4.6. 使用进程基准
您可以通过对基础架构安全性使用流程基础来最小化风险。通过这种方法,Red Hat Advanced Cluster Security for Kubernetes 首先发现现有进程并创建基准。然后,它以默认的 deny-all 模式运行,只允许基线中列出的进程运行。
进程基准
安装 Red Hat Advanced Cluster Security for Kubernetes 时,没有默认的进程基准。当 Red Hat Advanced Cluster Security for Kubernetes 发现部署时,它为部署中的每个容器类型创建一个进程基准。然后,它会将所有发现的进程添加到自己的进程基线中。
进程基准状态
在进程发现阶段,所有基准都处于解锁状态。
处于 解锁 状态:
- 当 Red Hat Advanced Cluster Security for Kubernetes 发现新的进程时,它会将该进程添加到进程基点中。
- 进程不会显示为风险,且不会触发任何违反情况。
当 Red Hat Advanced Cluster Security for Kubernetes 从部署中的一个容器接收第一个进程指示符时,它会完成进程发现阶段。此时:
- Red Hat Advanced Cluster Security for Kubernetes 会停止向进程基础中添加进程。
- 不在进程基线中的新进程会显示为风险,但不会触发任何违反情况。
要生成违反情况,您必须手动锁定进程基线。
处于 锁定状态 :
- Red Hat Advanced Cluster Security for Kubernetes 会停止向进程基础中添加进程。
- 不在进程基线中的新进程会触发违反情况。
独立于锁定或解锁的基准状态,您始终可以从基线中添加或移除进程。
对于一个部署,如果每个 pod 都有多个容器,Red Hat Advanced Cluster Security for Kubernetes 会为每个容器类型创建一个进程基准。对于这样的部署,如果锁定了一些基准并且一些基准被解锁,则该部署的基准状态将显示为 Mixed。
4.6.1. 查看进程基准 复制链接链接已复制到粘贴板!
您可以从 风险 视图中查看进程基准。
流程
- 在 RHACS 门户中,从导航菜单中选择 Risk。
- 从默认 风险 视图中的部署列表中选择一个部署。部署详情会在右侧的面板中打开。
- 在 Deployment details 面板中,选择 Process Discovery 选项卡。
- 进程基准在 Spec Container Baselines 部分下看到。
4.6.2. 在基线中添加进程 复制链接链接已复制到粘贴板!
您可以向基准添加一个进程。
流程
- 在 RHACS 门户中,从导航菜单中选择 Risk。
- 从默认 风险 视图中的部署列表中选择一个部署。部署详情会在右侧的面板中打开。
- 在 Deployment details 面板中,选择 Process Discovery 选项卡。
- 在 Running Processes 部分下,点您要添加到进程基线的进程的 Add 图标。
Add 图标仅适用于不在进程基线中的进程。
4.6.3. 从基准中删除进程 复制链接链接已复制到粘贴板!
您可以从基准中删除进程。
流程
- 在 RHACS 门户中,从导航菜单中选择 Risk。
- 从默认 风险 视图中的部署列表中选择一个部署。部署详情会在右侧的面板中打开。
- 在 Deployment details 面板中,选择 Process Discovery 选项卡。
- 在 Spec Container baselines 部分下,点您要从进程基准中删除的进程的 Remove 图标。
4.6.4. 锁定和解锁进程基准 复制链接链接已复制到粘贴板!
您可以锁定基线,以为所有没有列在基线中的进程触发违规,也可以取消锁定基线来停止触发违规。
流程
- 在 RHACS 门户中,从导航菜单中选择 Risk。
- 从默认 风险 视图中的部署列表中选择一个部署。部署详情会在右侧的面板中打开。
- 在 Deployment details 面板中,选择 Process Discovery 选项卡。
在 Spec Container baselines 部分下:
- 点 锁定 图标为不在基线中的进程触发违反情况。
- 点 Unlock 图标为不在基线中的进程停止触发违反情况。