7.2. 高严重性安全策略

构建或部署

可修复的通用漏洞评分系统(CVSS)>= 7

当部署具有可修复的、CVSS 最少为 7 的安全漏洞时发出警报。但是，红帽建议您使用通用漏洞和暴露(CVE)严重性而不是 CVSS 分数创建策略。

Disabled

构建或部署

可修复的严重性至少为重要

当部署具有可修复漏洞的部署时，警报的严重性等级至少为 Important （重要）。

Enabled

构建或部署

快速重置：HTTP/2 协议中拒绝服务漏洞

在带有镜像（包含与 HTTP/2 服务器的 Denial Service (DoS)漏洞相关的组件）的部署中的警报。这个问题解决了在 HTTP/2 中处理多路流的缺陷。客户端可以快速创建请求并立即重置请求，从而为服务器创建额外的工作，同时避免达到任何服务器端的限制，从而导致拒绝服务攻击。要使用此策略，请考虑克隆策略并在启用前添加可修复的策略标准。

Disabled

构建或部署

在镜像中公开安全 Shell (ssh)端口

当部署公开端口 22 时发出警报，这通常为 SSH 访问保留。

Enabled

部署

紧急部署注解

当部署使用紧急注解时，如 "admission.stackrox.io/break-glass":"ticket-1234" to circumvent StackRox Admission 控制器检查。

Enabled

部署

环境变量包含 Secret

当部署具有包含 'SECRET' 的环境变量时发出警报。

Enabled

部署

可修复 CVSS >= 6 和特权

当部署以特权模式运行，带有至少 6 CVSS 的可修复漏洞时发出警报。但是，红帽建议您使用 CVE 严重性而不是 CVSS 分数创建策略。

在版本 3.72.0 及更高版本中默认禁用

部署

带有重要和关键修复的 CVE 的特权容器

当以特权模式运行的容器具有重要或关键修复漏洞时，会发出警报。

Enabled

部署

Secret 挂载为环境变量

当部署具有作为环境变量挂载的 Kubernetes secret 时发出警报。

Disabled

部署

Secure Shell (ssh)端口公开

当部署公开端口 22 时发出警报，这通常为 SSH 访问保留。

Enabled

Runtime

Cryptocurrency Mining Process Execution

生成 crypto-curcy mining 进程。

Enabled

Runtime

iptables 执行

检测某个人运行 iptables，这是在容器中管理网络状态的已弃用方法。

Enabled

Runtime

Kubernetes Actions: Exec into Pod

当 Kubernetes API 收到一个容器中运行命令的请求时发出警报。

Enabled

Runtime

Linux 组添加执行

检测某人运行 addgroup 或 groupadd 二进制文件来添加 Linux 组。

Enabled

Runtime

Linux 用户添加执行

检测某人运行 useradd 或 adduser 二进制文件来添加 Linux 用户。

Enabled

Runtime

Login Binaries

指明某人尝试登录时。

Disabled

Runtime

网络管理执行

检测某人运行可操作网络配置和管理的二进制文件。

Enabled

Runtime

nmap Execution

当某个人在运行时启动容器中的 nmap 进程时发出警报。

Enabled

Runtime

OpenShift: Kubeadmin Secret Accessed

当某人访问 kubeadmin 机密时发出警报。

Enabled

Runtime

密码 Binaries

指明某人尝试更改密码的时间。

Disabled

Runtime

以集群 Kubelet 端点为目标的进程

检测 healthz、kubelet API 或 heapster 端点的滥用。

Enabled

Runtime

以集群 Kubernetes Docker Stats 端点为目标的进程

检测 Kubernetes docker stats 端点的滥用。

Enabled

Runtime

以 Kubernetes 服务端点为目标的进程

检测 Kubernetes Service API 端点的滥用。

Enabled

Runtime

UID 为 0 的进程

当部署包含 UID 0 运行的进程时发出警报。

Disabled

Runtime

Secure Shell Server (sshd)执行

检测运行 SSH 守护进程的容器。

Enabled

Runtime

setuid 进程

使用 setuid 二进制文件，允许人们使用升级的特权运行某些程序。

Disabled

Runtime

影子文件修改

指明某人试图修改影子文件。

Disabled

Runtime

Java 应用程序 shell Spawned

检测何时将 shell （如 bash、csh、sh 或 zsh）作为 Java 应用程序的子进程运行。

Enabled

Runtime

未授权的网络流

为任何位于"alert on anomal anomalous violations"设置基准之外的网络流生成违反情况。

Enabled

Runtime

未授权的进程执行

为 Kubernetes 部署中容器规格未明确允许的任何进程执行生成违反情况。

Enabled