ランタイム不正プログラムスキャン

検索の種類

注意 2つの検索タイプは補完的です。スケジュール検索は、最新の不正プログラムパターンに対してすべてのイメージを包括的にカバーし、リアルタイム検索は展開後に導入された脅威を即座に検出します。

• スケジュール検索: スケジュールスキャンを有効にするを参照してください。
• リアルタイム検索: malwareScanning: enabledを使用してHelmチャートをデプロイすることでリアルタイム検索を有効にできます。詳細はランタイムセキュリティとスキャン機能を有効にするを参照してください。

スケジュールスキャンを有効にする

1. [Container Security] → [ポリシー管理] に移動します。
2. クラスターに割り当てられたポリシーを選択します。
3. 不正プログラムスキャンセクションで、スケジュールスキャンを有効にし、希望のスケジュールを設定してください。

注意 検索負荷を均等に分散するために、検索マネージャは各検索ジョブを開始する前にランダムなジッター (最大90秒) を適用します。これにより、すべての検索ジョブが同時に開始されてスキャナーが過負荷になることを防ぎます。

検索フィルタールール

• 一致する画像をスキップ: 指定された画像を検索から除外します。たとえば、信頼できるサードパーティのオペレーター画像を除外し、検索する必要がない場合に使用します。
• 一致する画像のみを検索: 指定された画像のみを検索します。他のすべての画像は検索から除外されます。

重要 Helmチャートがインストールされる前にデプロイされたPodは検索されません。同じイメージがHelmチャートのインストール後に再デプロイされると、次の検索サイクルで再デプロイされたイメージが検索されます。

スキャンロジック

• 自動再検索: 検索が完了すると、ワークロードオペレーターは設定可能な再検索間隔 (デフォルトは24時間) を待ってから検索マネージャに新しい検索ジョブを作成するように指示します。再検索は、スケジュールされた検索が実行されるときや不正プログラム検索ポリシーが更新されるときにもトリガーされます。
• 画像検索キャッシュ: 重複検索を避けるために、検索マネージャは24時間の有効期限付きの画像検索キャッシュを維持します。過去24時間以内に検索された画像はスキップされます。
• パターンの更新: 不正プログラムスキャナーは、TrendAI™のActive Update (AU) サーバから新しい不正プログラムパターンの更新を自動的にダウンロードして適用します。更新はメモリ内で適用され、スキャナーの再起動は必要ありません。

検索範囲と除外されたパス

• /proc
• /dev
• /sys

注意 除外パスは、スキャン対象として選択されたイメージ内でスキャンされるファイルを制御します。スキャンから特定の名前空間内のイメージ全体または特定のイメージを除外するには、代わりにイメージフィルタールールを使用してください。検索フィルタールールを参照してください。

緩和策

• ログ: 検出イベントを記録し、追加のアクションを行いません。これはデフォルト設定です。
• 終了: 影響を受けたポッドを自動的に終了します。
• 隔離: 影響を受けたポッドをすべてのネットワークトラフィックから自動的に隔離します。

  重要 [隔離]アクションには、クラスタにインストールされたKubernetesネットワークポリシープラグイン (例: Calico) が必要です。

検索結果の表示

ランタイム不正プログラム検索をテストする

1. EICARテストファイルをダウンロードするテストポッドをデプロイします。

   kubectl run malware-test --image=busybox --restart=Never -- \
     sh -c "wget -q -O /tmp/eicar.com 'https://secure.eicar.org/eicar.com' && sleep 3600"

2. 検索が開始されるのを待ちます。スケジュールされた検索が設定されている場合は、次の検索サイクルを待ちます。リアルタイム検索は新しいファイルを検出し、自動的に検索を開始します。
3. [検出] → [ランタイム不正プログラム]に移動します。不正プログラム名Eicar_test_fileの検出を探し、ファイルパスがmalware-testコンテナ内の/tmp/eicar.comを示していることを確認します。
4. テストポッドをクリーンアップする。

   kubectl delete pod malware-test

XDRの統合

アーキテクチャとリソース