ランタイム不正プログラムスキャン

検索の種類

• スケジュール検索: Container Securityポリシーで設定されたスケジュール (cron式) に基づいて、クラスタに展開されたすべてのコンテナイメージを定期的に検索します。最新の不正プログラムパターンに対するすべてのイメージの包括的なカバレッジを提供します。スケジュールスキャンを有効にする.
• リアルタイム検索: 実行中のコンテナ内のファイルシステム活動を監視し、ファイル書き込みイベントが検出された際に新しく書き込まれたファイルや変更されたファイルを即座に検索します。展開後に導入された不正プログラム、例えば侵害されたプロセスによって取得されたペイロードを即座に検出します。malwareScanning: enabledでHelmチャートを展開することでリアルタイム検索を有効にできます。詳細はランタイムセキュリティとスキャン機能を有効にするを参照してください。

スケジュールスキャンを有効にする

1. [Container Security] → [設定] → [ポリシー]に移動します。
2. クラスターに割り当てられたポリシーを選択します。
3. 不正プログラムスキャンセクションで、スケジュールスキャンを有効にし、希望のスケジュールを設定してください。

注意 検索負荷を均等に分散するために、検索マネージャは各検索ジョブを開始する前にランダムなジッター (最大90秒) を適用します。これにより、すべての検索ジョブが同時に開始されてスキャナーが過負荷になることを防ぎます。

スキャンロジック

• 自動再検索: 検索が完了すると、ワークロードオペレーターは設定可能な再検索間隔 (デフォルトは24時間) を待ってから検索マネージャに新しい検索ジョブを作成するように指示します。再検索は、スケジュールされた検索が実行されるときや不正プログラム検索ポリシーが更新されるときにもトリガーされます。
• 画像検索キャッシュ: 重複検索を避けるために、検索マネージャは24時間の有効期限付きの画像検索キャッシュを維持します。過去24時間以内に検索された画像はスキップされます。
• パターンの更新: 不正プログラムスキャナーは、TrendAI™のActive Update (AU) サーバから新しい不正プログラムパターンの更新を自動的にダウンロードして適用します。更新はメモリ内で適用され、スキャナーの再起動は必要ありません。

検索範囲と除外されたパス

• /proc
• /dev
• /sys

緩和策

• ログ: 検出イベントを記録し、追加のアクションを行いません。これはデフォルト設定です。
• 終了: 影響を受けたポッドを自動的に終了します。
• 隔離: 影響を受けたポッドをすべてのネットワークトラフィックから自動的に隔離します。

  重要 [隔離]アクションには、クラスタにインストールされたKubernetesネットワークポリシープラグイン (例: Calico) が必要です。

検索結果の表示

ランタイム不正プログラム検索をテストする

1. EICARテストファイルをダウンロードするテストポッドをデプロイします。

   kubectl run malware-test --image=busybox --restart=Never -- \
     sh -c "wget -q -O /tmp/eicar.com 'https://secure.eicar.org/eicar.com' && sleep 3600"

2. 検索が開始されるのを待ちます。スケジュールされた検索が設定されている場合は、次の検索サイクルを待ちます。リアルタイム検索は新しいファイルを検出し、自動的に検索を開始します。
3. [ログ] → [ランタイム不正プログラム]に移動します。不正プログラム名Eicar_test_fileの検出を探し、ファイルパスがmalware-testコンテナ内で/tmp/eicar.comと表示されていることを確認します。
4. テストポッドをクリーンアップする。

   kubectl delete pod malware-test

XDRの統合

アーキテクチャとリソース