Azure Defender for Containers

Définition

Microsoft Defender for Containers est la solution de sécurité des conteneurs dans Microsoft Defender for Cloud (anciennement Azure Security Center). Elle protège les environnements de conteneurs Azure Kubernetes Service (AKS), les registres Azure Container Registry (ACR), et les clusters Kubernetes on-premises et multi-cloud (EKS, GKE via Azure Arc). Defender for Containers offre quatre capacités principales. La protection du plan de contrôle K8s : audit et hardening de la configuration du cluster AKS contre les benchmarks CIS Kubernetes et les meilleures pratiques Microsoft. Le scanning des images dans ACR : analyse automatique des images lors du push et réscanning continu (toutes les 24h ou à chaque nouvelle CVE) avec Qualys ou Trivy intégré. La protection runtime des workloads : détection des comportements anormaux dans les conteneurs en cours d'exécution via des règles comportementales (processus inattendus, connexions réseau vers des IPs malveillantes, tentatives d'escalade de privilege). L'inventaire et la posture : inventaire de tous les conteneurs et les évaluer contre les recommandations de sécurité Defender. L'intégration de Defender for Containers avec Microsoft Sentinel via le connecteur natif Defender for Cloud permet d'envoyer automatiquement les alertes de sécurité conteneur vers Sentinel pour la corrélation et l'investigation. Les alertes incluent : manipulation du runtime Kubernetes, commandes suspectes dans les conteneurs, accès à des fichiers sensibles depuis les conteneurs, et connexions réseau vers des IPs malveillantes connues. Defender for Containers applique des recommandations de sécurité actionnables aux ressources AKS : activation de RBAC, rotation des certificats, désactivation du dashboard Kubernetes, configuration de l'accès réseau autorisé au plan de contrôle, et activation des politiques réseau. Ces recommandations contribuent au Secure Score Azure et permettent de prioriser les améliorations de sécurité. Le pricing de Defender for Containers est par core-heure de CPU des nœuds Kubernetes surveillés (environ 0.01$ par core-heure), sans limite sur le nombre de clusters ou d'images scannées. Pour les grands clusters Kubernetes en production, le coût peut être significatif mais est généralement justifié par les capacités de détection et la compliance.