Microsoft Defender para contenedores

Artículo
07/19/2022
Tiempo de lectura: 31 minutos

Microsoft Defender para contenedores es la solución nativa de nube para proteger sus contenedores.

Defender para contenedores protege los clústeres al margen de si se ejecutan en los siguientes entornos:

Azure Kubernetes Service (AKS): servicio administrado por Microsoft para desarrollar, implementar y administrar aplicaciones contenedorizadas.
Amazon Elastic Kubernetes Service (EKS) en una cuenta de Amazon Web Services (AWS) conectada: el servicio administrado de Amazon para ejecutar Kubernetes en AWS sin necesidad de instalar, operar y mantener sus propios nodos o plano de control de Kubernetes.
Google Kubernetes Engine (GKE) en un proyecto de Google Cloud Platform (GCP) conectado: el entorno administrado de Google para implementar, administrar y escalar aplicaciones mediante la infraestructura de GCP.
Otra distribución de Kubernetes (mediante Kubernetes habilitado para Azure Arc): clústeres de Kubernetes certificados de Cloud Native Computing Foundation (CNCF) hospedados localmente o en IaaS. Para más información, consulte la sección Local/IaaS (Arc) de Características admitidas por entorno.

Obtenga información sobre este plan en Información general de Microsoft Defender para contenedores.

Para obtener más información, vea estos vídeos en la serie de vídeos del ámbito de Defender for Cloud:

Nota

La compatibilidad de Defender para contenedores con clústeres de Kubernetes habilitados para Arc, AWS EKS y GCP GKE. Esta es una característica en vista previa.

En la página Términos de uso complementarios para las Versiones preliminares de Microsoft Azure se incluyen términos legales adicionales que se aplican a las características de Azure que se encuentran en versión beta, versión preliminar o que todavía no se han publicado para su disponibilidad general.

Requisitos de red

Valide que los siguientes puntos de conexión estén configurados para el acceso de salida, de modo que el perfil de Defender pueda conectarse a Microsoft Defender for Cloud para enviar eventos y datos de seguridad:

Consulte Reglas de aplicación o FQDN obligatorias para Microsoft Defender for Containers.

De forma predeterminada, los clústeres de AKS tienen acceso de salida a Internet ilimitado.

Requisitos de red

Valide que los siguientes puntos de conexión estén configurados para el acceso de salida, de modo que la extensión de Defender pueda conectarse a Microsoft Defender for Cloud para enviar eventos y datos de seguridad:

Para implementaciones de nube pública de Azure:

Domain	Port
*.ods.opinsights.azure.com	443
*.oms.opinsights.azure.com	443
login.microsoftonline.com	443

También deberá validar los requisitos de red de Kubernetes habilitado para Azure Arc.

Habilitación del plan

Para habilitar el plan:

En el menú de Defender for Cloud, abra la página Configuración del entorno y seleccione la suscripción correspondiente.
En la página planes de Defender,habilite Defender para contenedores.

Sugerencia

Si la suscripción ya tiene habilitado Defender para Kubernetes o Defender para registros de contenedor, se mostrará un aviso de actualización. De lo contrario, la única opción será Defender para contenedores.
De forma predeterminada, al habilitar el plan a través de Azure Portal, Microsoft Defender para contenedores está configurado para aprovisionar automáticamente (instalar automáticamente) los componentes necesarios para proporcionar las protecciones que ofrece el plan, incluida la asignación de un área de trabajo predeterminada.

Si desea deshabilitar el aprovisionamiento automático durante el proceso de incorporación, seleccione Editar configuración para el plan Contenedores. Se abrirán las opciones avanzadas, donde puede deshabilitar el aprovisionamiento automático para cada componente.

Además, esta configuración se puede modificar desde la página de planes de Defender o desde la página de aprovisionamiento automático de la fila de componentes de Microsoft Defender para contenedores:

Nota

Si decide deshabilitar el plan en cualquier momento después de habilitarlo si a través del portal, como se ha mostrado anteriormente, deberá quitar manualmente los componentes de Defender para contenedores implementados en los clústeres.

Puede asignar un área de trabajo personalizada a través de Azure Policy.
Si deshabilita el aprovisionamiento automático de cualquier componente, puede implementar fácilmente el componente en uno o varios clústeres mediante la recomendación adecuada:
- Complemento de directiva para Kubernetes: Los clústeres de Azure Kubernetes Service deben tener instalado el complemento Azure Policy para Kubernetes
- Perfil de Azure Kubernetes Service: Los clústeres de Azure Kubernetes Service deben tener habilitado el perfil de Defender
- Extensión de Kubernetes habilitada para Azure Arc: Los clústeres de Kubernetes habilitados para Azure Arc deben tener la extensión de Defender instalada
Nota

Microsoft Defender para Contenedores está configurado para defender todas sus nubes automáticamente. Al instalar todos los requisitos previos necesarios y habilitar todas las funcionalidades de aprovisionamiento automático.

Si decide deshabilitar todas las opciones de configuración disponibles, no se implementarán agentes ni componentes en los clústeres. La protección solo se limitará a las características sin agente. Obtenga información sobre qué características no tienen agente en la sección de disponibilidad de Defender para contenedores.

Implementación del perfil de Defender

Puede habilitar el plan de Defender para contenedores e implementar todos los componentes pertinentes desde Azure Portal, la API REST o una plantilla de Resource Manager. Para obtener instrucciones detalladas, seleccione la pestaña correspondiente.

Una vez implementado el perfil de Defender, se asignará automáticamente un área de trabajo predeterminada. Puede asignar un área de trabajo personalizada en lugar del área de trabajo predeterminada a través de Azure Policy.

Nota

El perfil de Defender se implementa en todos los nodos para proporcionar las protecciones en tiempo de ejecución y recopilar señales de esos nodos mediante la tecnología eBPF.

Uso del botón Corregir de la recomendación de Defender for Cloud

Un proceso simplificado y fluido permite usar las páginas de Azure Portal para habilitar el plan de Defender for Cloud y configurar el aprovisionamiento automático de todos los componentes necesarios para proteger los clústeres de Kubernetes a gran escala.

Una recomendación dedicada de Defender for Cloud proporciona lo siguiente:

Visibilidad sobre cuál de los clústeres tiene implementado el perfil de Defender
Botón Corregir para implementarlo en esos clústeres sin la extensión

En la página de recomendaciones de Microsoft Defender for Cloud, abra el control de seguridad Habilitar seguridad mejorada.
Use el filtro para buscar la recomendación denominada Azure Kubernetes Service clusters should have Defender profile enabled (Los clústeres de Azure Kubernetes Service deben tener habilitado el perfil de Defender).

Sugerencia

Observe el icono Corregir en la columna Acciones.
Seleccione los clústeres para ver los detalles de los recursos correctos e incorrectos; es decir, los clústeres con y sin el perfil.
En la lista de recursos incorrectos, seleccione un clúster y después Corregir para abrir el panel con la confirmación de corrección.
Seleccione Corregir [x] recursos.

Uso de la API REST para implementar el perfil de Defender

Para instalar "SecurityProfile" en un clúster existente con la API REST, ejecute el siguiente comando PUT:

PUT https://management.azure.com/subscriptions/{{Subscription Id}}/resourcegroups/{{Resource Group}}/providers/Microsoft.Kubernetes/connectedClusters/{{Cluster Name}}/providers/Microsoft.KubernetesConfiguration/extensions/microsoft.azuredefender.kubernetes?api-version=2020-07-01-preview

URI de solicitud: https://management.azure.com/subscriptions/{{SubscriptionId}}/resourcegroups/{{ResourceGroup}}/providers/Microsoft.ContainerService/managedClusters/{{ClusterName}}?api-version={{ApiVersion}}

Parámetros de consulta de solicitud adicionales:

Nombre	Descripción	Mandatory
SubscriptionId	Identificador de suscripción del clúster	Yes
ResourceGroup	Grupo de recursos del clúster	Yes
ClusterName	Nombre del clúster	Yes
ApiVersion	La versión de API debe ser >= 2022-06-01	Yes

Cuerpo de la solicitud:

{
  "location": "{{Location}}",
  "properties": {
    "securityProfile": {
            "defender": {
                "logAnalyticsWorkspaceResourceId": "{{LAWorkspaceResourceId}}",
                "securityMonitoring": {
                    "enabled": true,
                }
            }
        }
    }
}

Parámetros del cuerpo de la solicitud:

Nombre	Descripción	Mandatory
ubicación	Ubicación del clúster	Sí
properties.securityProfile.defender.securityMonitoring.enabled	Determina si habilitar o deshabilitar Microsoft Defender para contenedores en el clúster	Yes
properties.securityProfile.defender.logAnalyticsWorkspaceResourceId	Identificador de recurso de Azure del área de trabajo de Log Analytics	Yes

Uso de la CLI de Azure para implementar la extensión de Defender

Inicie de sesión en Azure:
```
az login
az account set --subscription <your-subscription-id>
```
Importante

Asegúrese de que utiliza el mismo ID de suscripción para <your-subscription-id> que el asociado a su clúster AKS.

Habilite la marca de características en la CLI:

az feature register --namespace Microsoft.ContainerService --name AKS-AzureDefender

Habilite el perfil de Defender en los contenedores:

Ejecute el siguiente comando para crear un clúster con el perfil de Defender habilitado:

az aks create --enable-defender --resource-group <your-resource-group> --name <your-cluster-name>

Ejecute el siguiente comando para habilitar el perfil de Defender en un clúster existente:

az aks update --enable-defender --resource-group <your-resource-group> --name <your-cluster-name>

La siguiente es una descripción de todas las opciones de configuración que admite el tipo de extensión de Defender:

Propiedad Descripción

logAnalyticsWorkspaceResourceID Opcional. Identificador de recurso completo del área de trabajo de Log Analytics.
Cuando no se especifique, se usará el área de trabajo predeterminada de la región.

Para obtener el identificador de recurso completo, ejecute el siguiente comando para mostrar la lista de áreas de trabajo de sus suscripciones en el formato JSON predeterminado:
az resource list --resource-type Microsoft.OperationalInsights/workspaces -o json

El identificador de recurso del área de trabajo de Log Analytics tiene la siguiente sintaxis:
/subscriptions/{id-de-suscripción}/resourceGroups/{grupo-de-recursos}/providers/Microsoft.OperationalInsights/workspaces/{nombre-del-área-de-trabajo}.
Obtenga más información en Áreas de trabajo de Log Analytics.

Propiedad	Descripción
logAnalyticsWorkspaceResourceID	Opcional. Identificador de recurso completo del área de trabajo de Log Analytics. Cuando no se especifique, se usará el área de trabajo predeterminada de la región. Para obtener el identificador de recurso completo, ejecute el siguiente comando para mostrar la lista de áreas de trabajo de sus suscripciones en el formato JSON predeterminado: `az resource list --resource-type Microsoft.OperationalInsights/workspaces -o json` El identificador de recurso del área de trabajo de Log Analytics tiene la siguiente sintaxis: /subscriptions/{id-de-suscripción}/resourceGroups/{grupo-de-recursos}/providers/Microsoft.OperationalInsights/workspaces/{nombre-del-área-de-trabajo}. Obtenga más información en Áreas de trabajo de Log Analytics.

Puede incluir estos valores en un archivo JSON y especificar el archivo JSON en los comandos az aks create y az aks update con este parámetro: --defender-config <path-to-JSON-file>. El formato del archivo JSON debe ser:

{"logAnalyticsWorkspaceResourceID": "<workspace-id>"}

Obtenga más información sobre los comandos de la CLI de AKS en az aks.

Para comprobar que el perfil se agregó correctamente, ejecute el siguiente comando en el equipo con el archivo kubeconfig que apunta al clúster:
```
kubectl get pods -n kube-system
```
Cuando se agrega el perfil, debería ver un pod llamado azuredefender-XXXXX en estado Running. Los pods pueden tardar unos minutos en agregarse.

Uso de Azure Resource Manager para implementar el perfil de Defender

Si quiere usar Azure Resource Manager para implementar el perfil de Defender, necesitará un área de trabajo de Log Analytics en su suscripción. Obtenga más información en Áreas de trabajo de Log Analytics.

Sugerencia

Si no está familiarizado con las plantillas de Resource Manager, empiece aquí: ¿Qué son las plantillas de Azure Resource Manager?

Para instalar "SecurityProfile" en un clúster existente con Resource Manager:

{ 
    "type": "Microsoft.ContainerService/managedClusters", 
    "apiVersion": "2022-06-01", 
    "name": "string", 
    "location": "string",
    "properties": {
        …
        "securityProfile": { 
            "defender": { 
                "logAnalyticsWorkspaceResourceId": “logAnalyticsWorkspaceResourceId",
                "securityMonitoring": {
                    "enabled": true
                }
            }
        }
    }
}

Habilitación del plan

Para habilitar el plan:

En el menú de Defender for Cloud, abra la página Configuración del entorno y seleccione la suscripción correspondiente.
En la página planes de Defender,habilite Defender para contenedores.

Sugerencia

Si la suscripción ya tiene habilitado Defender para Kubernetes o Defender para registros de contenedor, se mostrará un aviso de actualización. De lo contrario, la única opción será Defender para contenedores.
De forma predeterminada, al habilitar el plan a través de Azure Portal, Microsoft Defender para contenedores está configurado para aprovisionar automáticamente (instalar automáticamente) los componentes necesarios para proporcionar las protecciones que ofrece el plan, incluida la asignación de un área de trabajo predeterminada.

Si desea deshabilitar el aprovisionamiento automático durante el proceso de incorporación, seleccione Editar configuración para el plan Contenedores. Aparecerá Opciones avanzadas, desde donde podrá deshabilitar el aprovisionamiento automático para cada componente.

Además, esta configuración se puede modificar desde la página de planes de Defender o desde la página de aprovisionamiento automático de la fila de componentes de Microsoft Defender para contenedores:

Nota

Si decide deshabilitar el plan en cualquier momento después de habilitarlo si a través del portal, como se ha mostrado anteriormente, deberá quitar manualmente los componentes de Defender para contenedores implementados en los clústeres.

Puede asignar un área de trabajo personalizada a través de Azure Policy.
Si deshabilita el aprovisionamiento automático de cualquier componente, puede implementar fácilmente el componente en uno o varios clústeres mediante la recomendación adecuada:
- Complemento de directiva para Kubernetes: Los clústeres de Azure Kubernetes Service deben tener instalado el complemento Azure Policy para Kubernetes
- Perfil de Azure Kubernetes Service: Los clústeres de Azure Kubernetes Service deben tener habilitado el perfil de Defender
- Extensión de Kubernetes habilitada para Azure Arc: Los clústeres de Kubernetes habilitados para Azure Arc deben tener la extensión de Defender instalada

Requisitos previos

Antes de implementar la extensión, asegúrese de que:

Implementación de la extensión de Defender

Puede implementar la extensión de Defender con varios métodos. Para obtener instrucciones detalladas, seleccione la pestaña correspondiente.

Uso del botón Corregir de la recomendación de Defender for Cloud

Una recomendación dedicada de Defender for Cloud proporciona lo siguiente:

Visibilidad sobre cuál de los clústeres tiene implementada la extensión Defender para Kubernetes
Botón Corregir para implementarlo en esos clústeres sin la extensión

En la página de recomendaciones de Microsoft Defender for Cloud, abra el control de seguridad Habilitar seguridad mejorada.
Use el filtro para buscar la recomendación denominada Los clústeres de Kubernetes habilitados para Azure Arc deben tener instalada la extensión de Defender.

Sugerencia

Observe el icono Corregir en la columna Acciones.
Seleccione la extensión para ver los detalles de los recursos correctos e incorrectos; es decir, clústeres con y sin la extensión.
En la lista de recursos incorrectos, seleccione un clúster y seleccione Corregir para abrir el panel con las opciones de corrección.
Seleccione el área de trabajo de Log Analytics correspondiente y seleccione Corregir recurso x.

Uso de la CLI de Azure para implementar la extensión de Defender

Inicie de sesión en Azure:
```
az login
az account set --subscription <your-subscription-id>
```
Importante

Asegúrese de reemplazar <your-subscription-id> por el mismo identificador de suscripción que usó al conectar el clúster a Azure Arc.

Ejecute el siguiente comando para implementar la extensión en el clúster de Kubernetes habilitado para Azure Arc:

az k8s-extension create --name microsoft.azuredefender.kubernetes --cluster-type connectedClusters --cluster-name <cluster-name> --resource-group <resource-group> --extension-type microsoft.azuredefender.kubernetes

La siguiente es una descripción de todas las opciones de configuración que admite el tipo de extensión de Defender:

Propiedad Descripción

auditLogPath Opcional. Ruta de acceso completa a los archivos de registro de auditoría.
Cuando no se especifique, se usará la ruta de acceso predeterminada /var/log/kube-apiserver/audit.log.
En el caso del motor de AKS, la ruta de acceso estándar es /var/log/kubeaudit/audit.log.

Propiedad	Descripción
logAnalyticsWorkspaceResourceID	Opcional. Identificador de recurso completo del área de trabajo de Log Analytics. Cuando no se especifique, se usará el área de trabajo predeterminada de la región. Para obtener el identificador de recurso completo, ejecute el siguiente comando para mostrar la lista de áreas de trabajo de sus suscripciones en el formato JSON predeterminado: `az resource list --resource-type Microsoft.OperationalInsights/workspaces -o json` El identificador de recurso del área de trabajo de Log Analytics tiene la siguiente sintaxis: /subscriptions/{id-de-suscripción}/resourceGroups/{grupo-de-recursos}/providers/Microsoft.OperationalInsights/workspaces/{nombre-del-área-de-trabajo}. Obtenga más información en Áreas de trabajo de Log Analytics.
auditLogPath	Opcional. Ruta de acceso completa a los archivos de registro de auditoría. Cuando no se especifique, se usará la ruta de acceso predeterminada `/var/log/kube-apiserver/audit.log`. En el caso del motor de AKS, la ruta de acceso estándar es `/var/log/kubeaudit/audit.log`.

El siguiente comando muestra un ejemplo de uso de todos los campos opcionales:

az k8s-extension create --name microsoft.azuredefender.kubernetes --cluster-type connectedClusters --cluster-name <your-connected-cluster-name> --resource-group <your-rg> --extension-type microsoft.azuredefender.kubernetes --configuration-settings logAnalyticsWorkspaceResourceID=<log-analytics-workspace-resource-id> auditLogPath=<your-auditlog-path>

Uso de la API de REST para implementar la extensión de Defender

Si quiere usar la API de REST para implementar la extensión de Defender, necesitará un área de trabajo de Log Analytics en su suscripción. Obtenga más información en Áreas de trabajo de Log Analytics.

Sugerencia

La manera más sencilla de usar la API para implementar la extensión de Defender es con el JSON de la colección de Postman de ejemplo que está incluida en los ejemplos de instalación de Defender for Cloud.

Para modificar el JSON de la colección de Postman o implementar manualmente la extensión con la API REST, ejecute el siguiente comando PUT:

PUT https://management.azure.com/subscriptions/{{Subscription Id}}/resourcegroups/{{Resource Group}}/providers/Microsoft.Kubernetes/connectedClusters/{{Cluster Name}}/providers/Microsoft.KubernetesConfiguration/extensions/microsoft.azuredefender.kubernetes?api-version=2020-07-01-preview

Donde:

Nombre	En	Obligatorio	Tipo	Descripción
Id. de suscripción	Ruta de acceso	True	String	Identificador de suscripción del recurso de Kubernetes habilitado para Azure Arc
Grupo de recursos	Ruta de acceso	True	String	Nombre del grupo de recursos que contiene el recurso de Kubernetes habilitado para Azure Arc
Cluster Name	Ruta de acceso	True	String	Nombre del recurso de Kubernetes habilitado para Azure Arc

Para la autenticación, el encabezado debe tener un token de portador (como sucede con otras API de Azure). Para obtener un token de portador, ejecute el siguiente comando:

az account get-access-token --subscription <your-subscription-id> Use la siguiente estructura para el cuerpo del mensaje:

{ 
"properties": { 
    "extensionType": "microsoft.azuredefender.kubernetes",
"con    figurationSettings": { 
        "logAnalytics.workspaceId":"YOUR-WORKSPACE-ID"
    // ,    "auditLogPath":"PATH/TO/AUDITLOG"
    },
    "configurationProtectedSettings": {
        "logAnalytics.key":"YOUR-WORKSPACE-KEY"
    }
    }
}

A continuación se proporciona una descripción de las propiedades:

Propiedad	Descripción
logAnalytics.workspaceId	Identificador de área de trabajo del recurso de Log Analytics.
logAnalytics.key	Clave del recurso de Log Analytics.
auditLogPath	Opcional. Ruta de acceso completa a los archivos de registro de auditoría. El valor predeterminado es `/var/log/kube-apiserver/audit.log`

Comprobación de la implementación

Para comprobar que el clúster tiene instalada la extensión de Defender, siga los pasos que se describen en cualquiera de las siguientes pestañas:

Uso de la recomendación de Defender for Cloud para comprobar el estado de la extensión

En la página de recomendaciones de Microsoft Defender for Cloud, abra el control de seguridad Habilitar Microsoft Defender for Cloud.
Seleccione la recomendación denominada Azure Arc-enabled Kubernetes clusters should have Microsoft Defender for Cloud's extension installed (Los clústeres de Kubernetes habilitados para Azure Arc deben tener instalada la extensión de Microsoft Defender for Cloud).
Compruebe que el clúster en el que implementó la extensión aparezca como Correcto.

Uso de la CLI de Azure para comprobar que la extensión se haya implementado

Ejecute el siguiente comando en la CLI de Azure:

az k8s-extension show --cluster-type connectedClusters --cluster-name <your-connected-cluster-name> --resource-group <your-rg> --name microsoft.azuredefender.kubernetes

En la respuesta, busque "extensionType": "microsoft.azuredefender.kubernetes" e "installState": "Installed".

Nota

Podría mostrarse "installState": "Pending" durante los primeros minutos.
Si el estado aparece como Installed, ejecute el siguiente comando en el equipo con el archivo kubeconfig que apunta al clúster para comprobar que un pod llamado "azuredefender-XXXXX" se encuentra en estado "Running":
```
kubectl get pods -n azuredefender
```

Uso de la API REST para comprobar que la extensión se haya implementado

Para confirmar una implementación correcta o validar el estado de la extensión en cualquier momento, haga lo siguiente:

Ejecute el siguiente comando GET:

GET https://management.azure.com/subscriptions/{{Subscription Id}}/resourcegroups/{{Resource Group}}/providers/Microsoft.Kubernetes/connectedClusters/{{Cluster Name}}/providers/Microsoft.KubernetesConfiguration/extensions/microsoft.azuredefender.kubernetes?api-version=2020-07-01-preview

En la respuesta, busque en "extensionType": "microsoft.azuredefender.kubernetes" para "installState": "Installed".

Sugerencia

Podría mostrarse "installState": "Pending" durante los primeros minutos.
Si el estado aparece como Installed, ejecute el siguiente comando en el equipo con el archivo kubeconfig que apunta al clúster para comprobar que un pod llamado "azuredefender-XXXXX" se encuentra en estado "Running":
```
kubectl get pods -n azuredefender
```

Protección de los clústeres de Amazon Elastic Kubernetes Service

Importante

Si aún no ha conectado ninguna cuenta de AWS, conecte las cuentas de AWS a Microsoft Defender for Cloud.

Para proteger los clústeres de EKS, habilite el plan de contenedores en el conector de cuenta correspondiente:

En el menú de Defender for Cloud, abra Parámetros del entorno.
Seleccione el conector de AWS.
Establezca el botón de alternancia para el plan de contenedores en On (Activado).
Opcionalmente, para cambiar el período de retención de los registros de auditoría, seleccione Configurar, escriba el período de tiempo necesario y seleccione Guardar.

Nota

Si decide deshabilitar esta configuración, se deshabilitará la característica Threat detection (control plane). Más información sobre la disponibilidad de las características.
Continúe por las páginas restantes del asistente para conectores.
Kubernetes habilitado para Azure Arc, la extensión de Defender y la extensión de Azure Policy deben estar instalados y ejecutándose en los clústeres de EKS. Hay dos recomendaciones dedicadas de Defender for Cloud para instalar estas extensiones (y Azure Arc si fuera necesario):
- EKS clusters should have Microsoft Defender's extension for Azure Arc installed
- EKS clusters should have the Azure Policy extension installed
En todas las recomendaciones, siga estos pasos para instalar las extensiones necesarias.

Para instalar las extensiones necesarias:
1. En la página Recomendaciones de Defender for Cloud, busque una de las recomendaciones por nombre.
2. Seleccione un clúster incorrecto.
  
  Importante
  
  Debe seleccionar los clústeres de uno en uno.
  
  No seleccione los clústeres en función de sus nombres hipervinculados: seleccione otros clústeres en la fila correspondiente.
3. Seleccione Corregir.
4. Defender for Cloud genera un script en el lenguaje que prefiera. Seleccione Bash (para Linux) o PowerShell (para Windows).
5. Seleccione Descargar lógica de corrección.
6. Ejecute el script generado en el clúster.
7. Repita los pasos de "a" a "f" para la segunda recomendación.

Visualización de recomendaciones y alertas para los clústeres de EKS

Sugerencia

Puede simular las alertas de contenedor al seguir las instrucciones de esta entrada de blog.

Para ver las alertas y recomendaciones de los clústeres de EKS, use los filtros de las páginas de alertas, recomendaciones e inventario para filtrar en función del tipo de recurso de clúster EKS de AWS.

Protección de clústeres de Google Kubernetes Engine (GKE)

Importante

Si aún no ha conectado un proyecto de GCP, conecte los proyectos de GCP a Microsoft Defender for Cloud.

Para proteger los clústeres de GKE, deberá habilitar el plan de Containers en el proyecto de GCP correspondiente.

Para proteger clústeres de Google Kubernetes Engine (GKE):

Inicie sesión en Azure Portal.
Vaya a Microsoft Defender for CloudConfiguración del entorno.
Selección del conector de GCP pertinente
Seleccione el botón Siguiente: Seleccionar planes>.
Asegúrese de que el plan de Containers está alternado a Activar.
(Opcional) Configure el plan de Containers.
Haga clic en el botón Copiar.
Seleccione el botón Cloud Shell de GCP >.
Pegue el script en el terminal de Cloud Shell y ejecútelo.

El conector se actualizará después de que se ejecute el script. Este proceso puede tardar entre 6 y 8 horas en completarse.

Implementación de la solución en clústeres específicos

Si deshabilitó cualquiera de las configuraciones de aprovisionamiento automático predeterminadas, durante el proceso de incorporación del conector de GCP o posteriormente. Deberá instalar manualmente Kubernetes habilitado para Azure Arc, la extensión de Defender y las extensiones de Azure Policy en todos los clústeres de GKE para obtener todo el valor de seguridad de Defender para contenedores.

Hay dos recomendaciones dedicadas de Defender for Cloud que puede usar para instalar las extensiones (y Arc, si es necesario):

GKE clusters should have Microsoft Defender's extension for Azure Arc installed
GKE clusters should have the Azure Policy extension installed

Para implementar la solución en clústeres específicos:

Inicie sesión en Azure Portal.
Vaya a Microsoft Defender for Cloud>Recomendaciones.
En la página Recomendaciones de Defender for Cloud, busque una de las recomendaciones por nombre.
Seleccione un clúster de GKE incorrecto.

Importante

Debe seleccionar los clústeres de uno en uno.

No seleccione los clústeres en función de sus nombres hipervinculados: seleccione otros clústeres en la fila correspondiente.
Seleccione el nombre del recurso incorrecto.
Seleccione Corregir.
Defender for Cloud generará un script en el lenguaje que prefiera:
- En Linux, seleccione Bash.
- En Windows, seleccione PowerShell.
Seleccione Descargar lógica de corrección.
Ejecute el script generado en el clúster.
Repita los pasos del 3 al 8 para la segunda recomendación.

Visualización de las alertas del clúster de GKE

Inicie sesión en Azure Portal.
Vaya a Microsoft Defender for Cloud>Alertas de seguridad.
Haga clic en el botón .
En el menú desplegable Filtro, seleccione Tipo de recurso.
En el menú desplegable Valor, seleccione Clúster GCP GKE.
Seleccione Aceptar.

Simulación de alertas de seguridad de Microsoft Defender para contenedores

Dispone de una lista completa de alertas compatibles en la tabla de referencia de las alertas de seguridad de Microsoft Defender for Cloud.

Para simular una alerta de seguridad, ejecute el comando siguiente desde el clúster:
```
kubectl get pods --namespace=asc-alerttest-662jfi039n
```
La respuesta esperada es "No se encontró ningún recurso".

En un plazo de 30 minutos, Defender for Cloud detectará esta actividad y desencadenará una alerta de seguridad.
En Azure Portal, abra la página de alertas de seguridad de Microsoft Defender for Cloud y busque la alerta en el recurso correspondiente:

Eliminación de la extensión de Defender

Para quitar esta extensión, o cualquier otra, de Defender for Cloud, no basta con desactivar el aprovisionamiento automático:

Habilitar el aprovisionamiento automático afecta posiblemente a las máquinas existentes y a las futuras.
Deshabilitar el aprovisionamiento automático para una extensión solo afecta a las máquinas futuras; no se desinstala nada al deshabilitar el aprovisionamiento automático.

No obstante, para asegurarse de que los componentes de Defender para Contenedores no se aprovisionan automáticamente en los recursos a partir de ahora, deshabilite el aprovisionamiento automático de las extensiones como se explica en Configuración del aprovisionamiento automático para agentes y extensiones de Microsoft Defender for Cloud.

Puede quitar la extensión mediante Azure Portal, la CLI de Azure o la API REST, como se explica en las pestañas siguientes.

Uso de Azure Portal para quitar la extensión

En Azure Portal, abra Azure Arc.
En la lista Infraestructura, seleccione clústeres de Kubernetes y, a continuación, seleccione el clúster específico.
Abra la página de extensiones. Se muestra una lista de las extensiones del clúster.
Seleccione el clúster y, después, Desinstalar.

Uso de la CLI de Azure para quitar la extensión de Defender

Quite la extensión para Arc de Microsoft Defender para Kubernetes con los siguientes comandos:

az login
az account set --subscription <subscription-id>
az k8s-extension delete --cluster-type connectedClusters --cluster-name <your-connected-cluster-name> --resource-group <your-rg> --name microsoft.azuredefender.kubernetes --yes

La eliminación de la extensión puede tardar unos minutos. Se recomienda que espere antes de comprobar que se ha realizado correctamente.

Para comprobar que la extensión se ha eliminado correctamente, ejecute los siguientes comandos:
```
az k8s-extension show --cluster-type connectedClusters --cluster-name <your-connected-cluster-name> --resource-group <your-rg> --name microsoft.azuredefender.kubernetes
```
No debería haber ningún retraso al eliminar el recurso de extensión de Azure Resource Manager. Después, compruebe que no haya ningún pod denominado "azuredefender-XXXXX" en el clúster. Para ello, ejecute el siguiente comando con el archivo kubeconfig que apunta al clúster:
```
kubectl get pods -n azuredefender
```
Los pods pueden tardar unos minutos en eliminarse.

Uso de la API de REST para quitar la extensión de Defender

Para quitar la extensión mediante la API REST, ejecute el siguiente comando DELETE:

DELETE https://management.azure.com/subscriptions/{{Subscription Id}}/resourcegroups/{{Resource Group}}/providers/Microsoft.Kubernetes/connectedClusters/{{Cluster Name}}/providers/Microsoft.KubernetesConfiguration/extensions/microsoft.azuredefender.kubernetes?api-version=2020-07-01-preview

Nombre	En	Obligatorio	Tipo	Descripción
Id. de suscripción	Ruta de acceso	True	String	Identificador de suscripción del clúster de Kubernetes habilitado para Azure Arc
Grupo de recursos	Ruta de acceso	True	String	Grupo de recursos del clúster de Kubernetes habilitado para Azure Arc
Cluster Name	Ruta de acceso	True	String	Nombre del clúster de Kubernetes habilitado para Azure Arc

Para la autenticación, el encabezado debe tener un token de portador (como sucede con otras API de Azure). Para obtener un token de portador, ejecute el siguiente comando:

az account get-access-token --subscription <your-subscription-id>

La solicitud puede tardar varios minutos en completarse.

Área de trabajo predeterminada de Log Analytics para AKS

El perfil de Defender usa el área de trabajo de Log Analytics como canalización de datos para enviar datos del clúster a Defender for Cloud, pero ninguno de ellos se queda en el propio área de trabajo de Log Analytics. Como resultado, en este caso de uso no se facturará a los usuarios.

El perfil de Defender usa un área de trabajo predeterminada de Log Analytics. Si aún no la tiene, Defender for Cloud creará un grupo de recursos y un área de trabajo predeterminada cuando se instale el perfil de Defender. El área de trabajo predeterminada se crea en función de la región.

La convención de nomenclatura del área de trabajo predeterminada de Log Analytics y el grupo de recursos es:

Área de trabajo: DefaultWorkspace-[subscription-ID]-[geo]
Grupo de recursos: DefaultResourceGroup-[geo]

Asignación de un área de trabajo personalizada

Al habilitar la opción de aprovisionamiento automático, se asignará automáticamente un área de trabajo predeterminada. Puede asignar un área de trabajo personalizada a través de Azure Policy.

Para comprobar si tiene algún área de trabajo asignada:

Inicie sesión en Azure Portal.
Busque y seleccione Directiva.
Seleccione Definiciones.
Búsqueda de ID de directivas 64def556-fbad-4622-930e-72d1d5589bf5.
Seleccione Configurar los clústeres de Azure Kubernetes Service para habilitar el perfil de Azure Defender.
Seleccione Asignación.
Siga los pasos del apartado Creación de una asignación con el área de trabajo personalizada si la directiva aún no se ha asignado al ámbito correspondiente. O bien, siga los pasos de Actualización de la asignación con el área de trabajo personalizada si la directiva ya está asignada y desea cambiarla para usar un área de trabajo personalizada.

Creación de una asignación con el área de trabajo personalizada

Si la directiva no se ha asignado, verá Assignments (0).

Para asignar un área de trabajo personalizada:

Seleccione Asignar.
En la pestaña Parámetros, anule la selección de la opción Mostrar solo los parámetros que necesitan entrada o revisión.
Seleccione un identificador de LogAnalyticsWorkspaceResource en el menú desplegable.
Seleccione Revisar + crear.
Seleccione Crear.

Actualización de una asignación con un área de trabajo personalizada

Si la directiva ya se ha asignado a un área de trabajo, verá Assignments (1).

Nota

Si tiene más de una suscripción, el número puede ser mayor.

Para asignar un área de trabajo personalizada:

Seleccione la asignación pertinente.
Seleccione Editar asignación.
En la pestaña Parámetros, anule la selección de la opción Mostrar solo los parámetros que necesitan entrada o revisión.
Seleccione un identificador de LogAnalyticsWorkspaceResource en el menú desplegable.
Seleccione Revisar + crear.
Seleccione Crear.

Área de trabajo predeterminada de Log Analytics para Arc

La extensión de Defender usa el área de trabajo de Log Analytics como canalización de datos para enviar datos del clúster a Defender for Cloud, pero ninguno de ellos se queda en el propio área de trabajo de Log Analytics. Como resultado, en este caso de uso no se facturará a los usuarios.

La extensión de Defender usa un área de trabajo predeterminada de Log Analytics. Si aún no la tiene, Defender for Cloud creará un grupo de recursos y un área de trabajo predeterminada cuando se instale la extensión de Defender. El área de trabajo predeterminada se crea en función de la región.

La convención de nomenclatura del área de trabajo predeterminada de Log Analytics y el grupo de recursos es:

Área de trabajo: DefaultWorkspace-[subscription-ID]-[geo]
Grupo de recursos: DefaultResourceGroup-[geo]

Asignación de un área de trabajo personalizada

Al habilitar la opción de aprovisionamiento automático, se asignará automáticamente un área de trabajo predeterminada. Puede asignar un área de trabajo personalizada a través de Azure Policy.

Para comprobar si tiene algún área de trabajo asignada:

Inicie sesión en Azure Portal.
Busque y seleccione Directiva.
Seleccione Definiciones.
Búsqueda de ID de directivas 708b60a6-d253-4fe0-9114-4be4c00f012c.
Seleccione Configurar clústeres de Kubernetes con Azure Arc habilitado para instalar la extensión de Microsoft Defender for Cloud.
Seleccione Asignaciones.
Siga los pasos del apartado Creación de una asignación con el área de trabajo personalizada si la directiva aún no se ha asignado al ámbito correspondiente. O bien, siga los pasos de Actualización de la asignación con el área de trabajo personalizada si la directiva ya está asignada y desea cambiarla para usar un área de trabajo personalizada.

Creación de una asignación con el área de trabajo personalizada

Si la directiva no se ha asignado, verá Assignments (0).

Para asignar un área de trabajo personalizada:

Seleccione Asignar.
En la pestaña Parámetros, anule la selección de la opción Mostrar solo los parámetros que necesitan entrada o revisión.
Seleccione un identificador de LogAnalyticsWorkspaceResource en el menú desplegable.
Seleccione Revisar + crear.
Seleccione Crear.

Actualización de una asignación con un área de trabajo personalizada

Si la directiva ya se ha asignado a un área de trabajo, verá Assignments (1).

Nota

Si tiene más de una suscripción, el número puede ser mayor. Si tiene un número 1 o superior, es posible que la asignación todavía no esté en el ámbito pertinente. Si este es el caso, le interesará seguir los pasos de Creación de una asignación con el área de trabajo personalizada.

Para asignar un área de trabajo personalizada:

Seleccione la asignación pertinente.
Seleccione Editar asignación.
En la pestaña Parámetros, anule la selección de la opción Mostrar solo los parámetros que necesitan entrada o revisión.
Seleccione un identificador de LogAnalyticsWorkspaceResource en el menú desplegable.
Seleccione Revisar + crear.
Seleccione Crear.

Eliminación del perfil de Defender

Para quitar esta extensión, o cualquier otra, de Defender for Cloud, no basta con desactivar el aprovisionamiento automático:

Habilitar el aprovisionamiento automático afecta posiblemente a las máquinas existentes y a las futuras.
Deshabilitar el aprovisionamiento automático para una extensión solo afecta a las máquinas futuras; no se desinstala nada al deshabilitar el aprovisionamiento automático.

Puede quitar el perfil mediante la API REST o una plantilla de Resource Manager, tal como se explica en las pestañas siguientes.

Uso de la API REST para quitar el perfil de Defender de AKS

Para quitar el perfil mediante la API REST, ejecute el siguiente comando PUT:

https://management.azure.com/subscriptions/{{SubscriptionId}}/resourcegroups/{{ResourceGroup}}/providers/Microsoft.ContainerService/managedClusters/{{ClusterName}}?api-version={{ApiVersion}}

Nombre	Descripción	Mandatory
SubscriptionId	Identificador de suscripción del clúster	Yes
ResourceGroup	Grupo de recursos del clúster	Yes
ClusterName	Nombre del clúster	Yes
ApiVersion	La versión de API debe ser >= 2022-06-01	Yes

Cuerpo de la solicitud:

{
  "location": "{{Location}}",
  "properties": {
    "securityProfile": {
            "defender": {
                "securityMonitoring": {
                    "enabled": false
                }
            }
        }
    }
}

Parámetros del cuerpo de la solicitud:

Nombre	Descripción	Mandatory
ubicación	Ubicación del clúster	Sí
properties.securityProfile.defender.securityMonitoring.enabled	Determina si habilitar o deshabilitar Microsoft Defender para contenedores en el clúster	Yes

Uso de la CLI de Azure para quitar el perfil de Defender

Quite Microsoft Defender con los siguientes comandos:

az login
az account set --subscription <subscription-id>
az aks update --disable-defender --resource-group <your-resource-group> --name <your-cluster-name>

La eliminación del perfil puede tardar unos minutos.

Para comprobar que el perfil se ha eliminado correctamente, ejecute el siguiente comando:
```
kubectl get pods -n azuredefender
```
Cuando se quita el perfil, debería ver que no se devuelve ningún pod en el comando get pods. Los pods pueden tardar unos minutos en eliminarse.

Uso Azure Resource Manager para quitar el perfil de Defender de AKS

Si desea usar Azure Resource Manager para quitar el perfil de Defender, necesitará un área de trabajo de Log Analytics en su suscripción. Obtenga más información en Áreas de trabajo de Log Analytics.

Sugerencia

Si no está familiarizado con las plantillas de Resource Manager, empiece aquí: ¿Qué son las plantillas de Azure Resource Manager?

La plantilla y los parámetros pertinentes para quitar el perfil de Defender de AKS son:

{ 
    "type": "Microsoft.ContainerService/managedClusters", 
    "apiVersion": "2022-06-01", 
    "name": "string", 
    "location": "string",
    "properties": {
        …
        "securityProfile": { 
            "defender": { 
                "securityMonitoring": {
                    "enabled": false
                }
            }
        }
    }
}

Preguntas más frecuentes

¿Cómo puedo usar mi área de trabajo de Log Analytics existente?
¿Puedo eliminar las áreas de trabajo predeterminadas creadas por Defender for Cloud?
He eliminado mi área de trabajo predeterminada, ¿cómo puedo recuperarla?
¿Dónde se localiza el área de trabajo predeterminada de Log Analytics?
Mi organización requiere que etiquete mis recursos y se produjo un error en el aprovisionamiento automático, ¿qué salió mal?

¿Cómo puedo usar mi área de trabajo de Log Analytics existente?

Puede usar el área de trabajo de Log Analytics existente siguiendo los pasos descritos en la sección de área de trabajo Asignación de un área de trabajo personalizada de este artículo.

¿Puedo eliminar las áreas de trabajo predeterminadas creadas por Defender for Cloud?

No se recomienda la eliminación del área de trabajo predeterminada. Defender para contenedores utiliza las áreas de trabajo predeterminadas para recopilar los datos de seguridad de los clústeres. Defender para contenedores no podrá recopilar datos y algunas recomendaciones y alertas de seguridad no estarán disponibles si elimina el área de trabajo predeterminada.

He eliminado mi área de trabajo predeterminada, ¿cómo puedo recuperarla?

Para recuperar el área de trabajo predeterminada, debe quitar el perfil o la extensión de Defender y volver a instalar el agente. Al volver a instalar el perfil o la extensión de Defender, se crea un área de trabajo predeterminada.

¿Dónde se localiza el área de trabajo predeterminada de Log Analytics?

En función de la región, el área de trabajo predeterminada de Log Analytics se ubicará en varias ubicaciones. Para comprobar la región, consulte ¿Dónde se crea el área de trabajo Log Analytics predeterminada?

Mi organización requiere que etiquete mis recursos y se produjo un error en el aprovisionamiento automático, ¿qué salió mal?

El agente de Defender usa el área de trabajo de Log Analytics para enviar datos de los clústeres de Kubernetes a Defender for Cloud. La característica de aprovisionamiento automático de Defender for Cloud a través de la directiva integrada agrega el área de trabajo de Log Analytics y el grupo de recursos como parámetro para que el agente lo use.

Sin embargo, si su organización tiene una directiva que requiera una etiqueta específica en los recursos, puede provocar un error en el aprovisionamiento automático durante el grupo de recursos o la fase de creación predeterminada del área de trabajo. Si se produce un error, puede:

Asignar un área de trabajo personalizada y agregar cualquier etiqueta que requiera su organización.

o
Si su empresa requiere que etiquete el recurso, debe ir a esa directiva y excluir los siguientes recursos:
1. El grupo de recursos DefaultResourceGroup-<RegionShortCode>
2. El área de trabajo DefaultWorkspace-<sub-id>-<RegionShortCode>
RegionShortCode es una cadena de que tiene de 2 a 4 letras.

Más información

Para obtener más información, puede consultar los siguientes blogs:

Pasos siguientes

Use Defender para contenedores para examinar las imágenes del registro de control de acceso en busca de vulnerabilidades.