#Просмотр и управление политиками безопасности

Alauda Container Security предлагает как стандартные, так и настраиваемые политики безопасности, которые помогают предотвращать развертывания с высоким уровнем риска и реагировать на инциденты во время выполнения в вашей контейнерной среде.

---

#Категории политик

Политики организованы по типу и функции для удобства управления и поиска. Стандартные категории включают:

• Anomalous Activity
• Cryptocurrency Mining
• DevOps Best Practices
• Docker CIS
• Kubernetes
• Kubernetes Events
• Network Tools
• Package Management
• Privileges
• Security Best Practices
• Supply Chain Security
• System Modification
• Vulnerability Management
• Zero Trust

Для управления категориями:

1. Перейдите в Platform Configuration > Policy Management.
2. Нажмите на вкладку Policy Categories.
3. Создавайте, просматривайте или управляйте категориями по необходимости.

---

#Этапы жизненного цикла политики

При создании или редактировании политики вы можете указать один или несколько этапов жизненного цикла:

• Build: Проверка полей образа (например, CVE, инструкции Dockerfile).
• Deploy: Включает проверки на этапе сборки и конфигурацию кластера (например, привилегированный режим).
• Runtime: Добавляет проверки выполнения процессов и событий во время работы.

---

#Критерии и атрибуты политики

Политики срабатывают на основе определённых критериев (атрибутов). В следующих таблицах приведены распространённые атрибуты и их описания. Для подробностей о допустимых значениях, операторах и применимых фазах смотрите примечания под каждой таблицей.

#Реестр образов и содержимое

Операторы: Regex, NOT, AND, OR, OR only, AND only, None и др.
Фазы: Build, Deploy, Runtime

---

#Конфигурация контейнера

Операторы: Regex, AND, OR, None и др.
Фазы: Deploy, Runtime

---

#Метаданные развертывания

Операторы: Regex, AND, OR, NOT, None и др.
Фазы: Deploy, Runtime

---

#Хранение и сеть

Операторы: Regex, AND, OR, NOT, None и др.
Фазы: Deploy, Runtime, Runtime (Network)

---

#Активность процессов (только Runtime)

Операторы: Regex, AND, OR, NOT, None и др.
Фазы: Runtime (Process)

---

#Доступ и события Kubernetes

Операторы: Regex, AND, OR, NOT, None и др.
Фазы: Deploy, Runtime, Runtime (K8s Events), Runtime (Audit Log)

---

#Принудительное применение политики

Alauda Container Security поддерживает несколько типов принудительного применения в зависимости от фазы политики:

• Принудительное применение на этапе сборки: CI-сборки завершаются с ошибкой, если образы нарушают политику. API возвращает ненулевой код выхода, который можно использовать для прерывания пайплайна сборки.
• Принудительное применение на этапе развертывания: Интегрируется с admission controllers Kubernetes и admission плагинами Alauda Container Platform для блокировки несоответствующих workloads. Принудительное применение может быть:
  • Жёстким: admission controller блокирует создание или обновление нарушающих развертываний.
  • Мягким: Sensor масштабирует нарушающие развертывания до нуля реплик, предотвращая запуск pod'ов.
• Принудительное применение во время выполнения: При включении любое нарушение политики во время работы pod'а приводит к его автоматическому удалению. Нарушения, вызванные через API-сервер, также блокируются.

Примечание: По умолчанию административные namespace, такие как stackrox, kube-system, cpaas-system и istio-system, исключены из блокировки принудительного применения. Запросы от service account в системных namespace также обходятся.

Для применения изменений политики к существующим развертываниям используйте Policy Management > Reassess All, чтобы инициировать принудительное применение ко всем развертываниям.

---

#Экспорт и импорт политик

Вы можете обмениваться политиками безопасности между разными экземплярами Central, экспортируя и импортируя политики в формате JSON.

#Экспорт политики

1. Перейдите в Platform Configuration > Policy Management.
2. Выберите политику для экспорта.
3. Нажмите Actions > Export policy to JSON.

#Импорт политики

1. Перейдите в Platform Configuration > Policy Management.
2. Нажмите Import Policy.
3. Загрузите JSON-файл и нажмите Begin Import.

Обработка импорта:

• Если UID и имя импортируемой политики уникальны, создаётся новая политика.
• Если UID совпадает, но имя отличается, можно сохранить обе (новый UID) или заменить существующую.
• Если имя совпадает, но UID отличается, можно сохранить обе (переименовать) или заменить существующую.
• Если совпадают и UID, и имя, Alauda Container Security проверяет совпадение критериев. Если они совпадают, существующая политика сохраняется; иначе можно сохранить обе (переименовать) или заменить.

Важно:

• При импорте в тот же экземпляр Central используются все экспортированные поля.
• При импорте в другой экземпляр Central некоторые поля (например, исключения областей кластера, уведомления) опускаются и не могут быть перенесены.