Политики среды выполнения

Развернуть всё | Свернуть всё

Политика среды выполнения определяет действия, которые решение выполняет для мониторинга и контроля запуска контейнеров в среде исполнения в соответствии с политиками безопасности. Kaspersky Container Security осуществляет контроль на основе обнаруженных в образе угроз безопасности, уровня критичности этих угроз и наличия цифровых подписей.

Контейнеры в среде исполнения могут запускаться из проверенных и еще неизвестных решению образов.

На вкладке Политики в разделе Политики → Среда выполнения в виде таблицы отображается список настроенных политик проверки среды выполнения.

В списке вы можете выполнять следующие действия:

• Создавать новые политики. Окно ввода параметров политики открывается с помощью кнопки Создать политику среды выполнения и выбора типа политики среды выполнения. Для выбора доступны следующие типы политики: политика среды выполнения для контейнеров и политика среды выполнения для узлов.

  Создание политики среды выполнения для контейнеров

  Для создания политики среды выполнения в Kaspersky Container Security требуются права на управление параметрами политики среды выполнения.

  Чтобы создать политику среды выполнения для контейнеров:

  1. В разделе Политики → Среда выполнения выберите вкладку Политики.
  2. Нажмите на кнопку Создать политику среды выполнения и выберите Создать политику среды выполнения для контейнеров.

     Откроется окно ввода параметров политики среды выполнения для контейнеров.

  3. При необходимости с помощью переключателя Выключено / Включено установите статус политики. По умолчанию политика создается в статусе Включено.
  4. Введите название политики и, если требуется, ее описание.
  5. В раскрывающемся списке Область применения выберите область применения для политики среды выполнения. Поскольку политики среды выполнения используются только в отношении развернутых и/или запускаемых контейнеров, для выбора доступны области применения, содержащие ресурсы по кластерам.

     Области применения, содержащие только ресурсы по реестрам, не доступны для выбора. При необходимости вы можете определить конкретные образы и поды для создаваемой политики среды выполнения в блоке Профили среды выполнения контейнеров, как указано в пункте 8.

     При работе с Cilium CNI нужно учитывать, что сетевые правила Cilium CNI не поддерживают работу с областями применения, в состав которых входят пространства имен и образы.

     Если вы планируете реализовывать политику с глобальной областью применения, одной из ваших ролей должны быть предоставлены права на просмотр глобальных областей применения.

  6. В блоке Режим выберите один из следующих режимов применения политики:
     • Аудит. При сканировании в рамках этого режима осуществляется учет содержимого контейнеров.
     • Блокирование. В этом режиме решение блокирует все объекты, которые не соответствуют установленным в политике правилам и критериям.

     Если в области применения в отношении какого-либо объекта реализуются политика среды выполнения в режиме Аудит и политика среды выполнения в режиме Блокирование, все действия, указанные в политиках среды выполнения, применяются в режиме Блокирование.

  7. В блоке Профили среды выполнения контейнеров с помощью переключателя Выключено / Включено активируйте блокирование процессов внутри контейнеров и сетевых соединений для подов. Для этого выполните следующие действия:
     1. В раскрывающемся списке выберите признак для определения подов, к которым будут применены профили среды выполнения.
     2. В зависимости от выбранного признака выполните следующие действия:
        • Если вы выбрали Метки пода, введите ключ и значение метки пода.

          Вы можете добавить дополнительные метки для выбора подов, нажав на кнопку Добавить метку.

        • Если вы выбрали Шаблон URL образа, введите шаблон веб-адреса реестра образов.

          Если в кластере используются образы из внешнего реестра Docker Hub, решение воспринимает полный и сокращенный пути до образов равными по значению. Например, если вы указываете в кластере адрес образа контейнера docker.io/library/ubuntu:focal, решение будет считать равным ему значение ubuntu:focal.

          Вы можете добавить дополнительные веб-адреса для выбора подов, нажав на кнопку Добавить URL образа.

        • Если вы выбрали Хеш образа, введите контрольную сумму образа с использованием хеш-алгоритма SHA256. Вы можете указать контрольную сумму образа как с префиксом sha256, так и без него (например: sha256:ef957...eb43 или ef957...eb43).

          Вы можете добавить дополнительные контрольные суммы образов для выбора подов, нажав на кнопку Добавить хеш образа.

     3. В поле Профиль среды выполнения укажите один или несколько профилей среды выполнения, которые будут применяться к подам, соответствующим определенным вами признакам.
     4. При необходимости вы добавьте поды для сопоставления с помощью кнопки Добавить сопоставление подов. Поды с различными признаками или применяемыми профилями среды выполнения будут сопоставляться в рамках одной политики среды выполнения.
  8. В блоке Автопрофили контейнеров с помощью переключателя Выключено / Включено активируйте проверку контейнеров в указанной области применения с помощью автопрофилей, которые связаны с образами в этих контейнерах.

     Вы можете посмотреть все автопрофили, входящие в область применения, нажав на ссылку Показать автопрофили, входящие в область применения. В открывшейся боковой панели решение показывает таблицу со списком автопрофилей. Для каждого из автопрофилей отображается название, дата и время последнего изменения, а также связанный с автопрофилем образ.

  9. Нажмите на кнопку Сохранить.

  Создание политики среды выполнения для узлов

  Для создания политики среды выполнения в Kaspersky Container Security требуются права на управление параметрами политики среды выполнения.

  В версии 2.5 Kaspersky Container Security политики среды выполнения для узлов можно создавать только в режиме Аудит.

  Чтобы создать политику среды выполнения для узлов:

  1. В разделе Политики → Среда выполнения выберите вкладку Политики.
  2. Нажмите на кнопку Создать политику среды выполнения и выберите Создать политику среды выполнения для узлов.

     Откроется окно ввода параметров политики среды выполнения для узлов.

  3. При необходимости с помощью переключателя Выключено / Включено установите статус политики. По умолчанию политика создается в статусе Включено.
  4. Введите название политики и, если требуется, ее описание.
  5. В поле Область применения из предложенных вариантов выберите область применения для политики среды выполнения. Поскольку политики среды выполнения используются только в отношении развернутых и/или запускаемых контейнеров, для выбора доступны области применения, содержащие ресурсы по кластерам.

     Если вы планируете реализовывать политику с глобальной областью применения, одной из ваших ролей должны быть предоставлены права на просмотр глобальных областей применения.

  6. В блоке Жизненный цикл контейнера с помощью переключателя Выключено / Включено активируйте отслеживание операций с контейнерами на рабочих узлах. Такой мониторинг событий выполняется для выявления осуществляющихся в контейнере операций и обнаружения вредоносных объектов. Решение обнаруживает следующие типы операций с контейнерами:
     • Создание.
     • Запуск.
     • Остановка.
     • Удаление.
     • Приостановка.
     • Возобновление.

     По умолчанию активировано отслеживание всех типов операций. Если вы хотите отключить мониторинг какого-либо типа операции, нажмите на кнопку с названием этого типа операции.

  7. Нажмите на кнопку Сохранить.

• Изменять параметры политики. Окно редактирования открывается по ссылке на названии политики.

  Изменение параметров политики среды выполнения

  Вы можете изменить параметры политики среды выполнения в Kaspersky Container Security, если вашей учетной записи назначена хотя бы одна роль, которая была у автора политики на момент ее создания.

  Чтобы изменить параметры политики среды выполнения:

  1. В разделе Политики → Среда выполнения → Политики нажмите на название политики в списке существующих политик среды выполнения.

     Откроется окно изменения параметров политики.

  2. Измените статус и название политики.
  3. Добавьте или измените описание политики.
  4. Добавьте или удалите области применения.
  5. Выберите режим применения политики – Аудит или Блокирование.
  6. Внесите необходимые изменений в зависимости от типа политики среды выполнения:
     • Если вы вносите изменения в политику среды выполнения для контейнеров, внесите изменения в интересующие вас блоки политики:
       • Профили среды выполнения контейнеров.
       • Автопрофили контейнеров.
     • Если вы вносите изменения в политику среды выполнения для узлов, внесите изменения в параметры блока Жизненный цикл контейнеров.
  7. Нажмите на кнопку Сохранить.
• Включать и выключать политики. Включение и выключение осуществляется с помощью переключателя Выключить / Включить в столбце Статус в таблице со списком созданных политик.

  Если вы выключите политику, Kaspersky Container Security не будет выполнять действия, указанные в такой политике.

• Осуществлять поиск политик. Чтобы найти политику, в поле поиска над списком политик реагирования нужно указать название политики или его часть.
• Удалять политики.

  Удаление политики среды выполнения

  Вы можете удалять политики безопасности, если вашей учетной записи назначена хотя бы одна роль, которая была у автора политики на момент ее создания. Кроме того, для удаления вам требуются права на управление соответствующими типами политик.

  Чтобы удалить политику безопасности:

  1. Откройте список настроенных политик.
  2. С помощью флажка выберите политику, которую вы хотите удалить.
  3. Нажмите на кнопку Удалить, расположенную над таблицей со списком политик.
  4. Подтвердите удаление в открывшемся окне.

  Если в результате ошибок конфигурации политики безопасности заблокировали работоспособность Kaspersky Container Security, и вы не можете управлять решением с помощью консоли управления, политики безопасности необходимо удалить вручную.

  Чтобы удалить политику безопасности вручную и восстановить работоспособность решения:

  1. Выполните команду удаления агентов kube-agent и node-agent в следующем формате:

     kubectl delete deployment kube-agent

     kubectl delete daemonset node-agent

  2. Удалите все пользовательские ресурсы (customer resources) в целевом кластере с помощью следующей команды:

     kubectl get crd -o name | grep 'kcssecurityprofiles.securityprobe.kcs.com' | xargs kubectl delete

  3. Перезапустите все поды Kaspersky Container Security и получите доступ к консоли управления.
  4. Внесите необходимые изменения в политики безопасности.
  5. Установите агентов с использованием инструкции в формате YAML.

Для каждой политики в таблице приводятся следующие данные:

• Название политики среды выполнения.
• Статус политики: Выключено или Включено.
• Тип политики безопасности образов.
• Режим применения политики среды выполнения: Аудит или Блокирование.
• Параметры проверок, которые проводятся в рамках соответствующей политики.
• Имя пользователя, создавшего политику.

Для оптимальной работы политики среды выполнения требуется дополнить профилями среды выполнения для контейнеров, которые определяют правила и ограничения для работы контейнеров в среде выполнения.