Gruppen

Gelernte Gruppen (nicht reservierte oder benutzerdefinierte Gruppen) können automatisch von SUSE® Security gelöscht werden, wenn keine Mitglieder (Container) in der Gruppe vorhanden sind. Der Zeitraum dafür ist in den Einstellungen → Konfiguration konfigurierbar.

SUSE® Security erstellt automatisch eine Gruppe namens 'nodes', die jeden Node (Host) im Cluster repräsentiert. SUSE® Security bietet automatisierte grundlegende Überwachung von Hosts auf verdächtige Prozesse (wie Portscans, Reverse Shells usw.) und Privilegieneskalationen. Darüber hinaus wird SUSE® Security das Prozessverhalten jedes Nodes im Entdecken-Modus erlernen, um diese Prozesse auf die Whitelist zu setzen, ähnlich wie es bei Container-Prozessen geschieht. Die Regelauflistung der 'lokalen' (gelernten) Prozesse ist eine Kombination aller Prozesse von allen Nodes im Cluster im Entdecken-Modus.

Die Nodes können dann in den Monitor- oder Protect-Modus versetzt werden, wobei SUSE® Security alarmiert, wenn ein Prozess im Monitor-Modus gestartet wird, und diesen Prozess im Protect-Modus blockiert.

Um den Hostschutz mit Prozessprofilregeln zu aktivieren, wählen Sie die Gruppe 'nodes' aus und überprüfen Sie die gelernten Prozesse auf dem Node. Passen Sie bei Bedarf an, indem Sie Prozessregeln hinzufügen, löschen oder bearbeiten. Wechseln Sie dann den Modus zu Monitor oder Protect.

Gruppen können manuell hinzugefügt werden, indem die Kriterien für die Gruppe eingegeben werden. Hinweis: Benutzerdefinierte Gruppen haben keinen Schutzmodus. Das liegt daran, dass sie Container aus verschiedenen zugrunde liegenden Gruppen enthalten können, von denen jede in einem anderen Modus sein kann, was zu Verwirrung über das Verhalten führt.

Gruppen können erstellt werden durch:

Eine Gruppe kann mit gemischten Kriterienarten erstellt werden, mit Ausnahme des Typs 'Adresse', der nicht zusammen mit anderen Kriterien verwendet werden kann. Gemischte Kriterien erzwingen eine ‘AND’ Operation zwischen den Kriterien, zum Beispiel label service_type=data UND image=mysql. Mehrere Einträge für ein oder mehrere Kriterien werden als ODER behandelt, zum Beispiel address=google.com ODER address=yahoo.com. Hinweis: Um bei der Analyse von Eingangs-/Ausgangsverbindungen zu helfen, kann eine Liste von Eingangs- und Ausgangs-IPs aus dem Dashboard → Abschnitt Eingangs-/Ausgangsdetails als Exposure Report heruntergeladen werden.

Teilweise Übereinstimmungen werden für die Kriterien Image, Node, Container, Service und Label unterstützt. Zum Beispiel wählt image@redis Container aus, deren Image-Namen den Teilstring 'redis' enthalten; image^redis wählt Container aus, deren Image-Namen mit 'redis' beginnen.

Es wird nicht empfohlen, Adresskriterien zu verwenden, um interne IPs oder Subnetze abzugleichen, insbesondere solche, die durch Enforcer geschützt sind; stattdessen wird empfohlen, deren Metadaten wie Image, Service oder Labels zu verwenden. Die typischen Anwendungsfälle für Adressgruppen bestehen darin, Richtlinien zwischen verwalteten Containern und externen IP-Subnetzen zu definieren, zum Beispiel Dienste, die im Internet oder in einem anderen Rechenzentrum laufen. Adressgruppen haben keine Gruppenmitglieder.

Platzhalter '' können in Kriterien verwendet werden, zum Beispiel 'address=.google.com'. Für flexiblere Übereinstimmungen verwenden Sie die Tilde '~', um anzuzeigen, dass ein Regex-Abgleich gewünscht ist. Zum Beispiel, um Labels 'policy~public.*-ext1' für das Label Richtlinie abzugleichen.

Nach dem Speichern einer neuen Gruppe wird SUSE® Security die Mitglieder in dieser Gruppe anzeigen. Regeln können dann unter Verwendung dieser Gruppen erstellt werden.