Partager via

Matrice de prise en charge des conteneurs dans Defender pour le cloud

  • Article

Attention

Cet article fait référence à CentOS qui est une distribution Linux dont la fin de service est prévue pour le 30 juin 2024. Veuillez considérer votre utilisation et votre planification en conséquence. Pour plus d’informations, consultez l’aide relative à la fin de vie de CentOS.

Cet article résume les informations de prise en charge des capacités de conteneur dans Microsoft Defender pour le cloud.

Remarque

  • Des fonctionnalités spécifiques sont en préversion. Les conditions supplémentaires pour les préversions Azure incluent d’autres conditions juridiques qui s’appliquent aux fonctionnalités Azure en version bêta, en préversion ou qui ne sont pas encore en disponibilité générale.
  • Seules les versions d’AKS, EKS et GKE prises en charge par le fournisseur de cloud sont officiellement prises en charge par Defender pour le cloud.

Voici les fonctionnalités fournies par Defender pour conteneurs, pour les environnements cloud et les registres de conteneurs pris en charge.

Fonctionnalités d’évaluation des vulnérabilités (VA)

Fonctionnalité Description Ressources prises en charge État de mise en production Linux État de mise en production Windows Méthode d’activation Plans Disponibilité des nuages
Registre de conteneurs VA Évaluations des vulnérabilités pour les images dans les registres de conteneurs ACR GA GA Nécessite l’accès au Registre1 Defender pour conteneurs ou CSPM Defender Solutions cloud d'entreprise

Clouds nationaux : Azure Government, Azure géré par 21Vianet
Activation en volume du conteneur d’exécution Évaluations des vulnérabilités de l’exécution d’images conteneur Indépendant de la source du registre de conteneurs APERÇU
(Le conteneur avec des images ACR est en disponibilité générale)		 GA Nécessite une analyse sans agent pour les machines et l’accès à l’API K8S ou le capteur Defender1 Defender pour conteneurs ou CSPM Defender Clouds informatiques commerciaux

Clouds nationaux : Azure Government, Azure géré par 21Vianet

1Clouds nationaux sont automatiquement activés et ne peuvent pas être désactivés.

Prise en charge des registres et des images pour l’évaluation des vulnérabilités

Aspect Détails
Registres et images Pris en charge
* Images de conteneur au format Docker V2
* Images avec Spécification du format d’image Open Container Initiative (OCI)
Non pris en charge
* Les images super minimalistes telles que les images de base Docker ne sont actuellement pas prises en charge
* Référentiels publics
* Listes de manifestes
Systèmes d’exploitation Pris en charge
* Alpine Linux 3.12-3.21
* Red Hat Enterprise Linux 6-9
* CentOS 6-9 (CentOS a atteint la fin de service le 30 juin 2024). Pour plus d’informations, consultez l’aide sur la fin de vie de CentOS.)
* Oracle Linux 6-9
* Amazon Linux 1, 2
* openSUSE Leap, openSUSE Tumbleweed
* SUSE Enterprise Linux 11-15
* Debian GNU/Linux 7-12
* Google Distroless (basé sur Debian GNU/Linux 7-12)
* Ubuntu 12.04-22.04
* Fedora 31-37
* Azure Linux 1-2
* Windows server 2016, 2019, 2022
Packages spécifiques au langage

Pris en charge
* Python
* Node.js
* PHP
* Ruby
* Rust
* .NET
* Java
* Go

Fonctionnalités de protection du runtime

Fonctionnalité Description Ressources prises en charge État de sortie Linux État de mise en production Windows Méthode d’activation Plans Disponibilité du cloud
Détection du plan de contrôle Détection d’activités suspectes pour Kubernetes basée sur la piste d’audit Kubernetes AKS GA GA Activé avec le plan Defender pour conteneurs ou CSPM Defender Clouds commerciaux nationaux : Azure Government, Azure géré par 21Vianet
Détection de la charge de travail Surveille les charges de travail conteneurisées pour les menaces et fournit des alertes en cas d’activités suspectes AKS GA - Nécessite le capteur Defender Defender pour les conteneurs Clouds commerciaux et clouds nationaux : Azure Government, Azure géré par 21Vianet
Détection de dérive binaire Détecte le binaire du conteneur d’exécution à partir de l’image conteneur AKS GA GA Nécessite le capteur Defender Defender pour les conteneurs Clouds commerciaux
Repérage avancé en XDR Afficher les incidents et alertes de cluster dans Microsoft XDR AKS Aperçu - supporte actuellement les journaux d’audit et les événements de processus Préversion : prend actuellement en charge les journaux d’audit et les événements de processus Nécessite le capteur Defender Defender pour les conteneurs Clouds commerciaux et clouds nationaux : Azure Government, Azure géré par 21Vianet
Actions de réponse dans XDR Fournit une correction automatisée et manuelle dans Microsoft XDR AKS APERÇU Aperçu Nécessite le capteur Defender et l’API d’accès K8S Defender pour les conteneurs Clouds commerciaux et clouds nationaux : Azure Government, Azure géré par 21Vianet
Détection de programme malveillant Détection des programmes malveillants Nœuds AKS Préversion Aperçu Nécessite une analyse sans agent pour les machines Defender pour conteneurs ou Defender pour serveurs Plan 2 Clouds commerciaux

Distributions et configurations Kubernetes pour la protection contre les menaces d’exécution dans Azure

Aspect Détails
Distributions et configurations Kubernetes Pris en charge
* Azure Kubernetes Service (AKS) avec Kubernetes RBAC

Pris en charge via Kubernetes avec Arc12
* Azure Kubernetes Service hybride
* Kubernetes
* Moteur AKS
* Azure Red Hat OpenShift

1 Tous les clusters Kubernetes certifiés CNCF (Cloud Native Computing Foundation) doivent être pris en charge, mais seuls les clusters spécifiés ont été testés.

2 Pour faire bénéficier à vos environnements de la protection Microsoft Defender pour les conteneurs, vous devez intégrer Kubernetes avec Azure Arc et activer Defender pour les conteneurs en tant qu’extension Arc.

Remarque

Pour plus d’exigences concernant la protection des charges de travail Kubernetes, consultez les limitations existantes.

Fonctionnalités de gestion de la posture de sécurité

Fonctionnalité Description Ressources prises en charge État de mise en production Linux État de mise en production Windows Méthode d’activation Plans Disponibilité du cloud
Découverte sans agent pour Kubernetes1 Fournit la découverte sans empreinte basée sur l’API des clusters Kubernetes, leurs configurations et leurs déploiements. AKS GA GA Nécessite l’accès à l’API K8S Defender pour les conteneurs OU CSPM Defender Clouds commerciaux Azure
Fonctionnalités d’inventaire complètes Vous permet d’explorer les ressources, les pods, les services, les référentiels, les images et les configurations via l’Explorateur de sécurité pour surveiller et gérer facilement vos ressources. ACR, AKS GA GA Nécessite l’accès à l’API K8S Defender pour les conteneurs OU CSPM Defender Clouds commerciaux Azure
Analyse du chemin d’attaque Algorithme graphique qui analyse le graphique de sécurité du cloud. Les analyses révèlent les chemins exploitables par les attaquants pour pénétrer dans votre environnement. ACR, AKS GA GA Nécessite l’accès à l’API K8S Defender CSPM Clouds commerciaux Azure
Amélioration de la chasse aux risques Permet aux administrateurs de sécurité de rechercher activement des problèmes de posture dans leurs ressources conteneurisées via des requêtes (intégrées et personnalisées) et des insights de sécurité dans l’Explorateur de sécurité. ACR, AKS GA GA Nécessite l’accès à l’API K8S Defender pour les conteneurs OU CSPM Defender Clouds commerciaux Azure
Renforcement des plans de contrôle1 Évalue en permanence les configurations de vos clusters et les compare aux initiatives appliquées à vos abonnements. Lorsqu’il trouve des configurations incorrectes, Defender pour Cloud génère des recommandations de sécurité disponibles sur la page Recommandations de Defender pour cloud. Les recommandations vous permettent d’examiner et de corriger les problèmes. ACR, AKS GA GA Activé avec le plan Gratuit Clouds commerciaux

Clouds nationaux : Azure Government, Azure géré par 21Vianet
Renforcement de la charge de travail1 Protégez les charges de travail de vos conteneurs Kubernetes avec des recommandations de meilleures pratiques. AKS GA - Nécessite Azure Policy Gratuit Clouds commerciaux

Clouds nationaux : Azure Government, Azure géré par 21Vianet
CIS Azure Kubernetes Service Benchmark CIS Azure Kubernetes Service AKS GA - Assigné comme norme de sécurité Defender pour les conteneurs OU CSPM Defender Services cloud commerciaux

1 Cette fonctionnalité peut être activée pour un cluster individuel lors de l’activation de Defender pour les conteneurs au niveau de la ressource de cluster.

Fonctionnalités de protection de la chaîne d'approvisionnement des logiciels de conteneurs

Fonctionnalité Description Ressources prises en charge État de mise en production Linux État de version de Windows Méthode d’activation Plans Disponibilité du cloud
Déploiement à paliers Déploiement contrôlé d’images conteneur dans votre environnement Kubernetes AKS 1.32 ou version ultérieure Aperçu Aperçu Activé dans le cadre du plan Defender pour conteneurs ou CSPM Defender Clouds commerciaux nationaux : Azure Government, Azure géré par 21Vianet

Restrictions réseau

Aspect Détails
Prise en charge du proxy sortant Les proxys sortants sans authentification et les proxys sortants avec l’authentification de base sont pris en charge. Les proxys sortants qui attendent des certificats approuvés ne sont pas pris en charge actuellement.
Clusters avec restrictions IP Dans AWS, si des restrictions d’adresses IP du plan de contrôle sont activées dans votre cluster Kubernetes (consultez Contrôle d’accès au point de terminaison du cluster – Amazon EKS), la configuration des restrictions d’adresses IP du plan de contrôle est mise à jour pour inclure le bloc CIDR de Microsoft Defender for Cloud.

Systèmes d’exploitation hôtes pris en charge

Defender pour les conteneurs dépend du capteur Defender pour plusieurs fonctionnalités. Le capteur Defender est pris en charge uniquement avec le noyau Linux 5.4 et versions ultérieures, sur les systèmes d’exploitation hôtes suivants :

  • Amazon Linux 2
  • CentOS 8 (CentOS a atteint la fin de service le 30 juin 2024). Pour plus d’informations, consultez l’aide sur la fin de vie de CentOS.)
  • Debian 10
  • Debian 11
  • Système d’exploitation optimisé Google Container
  • Azure Linux 1.0
  • Azure Linux 2.0
  • Red Hat Enterprise Linux 8
  • Ubuntu 16.04
  • Ubuntu 18.04
  • Ubuntu 20.04
  • Ubuntu 22.04

Vérifiez que votre nœud Kubernetes s’exécute sur l’un de ces systèmes d’exploitation vérifiés. Les clusters avec des systèmes d’exploitation hôtes non pris en charge ne bénéficient pas des avantages des fonctionnalités reposant sur le capteur Defender.

Limitations du capteur Defender

Le capteur Defender dans AKS V1.28 et versions antérieures n’est pas pris en charge sur les nœuds ARM64.

Étapes suivantes