных вариантов выберите область применения для политики реагирования.

     Если вы планируете реализовывать политику с глобальной областью применения, одной из ваших ролей должны быть предоставлены права на просмотр глобальных областей применения.

  4. В поле Триггер выберите из раскрывающегося списка событие, при наступлении которого во время проверки решение должно уведомлять пользователя. Событие-триггер может быть выявлено при сканировании узла или контейнеров. В качестве события-триггера может быть выбрано одно из следующих событий:
     • Конфиденциальные данные – Контейнеры. Уведомление направляется, если при сканировании решение обнаруживает в контейнерах признаки наличия конфиденциальных данных.
     • Не соответствует – Контейнеры. Kaspersky Container Security уведомляет вас, если в проверяемых контейнерах обнаружены образы, которые не соответствуют требованиям политик безопасности.
     • Критические уязвимости – Контейнеры. Уведомление направляется, если при сканировании в контейнерах обнаружены уязвимости со статусом Критический.
     • Критические уязвимости – Узел. Kaspersky Container Security уведомляет вас, если уязвимости со статусом Критический обнаружены при проверке узла.
     • Вредоносное ПО – Контейнеры. Уведомление направляется, если решение обнаруживает вредоносное ПО в результате сканирования образа контейнера.

       Если вредоносное ПО обнаруживается в работающем контейнере в результате применения политики среды выполнения, уведомление не направляется. Информация об обнаруженном вредоносном ПО отображается в разделе Исследование → События контейнеров.

     • Вредоносное ПО – Узел. Уведомление направляется, если вредоносное ПО обнаружено при обращении к файлу, в котором содержится вредоносный код.

       Если вы запускаете сканирование узла в разделе Ресурсы → Кластеры → Узлы, решение осуществляет поиск только по уязвимостям. Вредоносное ПО в рамках задачи сканирования узла не проверяется.

     • Окончание срока принятия риска – Контейнеры. Kaspersky Container Security направляет вам уведомление в следующих случаях:
       • решение определило, что до даты истечения срока принятия риска осталось пять дней;
       • срок действия периода принятия риска истек.
     • Агент отключен. Уведомление направляется, если один из агентов (kube-agent или node-agent) прекращает работать.
     • Ядро отключено. Уведомление направляется, если какой-либо компонент ядра прекращает работать.
  5. Настройте нужное количество способов уведомления:
     1. Выберите Средство уведомления: электронная почта или Telegram.
     2. В поле Название интеграции выберите из раскрывающегося списка название предварительно настроенной интеграции с выбранным средством уведомления.
     3. Чтобы добавить еще один способ уведомления, нажмите на кнопку Добавить и заполните открывшиеся поля, как описано в пунктах a и b.
     4. Если требуется вы можете удалять добавленные способы уведомления с помощью значка, расположенного справа от поля Название интеграции.
  6. Нажмите на кнопку Сохранить.

  По умолчанию политика создается в статусе Включено.

• Изменять параметры политики. Окно редактирования открывается по ссылке на названии политики.

  Изменение параметров политики реагирования

  Вы можете изменить параметры политики реагирования в Kaspersky Container Security, если вашей учетной записи назначена хотя бы одна роль, которая была у автора политики на момент ее создания.

  Чтобы изменить параметры политики реагирования:

  1. В разделе Политики → Реагирование нажмите на название политики в списке существующих политик реагирования.

     Откроется окно изменения параметров политики.

  2. При необходимости внесите изменения в интересующие вас параметры политики:
     • Измените название политики.
     • Добавьте или измените описание политики.
     • Добавьте или измените область применения политики.
     • Измените триггер-событие, выбрав его из раскрывающегося списка.
     • Добавьте средство уведомления, нажав на кнопку Добавить.
     • Удалите средство уведомления, нажав на значок удаления (), расположенный рядом со строкой выбранного средства уведомления.
  3. Нажмите Сохранить.

• Включать и выключать политики. Включение и выключение осуществляется с помощью переключателя Выключить / Включить в столбце Статус в таблице со списком созданных политик.

  Если вы выключите политику, Kaspersky Container Security не будет выполнять действия, указанные в такой политике.

• Осуществлять поиск политик. Чтобы найти политику, в поле поиска над списком политик реагирования нужно указать название политики или его часть.
• Удалять политики.

  Удаление политики реагирования

  Вы можете удалять политики безопасности, если вашей учетной записи назначена хотя бы одна роль, которая была у автора политики на момент ее создания. Кроме того, для удаления вам требуются права на управление соответствующими типами политик.

  Чтобы удалить политику безопасности:

  1. Откройте список настроенных политик.
  2. С помощью флажка выберите политику, которую вы хотите удалить.
  3. Нажмите на кнопку Удалить, расположенную над таблицей со списком политик.
  4. Подтвердите удаление в открывшемся окне.

  Если в результате ошибок конфигурации политики безопасности заблокировали работоспособность Kaspersky Container Security, и вы не можете управлять решением с помощью консоли управления, политики безопасности необходимо удалить вручную.

  Чтобы удалить политику безопасности вручную и восстановить работоспособность решения:

  1. Выполните команду удаления агентов kube-agent и node-agent в следующем формате:

     kubectl delete deployment kube-agent

     kubectl delete daemonset node-agent

  2. Удалите все пользовательские ресурсы (customer resources) в целевом кластере с помощью следующей команды:

     kubectl get crd -o name | grep 'kcssecurityprofiles.securityprobe.kcs.com' | xargs kubectl delete

  3. Перезапустите все поды Kaspersky Container Security и получите доступ к консоли управления.
  4. Внесите необходимые изменения в политики безопасности.
  5. Установите агентов с использованием инструкции в формате YAML.

В этой версии решения политики реагирования определяют только действия, которые Kaspersky Container Security выполняет для уведомления пользователя в случае наступления определенного события, заданного в политике. Например, в случае обнаружения какого-либо объекта с критической уязвимостью решение может отправлять уведомление пользователю на электронную почту.