執行時惡意程式掃描

掃瞄類型

• 預約掃瞄：根據在 Container Security 政策中設定的可配置排程（cron 表達式），定期掃瞄部署在叢集中的所有容器映像。提供針對最新惡意程式模式的全面覆蓋。啟用預約掃瞄。
• 即時掃瞄：監控正在執行的容器中的檔案系統活動，並在檔案寫入事件被檢測到時立即掃瞄新寫入或修改的檔案。提供部署後引入的惡意程式的即時檢測，例如被入侵的程序抓取的有效載荷。您可以透過部署 Helm 圖表並設置 malwareScanning: enabled 來啟用即時掃瞄。請參閱 啟用執行時安全性和掃描功能 以獲取詳細資訊。

啟用預約掃瞄

1. 移至「Container Security」 → 「組態」 → 「政策」。
2. 選取指派給您叢集的策略。
3. 在惡意程式掃瞄部分，啟用預約掃瞄中並設定所需的時間表。

注意 為了均勻分配掃瞄負載，掃瞄管理器在開始每個掃瞄作業之前會應用隨機抖動（最多90秒）。這樣可以防止所有掃瞄作業同時開始並使掃瞄器不堪重負。

掃描邏輯

• 自動重新掃瞄：掃瞄完成後，工作負載操作員會等待可配置的重新掃瞄間隔（預設為24小時），然後觸發掃瞄管理器創建新的掃瞄工作。當預約掃瞄啟動或惡意程式掃瞄政策更新時，也會觸發重新掃瞄。
• 影像掃瞄快取：為避免重複掃瞄，掃瞄管理器會維護一個具有24小時到期時間的影像掃瞄快取。過去24小時內已掃瞄的影像將被略過。
• 樣本更新：惡意程式掃描器會自動從TrendAI™的主動更新 (AU) 伺服器下載並套用新的惡意程式樣本更新。更新會在記憶體中套用，無需重新啟動掃描器。

掃瞄範圍和排除的路徑

• /proc
• /dev
• /sys

緩解措施

• 記錄檔：記錄偵測事件而不採取進一步行動。這是預設設定。
• 終止：自動終止受影響的 Pod。
• 隔離：自動隔離受影響的 Pod，阻斷所有網路流量。

  重要 「隔離」 操作需要在叢集中安裝 Kubernetes 網路策略插件（例如 Calico）。

查看掃瞄結果

測試執行時惡意程式掃瞄

1. 部署一個測試 Pod 以下載 EICAR 測試檔案。

   kubectl run malware-test --image=busybox --restart=Never -- \
     sh -c "wget -q -O /tmp/eicar.com 'https://secure.eicar.org/eicar.com' && sleep 3600"

2. 等待掃瞄啟動。如果您已設定預約掃瞄，請等待下一次掃瞄週期。即時掃瞄會偵測到新檔案並自動啟動掃瞄。
3. 前往「記錄檔」 → 「Runtime Malware」。尋找名為Eicar_test_file的偵測項目，並確認檔案路徑在malware-test容器中顯示/tmp/eicar.com。
4. 清理測試 pod。

   kubectl delete pod malware-test

XDR 整合

架構與資源