Defender for Containers のアーキテクチャ

アーキテクチャ コンポーネント

Defender for Cloud Azure Kubernetes Serviceでホストされているクラスターを保護すると、追加のエージェントや構成を必要とせずに、Azureインフラストラクチャを通じて Kubernetes 監査ログ データをネイティブに収集します。 Microsoft Defender for Containers によって提供される完全な保護を取得するには、次のコンポーネントが必要です。

• Defender sensor:eBPF テクノロジを使用してランタイム テレメトリ (Kubernetes イベント、プロセス、ネットワーク データ) を収集する AKS ノードにデプロイされた軽量の DaemonSet。 ランタイムの脅威保護のために、テレメトリを Defender for Cloud に安全に送信します。 センサーは Log Analytics ワークスペースに登録され、データ パイプラインとして機能します。 ただし、監査ログ データは Log Analytics ワークスペースに保存されません。 Defender センサーは、AKS リソース プロバイダー (RP) にネイティブに統合された AKS セキュリティ プロファイルとしてデプロイされます。

• Kubernetes 用の Azure Policy: オープン ソース の Gatekeeper v3 を拡張し、Kubernetes アドミッション制御への Web フックとして登録するポッド。 このポッドを使用すると、クラスターに大規模な適用とセーフガードを一元的かつ一貫した方法で適用できます。 Azure Policy for Kubernetes ポッドは AKS アドオンとしてデプロイされ、クラスター内の 1 つのノードにのみインストールする必要があります。 構成規則を適用するオプションが用意されています。 Kubernetes の Kbernetes ワークロード保護 と Azure Policy について説明します。
• ACR 統合: Azure Container Registryのプッシュ によってトリガーされ、定期的なイメージ スキャンが行われ、追加のコンポーネントを必要とせずに脆弱性評価が提供されます。
• エージェントなしの検出: Azure ネイティブ機能を使用してクラスター構成を検出および評価することにより、エージェントを必要とせずに Kubernetes クラスターを可視化できます。
• マシンのエージェントレス スキャン: 帯域外のオペレーティング システム構成とファイル システムの詳細な分析のための Kubernetes ノードの定期的なディスク スナップショット。 この機能は、インストールされているエージェントやネットワーク接続を必要とせず、マシンのパフォーマンスにも影響しません。
• Microsoft XDR 統合: 統合されたセキュリティ運用とインシデント対応のために、Microsoftの拡張検出および対応プラットフォームと統合されます。

Defender センサー コンポーネントの詳細

* リソース制限を構成することはできません。 Kubernetes リソースの制限の詳細を確認します。

Azure での Kubernetes のエージェントレス検出のしくみ

検出プロセスでは、次の間隔で作成されたスナップショットが使用されます。

Kubernetes のエージェントレス検出拡張機能を有効にすると、次のプロセスが発生します。

• 作成：
  • Defender CSPM から拡張機能を有効にした場合、Defender for Cloud は CloudPosture/securityOperator/DefenderCSPMSecurityOperator という名前の ID を環境内に作成します。
  • Defender for Containers から拡張機能を有効にした場合、Defender for Cloud は CloudPosture/securityOperator/DefenderForContainersSecurityOperator という名前の ID を環境内に作成します。
• Assign: Defender for Cloud は、サブスクリプション スコープの ID に Kubernetes Agentless Operator という組み込みロールを割り当てます。 ロールには、次のアクセス許可が含まれています。
  • AKS 読み取り (Microsoft.ContainerService/managedClusters/read)
  • 次のアクセス許可を持つ AKS の信頼されたアクセス。
    • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/write
    • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/read
    • Microsoft.ContainerService/managedClusters/trustedAccessRoleBindings/delete AKS Trusted Access の詳細を確認します。
• Discover: システム割り当て ID を使用Defender for Cloud、AKS の API サーバーへの API 呼び出しを行って、環境内の AKS クラスターを検出します。
• Bind: AKS クラスターを検出した後、 Defender for Cloudは、作成された ID と Kubernetes ClusterRoleBindingClusterRole の間にを作成することで、AKS バインド操作を実行します。 ClusterRoleは API を通じて表示され、Defender for Cloud データ プレーンにクラスター内の読み取りアクセス許可が付与されます。

アーキテクチャ コンポーネント

Defender for Cloud は、Elastic Kubernetes Service でホストされているクラスターを保護すると、エージェントを使用せずに監査ログ データを収集します。 Microsoft Defender for Containers によって提供される完全な保護を取得するには、次のコンポーネントが必要です。

• Kubernetes 監査ログ:AWS アカウントの CloudWatch は、エージェントレス コレクターを介して監査ログ データを有効にして収集し、収集した情報を Microsoft Defender for Cloud バックエンドに送信して、さらに分析できるようにします。
• Azure Arc 対応 Kubernetes: EKS クラスターを Azure に接続し、Defender for Cloud がセキュリティ コンポーネントを Arc 拡張機能 として展開できるようにします。
• Defender sensor: ランタイム脅威保護のために eBPF テクノロジ を使用してランタイム テレメトリ (Kubernetes イベント、プロセス、ネットワーク データ) を収集する各ノードにデプロイされた軽量の DaemonSet。 センサーは Log Analytics ワークスペースに登録され、データ パイプラインとして機能します。 ただし、監査ログ データは Log Analytics ワークスペースに保存されません。 Defender センサーは、Arc 対応 Kubernetes 拡張機能としてデプロイされます。
• Azure Policy for Kubernetes: オープンソースの Gatekeeper v3 を拡張し、Kubernetes アドミッション コントロールに Web フックとして登録するポッド。これにより、クラスターに一元的かつ一貫した方法で大規模な強制適用と保護を実現できます。 Azure Policy for Kubernetes ポッドは、Arc 対応 Kubernetes 拡張機能としてデプロイされ、クラスター内の 1 つのノードにのみインストールする必要があります。 構成規則を適用するオプションが用意されています。
• Amazon ECR 統合: Amazon Elastic Container Registry (ECR) に格納されているコンテナー イメージのエージェントレス脆弱性評価。 イメージはレジストリにプッシュされると自動的にスキャンされ、Defender for Cloudに統合されたセキュリティ結果が提供されます。

AWS での Kubernetes のエージェントレス検出のしくみ

検出プロセスでは、次の間隔で作成されたスナップショットが使用されます。

Kubernetes のエージェントレス検出拡張機能を有効にすると、次のプロセスが発生します。

• 作成：
  • Defender for Cloud ロール MDCContainersAgentlessDiscoveryK8sRole を EKS クラスターの aws-auth ConfigMap に追加します。 名前はカスタマイズできます。
• Assign: Defender for Cloud は、MDCContainersAgentlessDiscoveryK8sRole ロールに次のアクセス許可を割り当てます。
  • eks:UpdateClusterConfig
  • eks:DescribeCluster
• Discover: システム割り当て ID を使用Defender for Cloud、EKS の API サーバーへの API 呼び出しを行って、環境内の EKS クラスターを検出します。

アーキテクチャ コンポーネント

Defender for Cloud が Google Kubernetes Engine でホストされているクラスターを保護すると、エージェントを使用せずに監査ログ データが収集されます。 Microsoft Defender for Containers から完全な保護を取得するには、次のコンポーネントが必要です。

• Kubernetes 監査ログ:GCP Cloud Logging は、エージェントレス コレクターを介して監査ログ データを有効にして収集し、収集した情報を Microsoft Defender for Cloud バックエンドに送信して詳細な分析を行います。
• Azure Arc 対応 Kubernetes: GKE クラスターをAzureに接続しDefender for CloudArc 拡張機能としてセキュリティ コンポーネントをデプロイできるようにします。
• Defender sensor: ランタイム脅威保護のために eBPF テクノロジ を使用してランタイム テレメトリ (Kubernetes イベント、プロセス、ネットワーク データ) を収集する各ノードにデプロイされた軽量の DaemonSet。 センサーは Log Analytics ワークスペースに登録され、データ パイプラインとして機能します。 ただし、監査ログ データは Log Analytics ワークスペースに保存されません。 Defender センサーは、Arc 対応 Kubernetes 拡張機能としてデプロイされます。
• Azure Policy for Kubernetes: オープンソースの Gatekeeper v3 を拡張し、Kubernetes アドミッション コントロールに Web フックとして登録するポッド。これにより、クラスターに一元的かつ一貫した方法で大規模な強制適用と保護を実現できます。 Azure Policy for Kubernetes ポッドは、Arc 対応 Kubernetes 拡張機能としてデプロイされ、クラスター内の 1 つのノードにのみインストールする必要があります。 構成規則を適用するオプションが用意されています。
• Google レジストリの統合: Google Container Registry (GCR) と Google Artifact Registry (GAR) に格納されているコンテナー イメージのエージェントレス脆弱性評価。 イメージはレジストリにプッシュされると自動的にスキャンされ、Defender for Cloudで脆弱性がネイティブに表示されます。

GCP での Kubernetes のエージェントレス検出のしくみ

検出プロセスでは、次の間隔で作成されたスナップショットが使用されます。

Kubernetes のエージェントレス検出拡張機能を有効にすると、次のプロセスが発生します。

• 作成：
  • サービス アカウント mdc-containers-k8s-operator が作成されます。 名前はカスタマイズできます。
• Assign: Defender for Cloud は、サービス アカウント mdc-containers-k8s-operator に次のロールをアタッチします。
  • MDCGkeClusterWriteRole アクセス許可を持つカスタム ロール container.clusters.update
  • 組み込みロール container.viewer
• Discover: システム割り当て ID を使用Defender for Cloud、GKE の API サーバーへの API 呼び出しを行って、環境内の GKE クラスターを検出します。

アーキテクチャ コンポーネント

Microsoft Defender for Containers から完全な保護を取得するには、次のコンポーネントが必要です。

• Azure Arc 対応 Kubernetes: クラスターを Azure に接続し、Defender for Cloud がセキュリティコンポーネントを Arc 拡張機能 としてデプロイします。
• Defender sensor: ランタイム脅威の防止のために eBPF テクノロジ および Kubernetes 監査ログを使用してランタイム テレメトリ (Kubernetes イベント、プロセス、ネットワーク データ) を収集する各ノードにデプロイされた軽量の DaemonSet。 センサーは Log Analytics ワークスペースに登録され、データ パイプラインとして機能します。 ただし、監査ログ データは Log Analytics ワークスペースに保存されません。 Defender センサーは、Arc 対応 Kubernetes 拡張機能としてデプロイします。
• Azure Policy for Kubernetes: オープン ソースの Gatekeeper v3 を拡張し、Kubernetes 受付管理への Web フックとして登録するポッド。 このポッドを使用すると、クラスターに大規模な適用とセーフガードを一元的かつ一貫した方法で適用できます。 クラスター内の 1 つのノードにのみインストールする必要があります。 構成規則を適用するオプションが用意されています。 Kubernetes の Kbernetes ワークロード保護 と Azure Policy について説明します。