azure - 容器守护者 : what's needed for log analysis?

Question

查找有关容器 Defender 的一些信息，特别是它如何获取其分析的日志。

文档内容如下( doc link ):

To protect your Kubernetes containers, Defender for Containers receives and analyzes:

    Audit logs and security events from the API server
    Cluster configuration information from the control plane
    Workload configuration from Azure Policy
    Security signals and events from the node level

1. 从哪里/如何获取审核日志？将它们发送到日志分析工作区还是存储帐户是否重要？

2. 它使用哪些审核日志？以下类型是可配置的:

• Kubernetes API 服务器
• Kubernetes 审计
• Kubernetes Controller 管理器
• Kubernetes 调度程序
• Kubernetes 集群自动扩缩器
• Kubernetes 审核管理日志
• 守卫
• Kubernetes 云 Controller 管理器
• csi-azuredisk- Controller
• csi-azurefile-controller
• CSI 快照 Controller

我可以假设 Defender 仅使用 Kubernetes API Server 类型日志吗？还是其他层也进行了分析？

谢谢!

深入研究文档，但没有找到明确的答案。

Answer 1

我已为创建的一个节点池创建了 AKS 群集对于这个集群，我们创建了一个新的节点池，我们可以检查该集群的日志，还可以在 Microsoft Defender for cloud 中找到日志

从 Microsoft Defender Cloud 获取日志

Where/how does it get the audit logs

您必须启用 AKS 群集 > 诊断设置所需的日志类别:

根据日志类型要求，启用我们可以选择所有类别的类别。

Which audit logs does it use? Following types are configurable:

kube-audit 给出所有审计日志数据，这些数据是来自 Kubernetes 集群的安全类别审计日志。

Does it matter if they are sent to log analytics workspaces or to a storage account?

在存储帐户中，您无法获得过滤日志的查询功能，但在 Log Analytics workspaces 中却无法获得过滤日志的查询功能。 ，您可以根据日志的持续时间等过滤器查询日志，还可以增加数据的保留期限。

Can I assume defender only uses the Kubernetes API Server type logs?

正如您在上面的屏幕截图中看到的，Microsoft Defender 显示了所有日志，例如 Kubernetes API 服务器、安全相关日志，您可以通过选择每个日志以及修复步骤来进行深入分析。