云安全中心提供了容器K8s威脅檢測和容器防逃逸等容器安全能力,您可以通過開啟對應功能為您的容器運行環境提供安全防護。本文介紹容器防護設置支持的功能及如何設置相應功能。
容器K8s威脅檢測
容器K8s威脅檢測能力支持實時檢測正在運行的容器集群安全狀態,及時發現容器集群中的安全隱患和黑客入侵行為。開啟容器K8s威脅檢測能力后,云安全中心將為您開啟容器集群異常類型告警的檢測。云安全中心支持的檢測項詳情,請參見容器K8s威脅檢測項。
版本限制
僅云安全中心的旗艦版支持該功能,其他版本不支持。購買和升級云安全中心服務的具體操作,請參見購買云安全中心和升級與降配。
開啟容器K8s威脅檢測
登錄云安全中心控制臺。在控制臺左上角,選擇需防護資產所在的區域:中國或全球(不含中國)。
在左側導航欄,選擇 。
在設置頁簽容器防護設置子頁簽的容器K8s威脅檢測區域,打開威脅檢測開關。
容器K8s威脅檢測項
類型 | 檢測項 |
容器集群異常 | K8s API Server執行異常指令 |
Pod異常目錄掛載 | |
K8s Service Account橫向移動 | |
惡意鏡像Pod啟動 | |
異常網絡連接 | 反彈Shell網絡外連 |
可疑網絡外連 | |
疑似內網橫向移動 | |
惡意軟件 | DDoS木馬 |
可疑礦機通信 | |
可疑程序 | |
可疑端口爆破掃描工具 | |
可疑黑客程序 | |
后門程序 | |
惡意漏洞掃描工具 | |
惡意程序 | |
挖礦程序 | |
木馬程序 | |
自變異木馬 | |
蠕蟲病毒 | |
網站后門 | WebShell |
進程異常行為 | Apache-CouchDB執行異常指令 |
FTP應用執行異常指令 | |
Hadoop執行異常指令 | |
Java應用執行異常指令 | |
Jenkins執行異常指令 | |
Linux異常賬號創建 | |
Linux計劃任務執行異常指令 | |
MySQL執行異常指令 | |
Oracle執行異常指令 | |
PostgreSQL應用執行異常指令 | |
Python應用執行異常指令 | |
SSH遠程非交互式一句話異常指令執行 | |
WebShell執行可疑探測指令 | |
Windows-3389-RDP配置被修改 | |
Windows異常下載指令 | |
Windows異常賬號創建 | |
crontab計劃任務被寫入惡意代碼 | |
Linux可疑命令序列 | |
Linux可疑命令執行 | |
動態植入可疑腳本文件 | |
反彈Shell | |
反彈Shell命令 | |
可疑HTTP隧道信息泄露 | |
可疑SSH Tunnel端口轉發隧道 | |
可疑WebShell寫入行為 | |
可疑特權容器啟動 | |
可疑端口監聽異常進程 | |
啟動惡意容器 | |
存在風險的Docker遠程調試接口 | |
異常操作指令 | |
容器內部提權或逃逸 | |
啟動惡意容器 |
容器防逃逸
容器防逃逸從進程、文件、系統調用等多種維度檢測高風險行為,在容器與宿主機之間建立防護屏障,有效阻斷逃逸行為保障容器運行時安全。該功能可防御已知和未知的攻擊模式,攔截攻擊者利用容器漏洞逃逸到宿主服務器上的攻擊。
前提條件
已開啟惡意主機行為防御或網站后門連接防御中的任一功能。具體操作,請參見主動防御。
開啟容器防逃逸
登錄云安全中心控制臺。在控制臺左上角,選擇需防護資產所在的區域:中國或全球(不含中國)。
在左側導航欄,選擇 。
在設置頁簽容器防護設置子頁簽的容器防逃逸區域,打開威脅檢測開關。