集群资源可视化

卡巴斯基容器安全可视化了一个或多个集群内的对象，以及集群内的对象与集群或范围之外的资源之间的链接。根据集群资源可视化的级别，它将显示以下内容：

• 命名空间图表：表示集群及其中的命名空间。
• 所选集群的应用程序图：显示集群、其命名空间以及扩展命名空间的应用程序。通过将对象扩展至最低级别，可以最详细地显示应用程序图。

使用集群资源图表时，必须考虑对象显示的以下详情：

• 对象图标右上角的数字显示了指定对象内更低级别的对象（子对象）的数量。
• 图表上的对象可能会以某种颜色突出显示。如果对象符合关于风险评估和安全策略合规的既定参数，则可对其进行识别。
• 图表上的对象将按照以下规则分组：
  1. 如果突出显示的对象数量超过五个，则将其分为一组。
  2. 如果未突出显示的对象数量超过两个，则将其分为一组。
• 如需要，可以隐藏图表上的对象。

如果该集群存在活动代理，则会生成集群资源的可视化表示。

图表上的集群资源

卡巴斯基容器安全可扫描并显示集群的资源及其之间的链接。此扫描针对所有具有活动代理的集群执行。

集群资源是存储在编排器中并用于表示集群状态的实体或对象。在它们的帮助下，您可以获得有关正在运行的容器化应用程序的信息、它们的启动位置（节点）以及对其可用的资源。集群对象还可定义用于管理正在运行的应用程序的策略（例如，重新启动或更新）。

在卡巴斯基容器安全的界面中，最高级别的对象（父对象）是集群。它包括在其中启动应用程序的命名空间。反过来，应用程序包括 Pod 和其他对象。

集群是一组运行容器化应用程序的实体机或虚拟机（节点）。在 Kubernetes 中节点分为以下类型：

• 主节点实现 API 对象并用于管理集群及其资源。
• 工作节点用于运行工作负载。一个集群包含一个或多个工作节点。

卡巴斯基容器安全将集群显示为使用集群图标的图表（）。

根据您想要集群资源显示的详细程度，卡巴斯基容器安全将图表显示为命名空间图表或应用程序图表。下表列出了可能包含在集群中并显示在图表上的所有对象。

集群内的对象

命名空间图表

要查看选定集群的命名空间图表，

在包含集群列表的表中，单击“查看”。

卡巴斯基容器安全显示集群及其命名空间。

卡巴斯基容器安全可以在侧边栏或表格中的命名空间图表上显示有关集群和命名空间的信息。侧边栏提供了有关对象的简短总结。表格展示了有关集群中对象的安全扫描状态的更多详细信息。侧边栏和表格之间的数据部分重复。

在侧边栏中查看有关图表对象的详细信息

要在侧边栏查看集群信息：

1. 单击命名空间图表上的集群 () 或命名空间 () 图标。
2. 在打开的菜单中，选择“详细信息”。

   详细信息侧边栏将显示以下特定于对象的数据：

   1. 对于集群：
      • 集群名称。
      • 集群中命名空间的数量。
      • 集群编排平台。
      • 分配给集群中对象的最大风险评级。
      • 安全策略合规状态为合规或不合规。
   2. 对于命名空间：
      • 命名空间名称。
      • 命名空间中的容器和应用程序数量。
      • 命名空间中的扫描镜像数量。
      • 处理扫描任务和失败扫描任务的数量。
      • 分配给集群中对象的最大风险评级。
      • 安全策略合规状态为合规或不合规。
      • 所有风险类型的安全问题数量。对于漏洞，指明安全问题的数量，并按风险严重程度进行细分。

在表格中查看有关图表对象的详细信息

要查看表格中图表上对象的信息：

1. 单击命名空间图表中的以下图标之一：
   • 集群 ()
   • 命名空间组 ()
   • 命名空间 ()
2. 在打开的菜单中，选择“在表格中打开”。

   卡巴斯基容器安全会在图表下方的工作窗格底部打开一个表格，其中包含有关所选对象或对象组的信息。根据对象，卡巴斯基容器安全将在打开的表格中显示以下容器详细信息：

   1. 对于集群或命名空间组：
      • 集群中的命名空间列表。
      • 每个命名空间中的容器数量。
      • 每个命名空间的扫描镜像、队列中的扫描作业以及失败的扫描作业的数量。
      • 分配给集群中对象的最大风险评级。
      • 安全策略合规状态为合规或不合规。
   2. 对于选定的命名空间：
      • 此命名空间中的应用程序及其类型的列表。
      • 每个应用程序中的 Pod 和容器数量。
      • 分配给命名空间中对象的最大风险评级。
      • 安全策略合规状态为合规或不合规。

您也可以使用该表格来配置对象在图表上的显示方式，以隐藏或显示命名空间。

应用程序图表

要查看选定集群的应用程序图表：

1. 转到资源→资产→集群。
2. 执行以下操作之一：
   • 在表格查看选项卡上，打开包含命名空间列表的表格并单击“查看”。
   • 在图表查看选项卡中，打开命名空间图并执行以下操作之一：
     • 双击将命名空间扩展至应用程序。
     • 单击命名空间图标 () 打开菜单并选择在图表上展开。

   卡巴斯基容器安全显示所选命名空间中的所有应用程序。

每个应用程序都可以向下扩展到 Pod 级别。您可以在选定集群的应用程序图上查看以下对象的详细信息：

• 关于应用程序。
• 关于所选应用程序内的对象。
• 关于图表上的 Pod。

查看应用程序信息

要打开有关应用程序图中的应用程序的信息，请

单击应用程序图标 (）打开菜单并选择“详细信息”。

卡巴斯基容器安全将打开一个侧面板，其中包含有关应用程序的详细信息。

该解决方案显示有关应用程序的以下信息：

• 对象类型和应用程序类型（例如，应用程序：部署）。
• 应用程序名称。
• 最高风险评级。该解决方案可根据该应用程序内所有对象的最高严重性级别为应用程序分配风险等级。
• 安全策略合规状态为合规或不合规。
• 容器选项卡包含所选 Pod 内的容器的以下信息：
  • 容器名称。
  • 部署容器的镜像的名称。
  • 安全策略合规状态为合规或不合规。
  • 分配给 Pod 中容器的最大风险评级。
  • 所有风险类型的安全问题数量。对于漏洞，指明安全问题的数量，并按风险严重程度进行细分。
  • 上次扫描从其部署容器的镜像的日期和时间。
• 策略选项卡显示有关应用于应用程序的保障策略和运行时策略的信息。

  保障策略部分提供以下信息：

  • 策略应用状态（已通过/已失败）。
  • 策略名称。
  • 表明现有的安全威胁。根据所应用的策略，扫描结果可以显示如下：
    • 扫描已执行，识别出安全威胁（）。
    • 扫描已执行，未识别出安全威胁（）。
    • 未对此类安全威胁进行扫描（）。

  运行时策略部分包含以下信息：

  • 策略名称。
  • 策略应用模式（审计/强制）。

  通过单击策略选项卡中策略名称的链接，您可以查看其详细描述。侧栏显示以下信息：

  • 策略类型和名称。
  • 策略描述（如果有）。
  • 策略作者。
  • 模式（适用于运行时策略）。
  • 预定义范围的列表。
  • 应用策略时执行的操作（适用于保障策略）。
  • 设定基准及其参数。

  您可以通过单击编辑策略按钮来编辑保障策略的设置。

  要查看策略的详细描述，您必须具有查看它们的权限。需要策略管理权限才能更改策略设置。

查看应用程序中对象的信息

要打开有关应用程序图中的对象的信息：

1. 在应用程序图上，选择您想要获取其对象信息的应用程序，然后执行以下操作之一：
   • 双击应用程序将其展开至其组成对象。
   • 单击应用程序图标 () 打开菜单并选择在图表上展开。
2. 选择感兴趣的对象并双击以在侧面板中展开其信息。

   卡巴斯基容器安全将打开一个侧面板，其中包含有关所选对象的详细信息。

根据对象的类型，会显示有关所选实体的附加信息。下表描述了解决方案针对应用程序中的各种对象显示的信息集。

应用程序中的对象信息

您可以使用下载 .yaml按钮为所有对象生成并下载一个包含对象当前状态描述的文件（.YAML 格式）。

查看 Pod 信息

要打开 Pod 信息，请

在图表上，选择您想要接收其信息的 Pod，然后双击在侧面板中展开其信息。

卡巴斯基容器安全在所有类型的图表上显示 Pod：命名空间图表和应用程序图表。

该解决方案将打开一个侧面板，其中包含有关 Pod 的详细信息。

卡巴斯基容器安全显示有关该 Pod 的以下信息：

• 对象类型。
• Pod 镜像中的最大风险分数。
• 安全策略合规状态为合规或不合规。
• Pod 名称。
• 常规选项卡包含有关该对象的以下信息：
  • 创建的日期和时间。
  • 标签。
  • Pod 运行状态。
  • Pod 生命周期 – 查看 Pod 信息的日期和时间与其创建日期和时间之间的时间段。
  • Pod 容器使用的端口列表，格式如下：<“端口名称”端口协议>。例如，"dns" UDP 53。
  • Pod 可用的系统功能。
  • Pod 使用的 PV 的名称。
  • 所用 PVC 的名称。
  • Pod 所在的应用程序、命名空间和集群的名称。

  另外，在此选项卡中，您可以单击“下载 *.yaml”来生成并下载包含 Pod 描述的文件。

• 容器选项卡包含有关 Pod 内的容器的以下信息：
  • 容器名称。
  • 部署容器的镜像的名称。
  • 部署镜像的合规性状态：合规或不合规。
  • 部署镜像的最高风险评级。
  • 所有风险类型的安全问题数量。对于漏洞，指明安全问题的数量，并按风险严重程度进行细分。
  • 上次扫描从其部署容器的镜像的日期和时间。
  • Pod 容器使用的端口列表，格式如下：<“端口名称”端口协议>。
  • 容器的附加属性 – 它是一个
    初始化容器

    一种特殊容器，当 Pod 初始化时、在主容器启动之前启动。初始化容器为操作准备环境（例如，它们可访问秘密或重定向网络流量）并且可能包含主容器中不必要或不需要的实用程序。

    。
• 策略选项卡显示有关应用于 Pod 的保障策略和运行时策略的信息。关于应用到 Pod 的策略的信息分为两部分（保障策略和运行时策略），类似于在图表上查看有关应用程序的信息时显示的有关适用策略的信息。

  要查看策略的详细描述，您必须具有查看它们的权限。需要策略管理权限才能更改策略设置。

在表格中查看有关应用程序图表对象的详细信息

要查看作为表格的应用程序图表上对象的信息：

1. 执行以下操作之一：
   • 单击表示图表上命名空间内的应用程序数量的命名空间图标 ( ) 。
   • 单击命名空间内应用程序组的图标 (）。
2. 在打开的菜单中，选择“在表格中打开”。

   解决方案将在图表下方工作区下部打开一个表格，其中包含有关应用程序的信息。卡巴斯基容器安全显示以下信息：

   • 该命名空间中的应用程序列表及其类型（父对象的类型）。
   • 每个应用程序中的 Pod 和容器数量。
   • 分配给命名空间中对象的最大风险评级。
   • 安全策略合规状态为合规或不合规。

突出显示图表上的对象

要突出显示图形上的对象：

1. 单击图表上方的“突出显示对象”按钮。

   卡巴斯基容器安全将打开一个侧边栏，您可以在其中配置突出显示对象的设置。

2. 选中复选框以指定以下设置的值：
   1. 风险评级。您可以选择一个或多个风险严重程度级别（“严重”、“高”或“中”）。如果未选中复选框，则图表上的对象不会突出显示。

      默认情况下，值为“严重”和“高”的复选框处于选中状态。

   2. 合规 如果选中“不合规”复选框，卡巴斯基容器安全将突出显示不符合适用安全策略的对象。如果未选中此复选框，则图表上的对象不会突出显示，无论其是否符合标准。

      默认情况下，不合规为指定项。

3. 单击“应用”。

   卡巴斯基容器安全根据您的设置更新图表并显示对象。

   对于每个用户，解决方案都会保存用户指定的突出显示设置，并在显示该用户稍后打开的集群对象时应用这些设置。

配置对象在图表上的可见性

默认情况下，卡巴斯基容器安全在图表上显示集群中的所有命名空间。如果这些命名空间及其中的对象与您的特定分析任务无关，必要时您可以隐藏命名空间。

您可以配置图表对象的可见性：

• 在图表上
• 在包含子对象相关信息的表格中

要借助图表隐藏名字空间：

1. 单击图表上的对象图标。
2. 在打开的菜单中，选择“隐藏”。

   卡巴斯基容器安全将更新图表并隐藏对象。

   您可以借助包含有关父对象或对象组详细信息的表格来恢复对象的可见性。

要借助表格配置命名空间的可见性：

1. 在包含命名空间作为列的一部分的表中，选择一个或多个要更改可见性设置的对象。
2. 使用表格上方的按钮执行以下操作之一：
   • 要显示图表上的对象，请单击“在图表上显示”。
   • 要隐藏图表上的对象，请单击“在图表上隐藏”。

   卡巴斯基容器安全根据您的设置更新图表并显示对象。“数据显示”列指示对象在图表上是否显示或隐藏。

图表上的网络进程

卡巴斯基容器安全在图表上显示对象之间的网络交互，还提供有关集群资源之间网络活动的信息。

要查看集群中的网络活动：

1. 在资源→资产→集群部分，转到图形视图选项卡。
2. 单击图表区域上方的显示网络活动。

   解决方案将打开侧边栏，其中包含可供显示的网络活动类型。

3. 通过选中复选框，选择一个或多个网络活动显示选项。您可以选择以下显示选项：
   • 显示审计的活动。这将显示根据审计模式下应用的运行时策略检测到的网络连接。
   • 显示阻止的活动。这将显示根据强制模式下应用的运行时策略阻止的网络连接尝试。
   • 显示其他活动。这将显示审计和强制模式下应用的运行时策略未涵盖的网络连接。
4. 单击“应用”。

   图表将重新加载，选定的网络活动将显示。

网络进程显示原则

以下原则适用于卡巴斯基容器安全中图表上网络连接的显示：

• 解决方案将进程显示为两个对象（集群内的对象组）之间的边，或一个对象（对象组）与集群外部资源之间的边。图表上的箭头从发送者对象指向接收者对象。如果相同类型的网络活动（例如，审计活动）发生在通过网络连接链接的一对对象之间，并且对象之间的流量是双向的，则解决方案用双向箭头表示该活动。
• 如果接收对象超出了相关集群、基础设施或分配给用户的范围，则解决方案将其指示为超出集群或范围的资源。
• 如果检测到涉及此类组中至少一个对象的入站或出站流量，则图表显示与该组命名空间或应用程序的网络连接。当您将组展开到其组成对象时，将显示与特定资源的连接。
• 如果多个网络进程从一个对象转到另一个对象，则解决方案在显示它们时会采用网络活动的优先级。被阻止的活动具有最高优先级，其他活动具有最低优先级。

解决方案显示不同类型的网络活动，如下所示：

• 图表上被阻止的活动用红色虚线表示（）。
• 图表上的审计活动用带箭头的红实线表示 (）。
• 图表上的其他活动用带箭头的黑实线表示（）。
• 双向网络活动在图表上表示为与某一活动类型相对应的一条线，两端都有箭头（）。
• 如果将鼠标悬停在图表上的网络连接线上，该线将突出显示并改变颜色（）。

查看有关网络进程的信息

卡巴斯基容器安全可以提供有关网络活动的简要和详细信息。

要查看有关网络活动的简要信息：

将鼠标悬停在相关网络连接上。

一个工具提示将显示，其中包含每种网络活动类型（被阻止、审计和其他）的非唯一连接数。

要查看有关网络活动的详细信息：

单击相关连接。

这将打开侧栏，其中包含有关所选连接的网络活动的信息。

侧边栏显示侧边栏被调用之前 15 分钟的网络活动信息。网络活动信息显示在“审计的活动”、“阻止的活动”和其他活动选项卡上的表格中。连接数显示在选项卡标题旁边。

这些表格具有相同的结构并包含以下信息：

• 源列包含网络流量发送方 Pod 的名称，以及格式为<pod IP address:outbound traffic port>的 Pod 的 IP 地址。您可以单击 Pod 名称中的链接来打开该 Pod 的详细描述。
• 协议列表示 Pod 交互协议。
• 目的地列包含网络流量接收方 Pod 的名称，以及格式为<pod IP address:inbound traffic port>的 Pod 的 IP 地址。您可以单击 Pod 名称中的链接来打开该 Pod 的详细描述。
• 连接数列显​​示流量发送方和接收方之间的非唯一连接的总数。
• 上次连接列显示流量发送方和接收方之间上次非唯一连接的日期和时间。

如果发送方对象或接收方对象位于相关集群之外，则源或目的地列分别显示该对象的域名和 IP 地址（如果解决方案可以获取此信息）。

按适用范围显示图表

在图表上显示集群资源时，会考虑分配给用户角色的范围。在这种情况下，必须考虑以下几点：

• 如果为用户角色分配了全局范围，则图表会显示所有集群资源。
• 如果将访问命名空间内特定图像的范围分配给用户角色，则图表将显示整个命名空间（显示命名空间中的所有实体）。
• 如果将无权访问特定命名空间的范围分配给用户角色，则此类命名空间不会显示在图表上。

  如果在分配的范围内没有要显示的选定集群的命名空间，则解决方案将通知您没有要显示的数据。