Uruchamiasz klastry AKS i przechowujesz obrazy w Azure Container Registry (ACR). Potrzebujesz skanowania obrazów pod kątem luk w zabezpieczeniach przy wypychaniu do ACR oraz wykrywania zagrożeń w czasie rzeczywistym z klastrów. Co powinieneś zrobić?

Prawidłowa odpowiedź to włączenie planu Microsoft Defender for Containers na poziomie subskrypcji. Ten plan zapewnia kompleksową ochronę dla środowisk kontenerowych, w tym skanowanie obrazów w Azure Container Registry (ACR) pod kątem luk w zabezpieczeniach podczas wypychania oraz wykrywanie zagrożeń w czasie rzeczywistym dla klastrów AKS za pomocą czujnika Defender (DaemonSet). Przypisanie wbudowanej inicjatywy zasad automatyzuje wdrożenie tego czujnika. Opcja z Microsoft Defender for Servers Plan 2 jest nieprawidłowa, ponieważ jest przeznaczona głównie dla maszyn wirtualnych i serwerów, a nie dla kompleksowej ochrony kontenerów i rejestrów. ACR Tasks służą do automatyzacji zadań budowania i zarządzania obrazami, a Azure Monitor VM insights monitoruje maszyny wirtualne, nie zapewniając skanowania luk w zabezpieczeniach obrazów ani wykrywania zagrożeń w czasie rzeczywistym dla kontenerów. Reguły alertów Azure Monitor oparte na metrykach Container Insights monitorują wydajność i dostępność, ale nie wykonują skanowania luk w zabezpieczeniach ani zaawansowanego wykrywania zagrożeń. Azure Firewall chroni ruch sieciowy, ale nie skanuje obrazów kontenerów ani nie monitoruje wewnętrznych zagrożeń w klastrach AKS w sposób, w jaki robi to Defender for Containers.