Работа с профилями среды выполнения контейнеров

Развернуть всё | Свернуть всё

При реализации политик среды выполнения Kaspersky Container Security может применять заданные вами правила мониторинга процессов и сети. Для этого в соответствующие политики среды выполнения требуется добавить профили среды выполнения, которые представляют собой списки ограничений для работы контейнеров. Профили образов задают параметры безопасного развертывания образов и безопасного поведения приложений, развернутых из образов. Осуществление действий, закрепленных в профилях, позволяет значительно снизить возможности злоумышленника при проникновении внутрь объекта и повысить уровень защиты при работе контейнеров в среде выполнения.

Ограничения в составе профиля среды выполнения описывают следующие параметры:

• Подлежащие блокировке исполняемые файлы.
• Сетевые ограничения на входящие и исходящие соединения.

Профили среды выполнения в политиках среды выполнения применяются в отношении образов, которые запущены в средах оркестрации с помощью объектов в составе кластера. Если контейнер запускается вне среды оркестрации (например, с помощью команды docker run или ctr run), решение не выявит вредоносное ПО в таком контейнере.

Решение не осуществляет автоматический поиск вредоносного ПО при сохранении объектов в контейнере. Мы рекомендуем вам обеспечить дополнительную защиту контейнеризированных файлов вне среды оркестрации.

Список настроенных профилей отображается в виде таблицы на вкладке Профили среды выполнения в разделе Политики → Среда выполнения. Для каждого профиля среды выполнения приводится следующая информация:

• Название и описание профиля среды выполнения.
• Примененные параметры профиля среды выполнения с указанием имеющихся исключений.
• Имя пользователя, создавшего профиль среды выполнения.

В разделе Политики → Среда выполнения → Профили среды выполнения вы можете выполнять следующие действия:

• Создавать новые профили среды выполнения контейнеров. Окно настройки профиля открывается с помощью кнопки Добавить профиль над списком.

  Создание профиля среды выполнения

  Чтобы создать профиль среды выполнения контейнера:

  1. В разделе Политики → Среда выполнения → Профили среды выполнения нажмите на кнопку Создать профиль.

     Откроется окно ввода параметров профиля.

  2. Введите название профиля среды выполнения и при необходимости его описание.
  3. В раскрывающемся списке Области применения выберите одну или несколько областей применения.

     Области применения в профилях среды исполнения используются для дальнейшего правильного использования профилей в политиках среды выполнения.

  4. В блоке Ограничение событий укажите значения следующих параметров:
     1. Процессы в контейнерах: с помощью переключателя Выключено / Включено активируйте возможность ограничивать работу исполняемых файлов в соответствии с правилами. В списке выберите вариант блокирования, который гарантирует оптимальную работу контейнера:
        • Блокировать запуск всех исполняемых файлов. При выборе этого варианта блокирования решение запретит запуск всех исполняемых файлов при работе контейнера.
        • Блокировать указанные исполняемые файлы. При выборе этого варианта решение заблокирует исполняемые файлы, которые вы укажете в поле Путь к исполняемым файлам или директориям. Вы можете указать исполняемые файлы (например, бинарные файлы) или директории для блокирования или исключения из блокирования.

          Правила указания пути к файлам и директориям

          Путь к исполняемым файлам и директориям указывается по следующим общим правилам:

          • Для записи пути используются допустимые в Unix или Kaspersky Container Security знаки и символы.
          • Используются следующие схемы для указания нормализованного пути к файлу или директории:

            /<папка1>/<папка2>/…/<папкаN-1>/<папкаN>

            /<папка1>/<папка2>/…/<папкаN-1>/<имя файла>

          Вы также можете указать директорию с помощью маски * (например, /bin/*), которая позволит распространить действие правила на всю указанную директорию и ее поддиректории. При использовании маски путь к исполняемым файлам и директориям указывается следующим общим образом:

          • С помощью маски-постфикса, которая указывается в конце пути и скрывает следующие за ней знаки и символы. Путь с маской указывается как <обычный путь без маски>*. Количество скрываемых символов: 0 и более.
          • С помощью маски-префикса, которая указывается в начале пути и скрывает идущие перед ней знаки и символы. Путь с маской указывается как *<обычный путь без маски>. Количество скрываемых символов: 0 и более.
          • В виде имени файла без указания абсолютного пути. При этом маска не указывается (она подразумевается), а <имя файла> преобразуется в путь с маской-префиксом */<имя файла>.

          Например, при использовании маски (*) для указания пути:

          • Если вы укажете *.exe, будут учитываться все файлы, которые заканчиваются на .exe.
          • Если вы укажете */example.exe, будут учитываться все файлы, которые заканчиваются на */example.exe.

          Для обозначения маски можно использовать только одну звездочку (*).

          Решение использует в отношении контейнера все указанные пути, считая их одинаково значимыми для правил и профилей в составе политик среды выполнения. Все определенные вами исключения распространяются на все профили, а не только на профиль, в котором они задаются.

          Вы можете указать исполняемый файлы таким образом, чтобы осуществлялась синхронная блокировка быстрых процессов в контейнерах.

          При работе с бинарным файлом busybox, который поставляется во многих базовых образах для контейнеров (например, в alpine), необходимо учитывать, что busybox содержит в себе набор команд для вызова приложений без явного указания вызываемых приложений. Например, команда ls используется для быстрого вызова исполняемого файла /bin/ls, который в свою очередь является символической ссылкой на /bin/busybox. В этом случае необходимо указывать путь до исполняемого файла следующим образом: /bin/busybox/ls (то есть требуется объединить оригинальный путь исполняемого файла /bin/busybox и его команды ls с помощью символа /).

          Если вы установите флажок Разрешить исключения, решение при запуске и работе контейнера заблокирует все исполняемые файлы, кроме указанных в поле Путь к исполняемым файлам или директориям.

          Если вы применяете Cilium CNI, при определении правил и исключений кроме CIDR и FQDN необходимо указывать правила Cilium CNI. Это позволит решению обрабатывать данные о сервисах Cilium и отличать их от CIDR, FQDN и остальных меток в едином поле ввода.
          Правила и исключения Cilium CNI применяются, если на узлах активирован режим работы с Cilium CNI (для объекта DaemonSet агента node-agent указано значение CILIUM_MODE=auto или CILIUM_MODE=true).

     2. Входящие сетевые соединения: с помощью переключателя Выключено / Включено активируйте возможность ограничивать входящие соединения контейнера. При включении этого ограничения Kaspersky Container Security будет блокировать все источники входящих соединений, кроме указанных вами в качестве исключений.

        Включенные параметры входящих сетевых соединений не применяются, если профиль указан в политике среды выполнения в режиме Аудит, которая запущена для кластера с Cilium CNI.

        Если вы установите флажок Разрешить исключения, то сможете указать параметры одного или нескольких разрешенных источников входящих сетевых соединений. Для определения исключений требуется указать хотя бы один из следующих параметров:

        • Источники. В поле Источники введите IP-адрес или диапазон IP-адресов источника входящего соединения в нотациях CIDR4 и CIDR6.
        • В поле TCP-порты и в поле UDP-порты укажите один или несколько портов для соединения.

          Если вы не укажете значения портов, то решение разрешит соединение по всем портам.

        • Репутация. С помощью кнопок выберите статусы репутации входящего соединения. Репутация может присваиваться на основе локального списка репутаций Kaspersky Container Security или вашего пользовательского списка репутаций.
     3. Исходящие сетевые соединения: с помощью переключателя Выключено / Включено активируйте возможность ограничивать исходящие соединения для указанных точек назначения.

        Включенные параметры исходящих сетевых соединений не применяются, если профиль указан в политике среды выполнения в режиме Аудит, которая запущена для кластера с Cilium CNI.

        Если вы установите флажок Разрешить исключения, то сможете указать параметры одной или нескольких разрешенных точек назначения исходящих сетевых соединений. Для определения исключений требуется указать хотя бы один из следующих параметров:

        • Точки назначения. В поле Точки назначения введите IP-адрес или диапазон IP-адресов точки назначения исходящего соединения в нотациях CIDR4 и CIDR6 или веб-адрес (URL) точки назначения.
        • В поле TCP-порты и в поле UDP-порты укажите один или несколько портов для соединения.

          Если вы не укажете значения портов, то решение разрешит соединение по всем портам.

        • Репутация. С помощью кнопок выберите статусы репутации исходящего соединения. Репутация может присваиваться на основе локального списка репутаций Kaspersky Container Security или вашего пользовательского списка репутаций.
     4. Угрозы безопасности, обнаруженные компонентом Защита от файловых угроз: с помощью переключателя Выключено / Включено активируйте компонент Защита от файловых угроз. Он используется для поиска и анализа потенциальных файловых угроз, а также обеспечивает безопасность контейнеризированных объектов, в том числе архивов и файлов электронной почты.

        Когда применяется профиль среды выполнения с включенным компонентом Защита от файловых угроз, Kaspersky Container Security активирует защиту от файловых угроз в реальном времени на всех узлах в составе областей применения, заданных для такой политики. Конфигурация разворачиваемых агентов зависит от настроек параметров, которые вы укажете для компонента Защита от файловых угроз. Вы можете настроить параметры защиты от файловых угроз, нажав на кнопку Параметры компонента Защита от файловых угроз на вкладке Профили среды выполнения в разделе Политики → Среда выполнения.

     5. Файловые операции: с помощью переключателя Выключено / Включено активируйте возможность мониторинга файловых операций в контейнере. Для этого укажите значения для следующих параметров:
        • Путь. Вам нужно указать один или несколько путей.

          Правила указания пути к файлам и директориям

          Путь к исполняемым файлам и директориям указывается по следующим общим правилам:

          • Для записи пути используются допустимые в Unix или Kaspersky Container Security знаки и символы.
          • Используются следующие схемы для указания нормализованного пути к файлу или директории:

            /<папка1>/<папка2>/…/<папкаN-1>/<папкаN>

            /<папка1>/<папка2>/…/<папкаN-1>/<имя файла>

          Вы также можете указать директорию с помощью маски * (например, /bin/*), которая позволит распространить действие правила на всю указанную директорию и ее поддиректории. При использовании маски путь к исполняемым файлам и директориям указывается следующим общим образом:

          • С помощью маски-постфикса, которая указывается в конце пути и скрывает следующие за ней знаки и символы. Путь с маской указывается как <обычный путь без маски>*. Количество скрываемых символов: 0 и более.
          • С помощью маски-префикса, которая указывается в начале пути и скрывает идущие перед ней знаки и символы. Путь с маской указывается как *<обычный путь без маски>. Количество скрываемых символов: 0 и более.
          • В виде имени файла без указания абсолютного пути. При этом маска не указывается (она подразумевается), а <имя файла> преобразуется в путь с маской-префиксом */<имя файла>.

          Например, при использовании маски (*) для указания пути:

          • Если вы укажете *.exe, будут учитываться все файлы, которые заканчиваются на .exe.
          • Если вы укажете */example.exe, будут учитываться все файлы, которые заканчиваются на */example.exe.

          Для обозначения маски можно использовать только одну звездочку (*).

          Решение использует в отношении контейнера все указанные пути, считая их одинаково значимыми для правил и профилей в составе политик среды выполнения.

        • При необходимости в поле Исключения вы можете указать пути к файлам, для которых не будет осуществляться мониторинг файловых операций.

          Определенные вами исключения распространяются на все профили, а не только на профиль, в котором они задаются. Например, если указанный как исключение путь к файлу задан в одном профиле, этот путь будет исключаться всегда вне зависимости от правил других профилей.

        • Тип операции. Вы можете указать файловые операции, которые решение будет отслеживать при применении политики среды выполнения. Для этого с помощью флажка выберите один, несколько или все типы операций в следующем списке:
          • Открытие – решение фиксирует все операции по открытию файлов.
          • Создание – решение регистрирует все операции по созданию файлов в указанных директориях.
          • Чтение – решение отслеживает операции по чтению файлов.
          • Запись – решение фиксирует информацию о сохранении изменений в файлах.
          • Переименование или перемещение – решение регистрирует операции, связанные с изменением имени файлов или перемещения файлов в другие папки.
          • Удаление – решение записывает информацию об удалении файлов или папок из указанных директорий.
          • Изменение прав доступа – решение фиксирует информацию об изменении прав доступа к файлам и директориям.
          • Изменение владельца файла – решение отслеживает операции, связанные с изменением владельца файла или папки в указанной директории.

        При необходимости добавьте правило для мониторинга файловых операций с помощью кнопки Добавить правило. Решение будет применять нескольких правил мониторинга файловых операций в рамках одной политики среды выполнения.

        Для файловых операций поддерживается только режим Аудит. Если в применимой политике среды выполнения установлен режим Блокирование, файловые операции осуществляются в режиме Аудит.

     6. Открытие портов: с помощью переключателя Выключено / Включено активируйте возможность мониторинга открытия портов контейнера. Решение выявляет привязку IP-адреса к порту и записывает эти события в списке событий контейнеров для анализа. Для этого выберите один из следующих параметров:
        • Мониторинг открытия указанных портов. Если вы выбираете это значение, в поле Порты вам нужно указать один или несколько портов, для которых будет осуществляться мониторинг открытия.

          Этот параметр выбран по умолчанию.

        • Мониторинг открытия всех портов, кроме указанных. Если вы выбираете это значение, в поле Порты вам нужно указать один или несколько портов, для которых мониторинг открытия проводиться не будет.
        • Мониторинг открытия всех портов. Решение будет осуществлять мониторинг открытия всех портов в контейнере.

        Для мониторинга открытия портов поддерживается только режим Аудит. Если в применимой политике среды выполнения установлен режим Блокирование, файловые операции осуществляются в режиме Аудит.

     По умолчанию переключатели Выключено / Включено у всех параметров выключены.

  5. Нажмите на кнопку Сохранить.

  Созданный профиль среды выполнения отображается в разделе Политики → Среда выполнения → Профили среды выполнения.

  Настройка синхронного блокирования быстрых процессов

  При запуске подов в контейнерах выполняются быстрые процессы, которые представляют собой, например, задачи, выполняемые с высокой частотой и скоростью, или реакции на изменение нагрузки. Вы можете настроить параметры блокирования исполняемых файлов таким образом, чтобы быстрые процессы в контейнерах блокировались синхронно в одно и то же время.

  Синхронное блокирование быстрых процессов можно настроить при создании или изменении профиля среды выполнения.

  Чтобы настроить синхронное блокирование в созданном профиле среды выполнения:

  1. В разделе Политики → Среда выполнения → Профили среды выполнения выберите профиль среды выполнения, нажав на его название в списке существующих профилей среды выполнения контейнеров.
  2. В открывшемся окне в блоке параметров Ограничение событий → Процессы в контейнерах выберите Блокировать указанные исполняемые файлы.
  3. В поле Путь к исполняемым файлам или директориям укажите пути к бинарным исполняемым файлам или директориям.

  Примеры настроенных профилей среды выполнения

  В таблице ниже приводятся некоторые часто используемые решением образы и параметры настроенных для них ограничений в профилях среды выполнения.

  Образы и настроенные в них параметры

  Название образа	Ограничение исполняемых модулей контейнера	Ограничение сетевых соединений
  Nginx	Разрешенный исполняемый файл: /usr/sbin/nginx	Запрет исходящих соединений
  Mysql	Разрешенные исполняемые файлы: /usr/bin/awk /bin/sleep /usr/bin/mawk /bin/mkdir /usr/bin/mysql /bin/chown /usr/bin/mysql_tzinfo_to_sql /bin/bash /bin/sed /usr/sbin/mysqld	Запрет исходящих соединений
  Wordpress	Разрешенные исполняемые файлы: /bin/dash /usr/bin/mawk /usr/bin/cut /bin/bash /usr/local/bin/php /usr/bin/head /usr/bin/sha1sum /bin/tar /bin/sed /bin/rm /usr/bin/awk /bin/sh /usr/sbin/apache2 /bin/chown /usr/local/bin/apache2-foreground /bin/ls /bin/cat
  Node	Разрешенный исполняемый файл: /usr/local/bin/node	Запрет исходящих соединений
  MongoDB	Разрешенные исполняемые файлы: /bin/chown /usr/local/bin/gosu /usr/bin/mongod /usr/bin/mongos /usr/bin/mongo /usr/bin/id /bin/bash /usr/bin/numactl /bin/dash /bin/sh
  HAProxy	Разрешенные исполняемые файлы: /bin/dash /usr/bin/which /usr/local/sbin/haproxy /bin/busyboxal/sbin/haproxy-systemd-wrapper /usr/loc
  Hipache	Разрешенные исполняемые файлы: /usr/bin/python2.7 /usr/bin/nodejs /usr/bin/redis-server /bin/dash /usr/local/bin/hipache
  Drupal	Разрешенные исполняемые файлы: /bin/bash /bin/rm /usr/sbin/apache2
  Redis	Разрешенные исполняемые файлы: /bin/bash /bin/chown /usr/local/bin/gosu /usr/bin/id /usr/local/bin/redis-server /bin/sh /bin/dash /sbin/redis-cli /bin/redis-cli /usr/sbin/redis-cli /usr/bin/redis-cli /usr/local/sbin/redis-cli /usr/local/bin/redis-cli /bin/busybox	Запрет исходящих соединений
  Tomcat	Разрешенные исполняемые файлы: /usr/bin/tty /bin/uname /usr/bin/dirname /usr/lib/jvm/java-7-openjdk-amd64/jre/bin/java /bin/dash /usr/lib/jvm/java-8-openjdk-amd64/jre/bin/java	Запрет исходящих соединений
  Celery	Разрешенные исполняемые файлы: /bin/dash /sbin/ldconfig /bin/uname /usr/local/bin/python3.4 /bin/sh

• Изменять параметры профиля, нажав на ссылку в названии профиля среды выполнения.

  Изменение параметров профиля среды выполнения

  В таблице ниже приводятся некоторые часто используемые решением образы и параметры настроенных для них ограничений в профилях среды выполнения.

  Образы и настроенные в них параметры

  Название образа	Ограничение исполняемых модулей контейнера	Ограничение сетевых соединений
  Nginx	Разрешенный исполняемый файл: /usr/sbin/nginx	Запрет исходящих соединений
  Mysql	Разрешенные исполняемые файлы: /usr/bin/awk /bin/sleep /usr/bin/mawk /bin/mkdir /usr/bin/mysql /bin/chown /usr/bin/mysql_tzinfo_to_sql /bin/bash /bin/sed /usr/sbin/mysqld	Запрет исходящих соединений
  Wordpress	Разрешенные исполняемые файлы: /bin/dash /usr/bin/mawk /usr/bin/cut /bin/bash /usr/local/bin/php /usr/bin/head /usr/bin/sha1sum /bin/tar /bin/sed /bin/rm /usr/bin/awk /bin/sh /usr/sbin/apache2 /bin/chown /usr/local/bin/apache2-foreground /bin/ls /bin/cat
  Node	Разрешенный исполняемый файл: /usr/local/bin/node	Запрет исходящих соединений
  MongoDB	Разрешенные исполняемые файлы: /bin/chown /usr/local/bin/gosu /usr/bin/mongod /usr/bin/mongos /usr/bin/mongo /usr/bin/id /bin/bash /usr/bin/numactl /bin/dash /bin/sh
  HAProxy	Разрешенные исполняемые файлы: /bin/dash /usr/bin/which /usr/local/sbin/haproxy /bin/busyboxal/sbin/haproxy-systemd-wrapper /usr/loc
  Hipache	Разрешенные исполняемые файлы: /usr/bin/python2.7 /usr/bin/nodejs /usr/bin/redis-server /bin/dash /usr/local/bin/hipache
  Drupal	Разрешенные исполняемые файлы: /bin/bash /bin/rm /usr/sbin/apache2
  Redis	Разрешенные исполняемые файлы: /bin/bash /bin/chown /usr/local/bin/gosu /usr/bin/id /usr/local/bin/redis-server /bin/sh /bin/dash /sbin/redis-cli /bin/redis-cli /usr/sbin/redis-cli /usr/bin/redis-cli /usr/local/sbin/redis-cli /usr/local/bin/redis-cli /bin/busybox	Запрет исходящих соединений
  Tomcat	Разрешенные исполняемые файлы: /usr/bin/tty /bin/uname /usr/bin/dirname /usr/lib/jvm/java-7-openjdk-amd64/jre/bin/java /bin/dash /usr/lib/jvm/java-8-openjdk-amd64/jre/bin/java	Запрет исходящих соединений
  Celery	Разрешенные исполняемые файлы: /bin/dash /sbin/ldconfig /bin/uname /usr/local/bin/python3.4 /bin/sh

• Определять сетевую репутацию для входящих и исходящих соединений.
• Настраивать параметры компонента Защита от файловых угроз.
• Просматривать список категорий сетевой репутации.
• Удалять профили среды выполнения.

  Удаление профиля среды выполнения

  Чтобы удалить профиль среды выполнения контейнера:

  1. В таблице настроенных профилей среды выполнения в разделе Политики → Среда выполнения → Профили среды выполнения с помощью флажка выберите профиль среды выполнения, который вы хотите удалить.

     Вы можете выбрать один или несколько профилей среды выполнения.

  2. Нажмите на кнопку Удалить, расположенную над таблицей.
  3. Подтвердите удаление в открывшемся окне.

     Выбранный профиль среды выполнения будет удален из всех политик среды выполнения, с которыми он связан.