Prozedur

1. Navigieren Sie zu Cloud Security → Container Security → Richtlinienverwaltung.
2. Klicken Sie auf die Registerkarte Richtlinien.
3. Erstellen Sie eine Richtlinie, indem Sie auf +Create+Add klicken.
4. Geben Sie einen eindeutigen Namen der Richtlinie an.

   Hinweis Richtliniennamen dürfen keine Leerzeichen enthalten und unterstützen nur alphanumerische Zeichen, Unterstriche (_) und Punkte (.). Sie können den Richtliniennamen nach der Erstellung der Richtlinie nicht mehr ändern.

5. Um weitere Details zum Zweck der Richtlinie anzugeben, verwenden Sie das Feld Beschreibung.
   Die Beschreibung erscheint unter dem Richtliniennamen in der Richtlinienliste.
6. Um CREM Risk Insights, Workbench-Warnungen zu erhalten und die Such-App zu verwenden, um Sicherheitsbedrohungen in Ihrer Netzwerkumgebung zu untersuchen, aktivieren Sie XDR Telemetry.
   TrendAI Vision One™ kann XDR-Telemetriedaten aus allen konfigurierten Datenquellen korrelieren und bewerten, um Einblicke in die Sicherheits- und Risikolage Ihres Netzwerks zu bieten.
7. Definieren Sie die clusterweiten Sicherheitskontrollen.
   1. Wählen Sie die Regeln aus, die Sie auf den Cluster anwenden möchten.
   2. Wählen Sie die Aktion (Protokoll/Sperren), die nach dem Auslösen einer Regel angewendet werden soll.
   3. Wenn die Regel zusätzliche Parameter bereitstellt, definieren Sie die zu überprüfenden Werte.
      Klicken Sie auf das Hinzufügen-Symbol (+) neben der Regel, um die Regel zu duplizieren und mehrere Regeln desselben Regeltyps zu haben.

      Für die Resource properties-Regel [action] containers with capabilities that do not conform with a [predefined] policy konsultieren Sie die folgende Tabelle für zusätzliche Informationen.

      Vordefinierte Richtlinie	Beschreibung
      Einschränken-nicht-Standard	Erlaubt Funktionen, die zu den [standardmäßigen Docker-Funktionen] gehören Für weitere Informationen über die standardmäßigen Docker-Richtlinien besuchen Sie die Docker-Website unter: https://docs.docker.com/engine/reference/run/#runtime-privilege-and-linux-capabilities
      Baseline	Erlaubt Standardfunktionen, aber nicht die NET_RAW-Funktion Hinweis NET_RAW ist eine Standardberechtigung, die die Verwendung von RAW- und PACKET-Sockets ermöglicht. Mit dieser Berechtigung kann ein bösartiger Benutzer Pakete fälschen, MITM-Angriffe ausführen und andere Netzwerkausnutzungen durchführen. Dieses Privileg wird normalerweise nur für spezifische Netzwerkbedürfnisse verwendet, daher sollte das Entfernen keine Auswirkungen auf die Mehrheit der Anwendungen haben.
      unzulässig	Erlaubt nur die NET_BIND_SERVICE-Fähigkeit Hinweis NET_BIND_SERVICE ist eine Standardfunktion, die das Binden an privilegierte Internet-Domain-Ports (Portnummern kleiner als 1024) ermöglicht. Sie wird häufig von Webservern verwendet und um Nicht-Root-Benutzern den Zugriff auf diese Ports zu gewähren.
      alle-einschränken	Erlaubt keine Fähigkeit

      Hinweis Die CIS Kubernetes Benchmarks empfehlen, keine neuen Fähigkeiten hinzuzufügen und mindestens die NET_RAW-Fähigkeit zu entfernen. TrendAI™ empfiehlt, die Anforderungen an Container zu berücksichtigen und eine Fähigkeitsrichtlinie gemäß dem Prinzip der geringsten Privilegien anzuwenden. Weitere Informationen zu Fähigkeitspolicies und bewährten Sicherheitspraktiken für Pods finden Sie in den Pod-Sicherheitsstandards unter: https://kubernetes.io/docs/concepts/security/pod-security-standards/

   4. Konfigurieren Sie die gewünschten DURCHSUCHUNGSAUSNAHMEN.

      Hinweis Eine Ausnahme wird automatisch hinzugefügt, um vertrauenswürdige Images zuzulassen, die von Container Security verwendet werden.

8. Definieren Sie die clusterweiten Regeln, die während des Betriebs eines Pods gelten, indem Sie auf die Registerkarte Runtime klicken.
   Die Laufzeitrichtlinie besteht aus den Regelsätzen, die Sie erstellen auf der Rulesets-Registerkarte.
   1. Klicken Sie auf Add Ruleset.
   2. Wählen Sie das Kontrollkästchen des Regelwerks aus, das Sie auf die Richtlinie anwenden möchten.
   3. Klicken Sie auf Absenden.
9. Für Benutzer, die spezielle Richtlinien für bestimmte Namespaces innerhalb von Clustern konfigurieren müssen, klicken Sie auf das Hinzufügen-Symbol (+) neben der Cluster-wide Policy Definition-Überschrift, um eine NamespacedPolicyDefinition-Richtlinie zu definieren.
   1. Geben Sie einen Namen für die namensraumspezifischen Richtlinieneinstellungen an.
   2. Klicken Sie auf Hinzufügen.
   3. Geben Sie den Namespace im Cluster an, auf den die Richtlinie angewendet werden soll, und drücken Sie EINGABETASTE.
      Klicken Sie erneut auf Hinzufügen, um mehrere Namespaces anzugeben.
   4. Konfigurieren Sie die Verteilung- und Continuous-Einstellungen für die Richtlinie.

      Hinweis Sie können keine spezifischen Laufzeitsatzregeln für Namespaces konfigurieren.

   5. Definieren Sie zusätzliche Namensraumrichtlinien, indem Sie auf das Hinzufügen-Symbol (+) neben den NamespacedPolicyDefinition-Überschriften klicken.
10. Klicken Sie auf Erstellen.