Encontrar ameaças em clusters usando o GKE Threat Detection

Nesta página, mostramos como encontrar ameaças ativas nos clusters do Google Kubernetes Engine (GKE) edição Enterprise em execução no Google Cloud e receber recomendações acionáveis de mitigação. O GKE Threat Detection é um recurso avançado do painel de postura de segurança do GKE. Para mais informações, consulte Sobre o GKE Threat Detection.

O GKE Threat Detection está disponível apenas em projetos que usam o GKE Enterprise e têm clusters do GKE qualificados.

Preços

O GKE Threat Detection é oferecido sem custo financeiro adicional pelo GKE Enterprise.

Antes de começar

1. Verifique se você já usa o GKE Enterprise. Para configurar o GKE Enterprise, consulte Ativar o GKE Enterprise.

2. Ative a API Container Security.

   Ativar a API Container Security

3. Verifique se você já tem um cluster do GKE registrado em uma frota. Para criar e registrar um novo cluster, consulte Registrar um novo cluster.

Considerações antes de ativar o GKE Threat Detection

A ativação do GKE Threat Detection também ativa as seguintes capacidades do recurso de verificação de postura de segurança do Kubernetes. Esses recursos também são oferecidos sem custo financeiro adicional.

• Auditoria de configuração da carga de trabalho
• Exibição do boletim de segurança (pré-lançamento)

Além disso, ao ativar o GKE Threat Detection em um cluster do projeto, você também ativa os seguintes componentes do Security Command Center no projeto. Se você quiser remover o GKE Threat Detection do seu projeto mais tarde, desative esses componentes individualmente.

• API Security Command Center
• Complemento do Security Command Center para o GKE Enterprise
• Conta de serviço do Security Command Center
• Conta de serviço do Container Threat Detection

Durante o processo de ativação, você concede os seguintes papéis do IAM às contas de serviço do Security Command Center e do Container Threat Detection:

• Conta de serviço do Security Command Center: Agente de serviço da Central de segurança (roles/securitycenter.serviceAgent)
• Conta de serviço do Container Threat Detection: Agente de serviço do Container Threat Detection (roles/containerthreatdetection.serviceAgent)

Ativar o GKE Threat Detection no projeto

Ative o GKE Threat Detection no projeto antes de ativá-la nos clusters. Se você já ativou o GKE Threat Detection, pule esta etapa.

1. Acesse a página Postura de segurança no console do Google Cloud:

   Acessar a postura de segurança

2. No bloco Ameaça, clique em Ativar detecção de ameaças.

3. Revise as permissões e os papéis do IAM que você concederá e clique em Conceder papéis e ativar detecção de ameaças. Isso ativa o GKE Threat Detection no projeto.

4. Para registrar clusters no GKE Threat Detection, clique em Selecionar clusters na página de configurações e faça isto:

   1. Marque as caixas de seleção dos clusters que você quer registrar no GKE Threat Detection.
   2. No menu suspenso Selecionar ação, escolha Definir como avançado.
   3. Clique em Aplicar.

Ativar o GKE Threat Detection em clusters individuais

Se você já ativou o GKE Threat Detection no projeto, será possível ativar a detecção de ameaças nos clusters já existentes que estão registrados em uma frota usando o console do Google Cloud ou a CLI do Google Cloud.

gcloud container clusters update CLUSTER_NAME \
    --location=LOCATION \
    --security-posture=enterprise

Ver e realizar ações em resultados do GKE Threat Detection

Depois de ativar esse recurso, pode levar até 15 minutos para que você comece a ver os resultados. O GKE exibe os resultados no painel de postura de segurança e adiciona automaticamente entradas aos registros do cluster.

Ver resultados

Para uma visão geral das preocupações descobertas nos clusters e nas cargas de trabalho do seu projeto, faça o seguinte:

1. Acesse a página Postura de segurança no console do Google Cloud.

   Acessar a postura de segurança

2. Clique na guia Preocupações.

3. No painel Filtrar preocupações, na seção Tipo de preocupação, marque a caixa de seleção Ameaça. Também é possível expandir a seção Ameaça para filtrar por subcategorias, como o tipo MITRE ATT&CK®.

4. Para ver detalhes sobre uma descoberta de ameaça individual, clique na descrição dela. O painel de detalhes da descoberta abre com as seguintes informações:

   • Detalhes sobre a ameaça, como gravidade e status
   • Recomendações para mitigar a ameaça
   • Uma lista dos recursos afetados nos clusters registrados

Ver resultados no Security Command Center

Se você usa o nível Premium do Security Command Center, é possível ver os resultados do GKE Threat Detection como descobertas THREAT.

Acesse a página Ameaças no console do Google Cloud:

Acesse Ameaças

Desativar o GKE Threat Detection

É possível desativar o GKE Threat Detection nos clusters. Para desativar o GKE Threat Detection no seu projeto, remova manualmente cada componente do Security Command Center criado ao ativar o recurso.

Desativar o GKE Threat Detection em clusters

É possível desativar o GKE Threat Detection em clusters usando a gcloud CLI ou o console do Google Cloud.

gcloud container clusters update CLUSTER_NAME \
    --location=LOCATION \
    --security-posture=TIER

A seguir

• Saiba mais sobre o GKE Threat Detection