Questa pagina mostra come trovare le minacce attive nei cluster della versione Google Kubernetes Engine (GKE) Enterprise in esecuzione su Google Cloud e ottenere suggerimenti per la mitigazione strategici. GKE Threat Detection è una funzionalità avanzata della dashboard della security posture di GKE. Per ulteriori informazioni, consulta Informazioni sul rilevamento delle minacce per GKE.
Il rilevamento delle minacce per GKE è disponibile solo nei progetti che utilizzano GKE Enterprise e che dispongono di cluster GKE idonei.
Prezzi
Il rilevamento delle minacce per GKE è offerto senza costi aggiuntivi tramite GKE Enterprise.
Prima di iniziare
- Assicurati di essere un utente di GKE Enterprise. Per configurare GKE Enterprise, consulta Abilitare GKE Enterprise.
Abilita l'API Container Security.
Assicurati di avere un cluster GKE esistente registrato in un parco risorse. Per creare e registrare un nuovo cluster, consulta Registrare un nuovo cluster.
Considerazioni da fare prima di abilitare GKE Threat Detection
L'abilitazione del rilevamento delle minacce per GKE abilita inoltre le seguenti funzionalità di analisi della security posture. Anche queste funzionalità sono offerte senza costi aggiuntivi.
- Controllo della configurazione del carico di lavoro
- Visualizzazione del bollettino sulla sicurezza (anteprima)
Inoltre, quando abiliti il rilevamento delle minacce per GKE su un cluster nel tuo progetto, nel progetto vengono abilitati anche i seguenti componenti di Security Command Center. Se in un secondo momento vuoi rimuovere il rilevamento delle minacce per GKE dal tuo progetto, devi disabilitare questi componenti singolarmente.
- API Security Command Center
- Componente aggiuntivo Security Command Center per GKE Enterprise
- Account di servizio Security Command Center
- Account di servizio Container Threat Detection
Durante il processo di abilitazione, concedi i seguenti ruoli IAM all'account di servizio Security Command Center e all'account di servizio Container Threat Detection:
- Account di servizio Security Command Center:
Agente di servizio Security Center (
roles/securitycenter.serviceAgent) - Account di servizio Container Threat Detection:
agente di servizio Container Threat Detection (
roles/containerthreatdetection.serviceAgent)
Abilita il rilevamento delle minacce per GKE nel tuo progetto
Devi abilitare il rilevamento delle minacce per GKE nel tuo progetto prima di attivarlo nei cluster. Se hai già abilitato il rilevamento delle minacce di GKE, salta questo passaggio.
Vai alla pagina Security posture nella console Google Cloud:
Nel riquadro Minaccia, fai clic su Abilita rilevamento delle minacce.
Esamina le autorizzazioni e i ruoli IAM che concederai, quindi fai clic su Concedi ruoli e abilita rilevamento delle minacce. Ciò consente il rilevamento delle minacce a GKE nel tuo progetto.
Per registrare i cluster in GKE Threat Detection, fai clic su Seleziona i cluster nella pagina delle impostazioni, quindi segui questi passaggi:
- Seleziona le caselle di controllo relative ai cluster che vuoi registrare per il rilevamento delle minacce di GKE.
- Nel menu a discesa Seleziona azione, scegli Imposta su Avanzata.
- Fai clic su Applica.
Abilita il rilevamento delle minacce per GKE su singoli cluster
Se hai già abilitato il rilevamento delle minacce per GKE nel tuo progetto, puoi abilitare il rilevamento delle minacce nei cluster esistenti registrati in un parco risorse utilizzando la console Google Cloud o Google Cloud CLI.
Console
Vai alla pagina Security posture nella console Google Cloud.
Fai clic sulla scheda Impostazioni.
Nella sezione Cluster abilitati per la security posture, fai clic su Seleziona cluster.
Seleziona le caselle di controllo relative ai cluster in cui vuoi abilitare il rilevamento delle minacce di GKE.
Nel menu a discesa Seleziona azione, scegli Imposta su Avanzata.
Fai clic su Applica.
gcloud
Esegui questo comando:
gcloud container clusters update CLUSTER_NAME \
--location=LOCATION \
--security-posture=enterprise
Sostituisci quanto segue:
CLUSTER_NAME: il nome del tuo cluster GKE.LOCATION: la località di Compute Engine del tuo cluster.
Visualizza e intervieni sui risultati del rilevamento delle minacce per GKE
Dopo aver attivato questa funzionalità, potrebbero essere necessari fino a 15 minuti per iniziare a visualizzare i risultati. GKE visualizza i risultati sulla dashboard della postura di sicurezza e aggiunge automaticamente voci ai log del cluster.
Visualizza risultati
Per vedere una panoramica dei problemi rilevati nei cluster e nei carichi di lavoro del progetto, segui questi passaggi:
Vai alla pagina Security posture nella console Google Cloud.
Fai clic sulla scheda Problemi.
Nel riquadro Filtra i problemi, nella sezione Tipo di problema, seleziona la casella di controllo Minaccia. Puoi anche espandere la sezione Minaccia per filtrare in base a sottocategorie come MITRE ATT&CK®.
Per visualizzare i dettagli di un singolo risultato di minaccia, fai clic sulla descrizione del risultato. Si apre il riquadro dei dettagli del risultato, che contiene le seguenti informazioni:
- Dettagli sulla minaccia, come gravità e stato
- Consigli per mitigare la minaccia
- Un elenco delle risorse interessate nei cluster registrati
Visualizza i risultati in Security Command Center
Se utilizzi il livello Premium di Security Command Center, puoi visualizzare i risultati del rilevamento delle minacce di GKE come risultati di THREAT.
Vai alla pagina Minacce nella console Google Cloud:
Disabilita rilevamento delle minacce per GKE
Puoi disabilitare il rilevamento delle minacce per GKE nei tuoi cluster. Per disabilitare il rilevamento delle minacce di GKE nel tuo progetto, devi rimuovere manualmente i singoli componenti di Security Command Center creati al momento dell'abilitazione della funzionalità.
Disabilita il rilevamento delle minacce per GKE nei cluster
Puoi disabilitare il rilevamento delle minacce per GKE nei cluster utilizzando gcloud CLI o la console Google Cloud.
Console
Vai alla pagina Security posture nella console Google Cloud.
Fai clic sulla scheda Impostazioni.
Nella sezione Cluster abilitati per la security posture, fai clic su Seleziona cluster.
Seleziona le caselle di controllo relative ai cluster in cui vuoi disabilitare il rilevamento delle minacce di GKE.
Nel menu a discesa Seleziona azione, esegui una delle seguenti operazioni:
- Opzione consigliata: per disabilitare il rilevamento delle minacce per GKE ma mantenere altre funzionalità come il controllo della configurazione, seleziona Imposta su Base.
- Per disabilitare tutte le funzionalità di analisi della security posture di Kubernetes, seleziona Imposta su Disabilitata.
Fai clic su Applica.
gcloud
Esegui questo comando:
gcloud container clusters update CLUSTER_NAME \
--location=LOCATION \
--security-posture=TIER
Sostituisci quanto segue:
CLUSTER_NAME: il nome del cluster.LOCATION: la località del cluster.TIER: il livello della security posture di Kubernetes. Deve essere uno dei seguenti:standard(Consigliato): disabilita il rilevamento delle minacce per GKE, ma mantieni le altre funzionalità di analisi della strategia di sicurezza Kubernetes.disabled: disabilita tutte le funzionalità di analisi della postura di sicurezza Kubernetes nel cluster, incluso il controllo della configurazione.