产品概述
产品优势
应用场景
功能介绍与版本对比
K8s API 异常请求
支持实时监控集群 API 异常请求行为，包括系统策略和用户自定义规则两部分。
系统策略：基于腾讯云安全技术及多维度多种手段，通过匿名访问、异常 UA 请求、匿名用户权限变动、凭据信息获取、敏感路径挂载、命令执行、异常定时任务、静态 pod 创建、可疑容器创建等共9个规则类型，对集群 API 异常请求行为进行监测。
用户自定义规则：支持自定义 K8s API 异常请求字段，及具体生效范围，更加灵活贴近实际业务需求。
事件列表
安全状态和事件趋势
安全状态将根据系统上报的安全事件，实时统计待处理的 K8s API 异常请求事件，以及按高危、中危、低危、提示来统计安全事件数量。
事件趋势将根据系统上报的安全事件，按命中的系统规则和自定义规则来统计近七天安全事件趋势。
事件列表
您可以选择“最近生成时间”来查看安全事件，或通过集群名称或集群 ID 来检索关联的安全事件。事件列表字段包括：
字段名称 | 字段详情 |
命中规则 | 匿名访问、异常 UA 请求、匿名用户权限变动、凭据信息获取、敏感路径挂载、命令执行、异常定时任务、静态 pod 创建、可疑容器创建等9个系统规则和用户自定义规则。 |
规则类型 | 系统规则、用户自定义规则。 |
威胁等级 | 高危、中危、低危和提示。 |
受影响集群名称/ID/运行状态 | 展示安全事件影响的集群名称、集群 ID 以及集群运行状态。 |
首次生成时间 | 该条安全事件首次发生的时间。 |
最近生成时间 | 该条安全事件最近发生的时间。 |
告警数量 | 系统按集群名称、集群 ID、命中规则、请求日志等对待处理安全事件进行聚合展示，聚合周期为当天。 |
状态 | 待处理、已处理、已忽略、已加白。 |
操作 | 单击查看详情，查看事件详情。 |
查看详情
在事件列表中，单击查看详情，查看事件详情。详情包括事件详情，集群名称/ID，集群运行时组件，风险描述，建议方案，异常请求信息和 json 日志。
处理事件
1. 在事件列表中，单击处理，可以选择对事件进行标记已处理、添加白名单、忽略和删除记录，单击确定。
2. 在二次确认窗口中，进行如下操作：
标记已处理：建议您参照事件详情中的“解决方案”，人工对该事件风险进行处理，单击确定，处理后可将事件标记为已处理。
添加白名单：配置相关参数，单击确定。
说明：
若您确认该 K8s API 请求属于正常行为，可添加白名单放行规则，后续再出现该请求，将直接放行不再告警，请谨慎操作。
添加白名单时，系统会根据加白的来源事件自动填入触发告警的字段和集群。如有需要，可手动调整白名单的生效字段和生效集群范围。
忽略：单击确定，仅将已选事件进行忽略，若再有相同事件发生依然会进行告警。
删除记录：单击确定，删除已选事件记录，控制台将不再显示，无法恢复记录，请慎重操作。
规则配置
系统规则
在规则配置页面，开启或关闭系统规则和自定义规则。单击系统规则名称，可查看全部系统规则类型，如下图所示。用户也可以通过此页面，关闭部分系统规则类型。
自定义规则
除容器安全服务产品提供的系统规则，用户也可以自定义创建规则。
在规则配置页面，单击创建规则，配置相关参数，单击保存。
字段名称 | 字段详情 |
基础设置 | 包括自定义规则的名称，以及是否启用规则的开关。 |
规则设置 | 在此部分配置告警和放行的字段，配置告警字段时需同步配置规则的威胁等级。 当配置内容多条时，单击下方的添加规则即可。 配置规则的具体内容时，单击匹配范围列的编辑，规则配置支持正则表达式。 |
生效范围 | 用户可自定义选择配置规则的生效集群范围。 注意：同一个集群只能绑定一个自定义规则，如需对一个集群配置多条检测规则，建议在同一条规则中编辑添加。 |
TKE K8s集群开启审计流程
当集群的审计功能未开启时，无法采集到 K8s API 的审计日志来进行风险检测。
说明：
1. 在容器服务控制台的 运维功能管理页面，选中需要开启审计的集群，单击设置。
2. 在设置功能页面，单击集群审计功能的编辑。
3. 勾选开启集群审计，单击确定即可。
文档反馈