Sicherheitsrisikobewertungen für AWS mit Microsoft Defender Vulnerability Management

Die Sicherheitsrisikobewertung für AWS von Microsoft Defender Vulnerability Management ist eine sofort einsatzbereite Lösung, die es Sicherheitsteams ermöglicht, Sicherheitsrisiken in Linux-Containerimages ohne Konfiguration für das Onboarding und ohne Bereitstellung von Sensoren einfach zu erkennen und zu beheben.

In jedem Konto, bei dem die Aktivierung dieser Funktion abgeschlossen ist, werden alle in ECR gespeicherten Images, die die Kriterien für Scantrigger erfüllen, auf Sicherheitsrisiken ohne zusätzliche Konfiguration von Benutzer*innen oder Registrierungen überprüft. Empfehlungen mit Sicherheitsrisikoberichten werden für alle Images in ECR sowie für Images bereitgestellt, die derzeit in EKS ausgeführt werden und aus einer ECR-Registrierung abgerufen wurden oder einer anderen von Defender for Cloud unterstützten Registrierung (ACR, GCR oder GAR). Images werden kurz nach dem Hinzufügen zu einer Registrierung überprüft und alle 24 Stunden erneut auf neue Sicherheitsrisiken überprüft.

Die Containersicherheitsbewertung, unterstützt von Microsoft Defender Vulnerability Management, bietet die folgenden Funktionen:

• Überprüfen von Betriebssystempaketen: Mit der Containersicherheitsbewertung können vom Betriebssystempaket-Manager unter Linux und Windows-Betriebssystemen installierte Pakete auf Sicherheitsrisiken überprüft werden. Sehen Sie sich die vollständige Liste der unterstützten Betriebssysteme und Versionen an.

• Sprachspezifische Pakete: nur Linux – Unterstützung für ohne den Betriebssystempaket-Manager installierte oder kopierte sprachspezifische Pakete und Dateien sowie deren Abhängigkeiten. Sehen Sie sich die vollständige Liste der unterstützten Sprachen an.

• Informationen zur Ausnutzbarkeit: Jeder Sicherheitsrisikobericht wird durch Datenbanken zur Ausnutzbarkeit durchsucht, um unsere Kunden bei der Ermittlung des tatsächlichen Risikos zu unterstützen, das mit den einzelnen gemeldeten Sicherheitsrisiken verbunden ist.

• Berichterstellung: Die Sicherheitsrisikobewertung von Containern für AWS von Microsoft Defender Vulnerability Management stellt Sicherheitsrisikoberichte mit den folgenden Empfehlungen bereit:

Dies sind die neuen Vorschauempfehlungen, die Sicherheitsrisiken in Runtimecontainern und Registrierungsimages melden. Diese neuen Empfehlungen zählen nicht zur Sicherheitsbewertung während der Vorschau. Die Scan-Engine für diese neuen Empfehlungen ist identisch mit den aktuellen allgemein verfügbaren Empfehlungen und liefert die gleichen Ergebnisse. Diese Empfehlungen eignen sich am besten für Kunden, die die neue risikobasierte Ansicht für Empfehlungen verwenden und den Defender CSPM-Plan aktiviert haben.

Diese aktuellen allgemein verfügbaren Empfehlungen berichten über Sicherheitsrisiken in Containern, die in einem Kubernetes-Cluster enthalten sind, und auf Containerimages, die in einer Containerregistrierung enthalten sind. Diese Empfehlungen eignen sich am besten für Kunden, die die klassische Ansicht für Empfehlungen verwenden und keinen Defender CSPM-Plan aktiviert haben.

• Abfragen von Informationen zu Sicherheitsrisiken über Azure-Resource Graph: Möglichkeit, Informationen zu Sicherheitsrisiken über Azure-Resource Graph abzufragen. Erfahren Sie, wie Sie Empfehlungen über ARG abfragen.

• Abfragen von Scanergebnissen über die REST-API – Erfahren Sie, wie Sie Scanergebnisse über die REST-API abfragen.

Auslöser überprüfen

Die Trigger für eine Imageüberprüfung sind:

• Einmaliges Auslösen:

  • Jedes Image, das an eine Containerregistrierung übertragen wird, wird ausgelöst, um gescannt zu werden. In den meisten Fällen wird der Scan innerhalb weniger Stunden abgeschlossen, aber in seltenen Fällen kann es bis zu 24 Stunden dauern.
  • Jedes Image, das aus einer Registrierung abgerufen wird, wird ausgelöst, um innerhalb von 24 Stunden gescannt zu werden.

• Auslösung fortlaufender erneuter Überprüfungen – Fortlaufende erneute Überprüfungen sind erforderlich, um sicherzustellen, dass Images, die zuvor auf Sicherheitsrisiken überprüft wurden, bei Veröffentlichung eines neuen Sicherheitsrisikos erneut überprüft werden, um die Sicherheitsrisikoberichte zu aktualisieren.

  • Die erneute Überprüfungen erfolgen für folgende Elemente einmal täglich:
    • Images, die in den letzten 90 Tagen per Push übertragen wurden.
    • Bilder , die in den letzten 30 Tagenabgerufen wurden.
    • Images, die derzeit auf den von Defender for Cloud überwachten Kubernetes-Clustern ausgeführt werden (entweder über Ermittlung ohne Agent für Kubernetes oder den Defender-Sensor).

Wie funktioniert die Imageüberprüfung?

Eine detaillierte Beschreibung des Scan-Vorgangs wird folgendermaßen beschrieben:

• Wenn Sie die Bewertung der Sicherheitsanfälligkeit in Containern für AWS von Microsoft Defender Vulnerability Management aktivieren, autorisieren Sie Defender for Cloud, Containerimages in Ihren Elastic Container-Registrierungen zu überprüfen.

• Defender for Cloud ermittelt automatisch alle Containerregistrierungen, Repositorys und Images (die vor oder nach der Aktivierung dieser Fähigkeit erstellt wurden).

• Einmal täglich und für neue Images, die an eine Registrierung übertragen wurden:

  • Alle neu entdeckten Images werden abgerufen, und für jedes Image wird ein Inventar erstellt. Der Imagebestand wird beibehalten, um weitere Imageabrufe zu vermeiden, sofern die neue Scannerfunktionen dies nicht erforderlich macht.
  • Anhand des Bestands werden Sicherheitsrisikoberichte für neue Images generiert und für bereits gescannte Images aktualisiert, die entweder in den letzten 90 Tagen in eine Registrierung übertragen wurden oder derzeit ausgeführt werden. Um festzustellen, ob ein Image derzeit ausgeführt wird, verwendet Defender for Cloud sowohl die Agentlose Ermittlung für Kubernetes als auch Inventar, das über den Defender-Sensor gesammelt wird, der auf EKS-Knoten ausgeführt wird.
  • Sicherheitsrisikoberichte für Registrierungscontainerimages werden als Empfehlung bereitgestellt.

• Für Kund*innen, die entweder die Ermittlung ohne Agents für Kubernetes oder über den Defender-Sensor gesammelten Bestand auf EKS-Knoten verwenden, erstellt Defender for Cloud auch eine Empfehlung zur Behebung von Sicherheitsrisiken für anfällige Images, die in einem EKS-Cluster ausgeführt werden. Für Kunden, die nur Agentless Discovery für Kubernetes verwenden, beträgt die Aktualisierungszeit für den Bestand in dieser Empfehlung einmal alle 7 Stunden. Cluster, die auch den Defender-Sensor ausführen, profitieren von einer zweistündigen Bestandsaktualisierungsrate. Die Ergebnisse der Bildscans werden basierend auf der Registrierungsüberprüfung in beiden Fällen aktualisiert und daher nur alle 24 Stunden aktualisiert.

Wenn ich ein Image aus meiner Registrierung entferne, wie lange dauert es dann, bis die Berichte über Sicherheitsrisiken für dieses Image entfernt sind?

Es dauert 30 Stunden, nachdem ein Image aus ECR gelöscht wurde, bevor die Berichte entfernt werden.

Nächste Schritte

• Weitere Informationen zu den Defender-Plänen für Microsoft Defender for Cloud.
• Sehen Sie sich häufige Fragen zu Defender for Containers an.