建立 Kubernetes 保護政策

步驟

1. 移至「Cloud Security」 → 「Container Security」 → 「組態」。
2. 請點選「政策」標籤。
3. 通過點擊New創建策略。
4. 請指定一個唯一的策略名稱。

   注意 政策名稱不得包含空格，且僅支援字母數字字符、底線 (_) 和句點 (.)。 您無法在建立策略後修改策略名稱。

5. 若要提供有關政策目的的更多詳細資訊，請使用「說明」欄位。
   描述顯示在策略清單中的策略名稱下方。
6. 若要接收CREM risk insight、Workbench 警報，並使用搜尋應用程式來調查整個網路環境中的安全威脅，請開啟「XDR Telemetry」。
   Trend Vision One 可以關聯並評估所有已配置資料來源的 XDR 遙測資料，以提供有關您網路安全和風險狀態的見解。
7. 定義在映像部署之前適用的叢集範圍規則，請點擊Deployment標籤；定義在叢集運行期間定期適用的叢集範圍規則，請點擊Continuous標籤。
   1. 選擇您想要應用於叢集的規則。
   2. 選擇在規則觸發後要應用的操作（Log/封鎖）。
   3. 如果規則提供了其他參數，請定義要檢查的值。
      某些規則允許您根據參數值定義不同的動作。點選規則旁的新增符號 (+) 以定義更多動作。

      對於Container properties規則[action] containers with capabilities that do not conform with a [predefined] policy，請參考下表以獲取其他資訊。

      預定義政策	說明
      限制非預設	允許作為[預設 Docker 功能]之一的功能 如需有關預設 Docker 政策的詳細資訊，請造訪 Docker 網站：https://docs.docker.com/engine/reference/run/#runtime-privilege-and-linux-capabilities
      基準	允許預設功能，但不允許 NET_RAW 功能 注意 NET_RAW 是一項預設功能，允許使用 RAW 和 PACKET 套接字。具有此功能的惡意用戶可能會偽造數據包、執行中間人攻擊以及進行其他網路攻擊。此權限通常僅用於特定的網路需求，因此取消它不應對大多數應用程式產生任何影響。
      限制	僅允許 NET_BIND_SERVICE 功能 注意 NET_BIND_SERVICE 是一個預設功能，允許綁定到網路域的特權端口（端口號小於 1024）。它通常由網頁伺服器使用，並且允許非 root 用戶訪問這些端口。
      限制全部	不允許任何功能

      注意 CIS Kubernetes 基準建議不要新增任何新功能，並且至少要移除 NET_RAW 功能。 趨勢科技建議考慮容器需求並應用符合最小特權原則的能力政策。 如需有關功能政策和 Pod 安全性最佳實踐的詳細資訊，請參閱 Pod 安全性標準：https://kubernetes.io/docs/concepts/security/pod-security-standards/

   4. 根據需要配置掃瞄例外。

      注意 例外會自動新增，以允許容器安全性使用的受信任映像。

8. 通過點擊Runtime標籤來定義 Pod 運行時適用的集群範圍規則。
   執行期政策由Rulesets標籤上您創建的規則集組成。
   1. 點選Add Ruleset。
   2. 選取您想要套用至政策的規則集複選框。
   3. 點選Submit。
9. 對於需要為叢集內特定命名空間配置特殊策略的使用者，點選Cluster-wide Policy Definition標題旁的新增符號(+)來定義NamespacedPolicyDefinition策略。
   1. 為命名空間特定的政策設定指定一個名稱。
   2. 點選新增。
   3. 指定您希望套用該政策的叢集中的命名空間，然後按下ENTER。
      再次點選新增以指定多個命名空間。
   4. 配置Deployment和Continuous設定以制定政策。

      注意 您無法為命名空間配置特定的運行時規則集。

   5. 通過點擊+旁邊的添加符號 (NamespacedPolicyDefinition) 來定義其他命名空間策略。
10. 點選Create。