Modello di architettura per l'integrazione di IBM Cloud Security and Compliance Center Workload Protection con VMware Cloud Foundation distribuzione in Classic
Fine della commercializzazione: a partire dal 31 ottobre 2025, le nuove implementazioni delle offerte " VMware Solutions " non saranno più disponibili per i nuovi clienti. I clienti esistenti possono continuare a utilizzare e ampliare i propri carichi di lavoro attivi su VMware® all'indirizzo IBM Cloud®. Per ulteriori informazioni, vedere Fine della commercializzazione per VMware su IBM Cloud.
Questo modello di architettura descrive come utilizzare IBM Cloud® Security and Compliance Center Workload Protection con un'istanza VMware Cloud Foundation for Classic - Automated con NSX-T sull'infrastruttura classica IBM Cloud.
Security and Compliance Center Workload Protection offre funzioni per proteggere le macchine virtuali (VM) Microsoft Windows® e Linux® ospitate nell'ambiente VMware®. Queste funzioni comprendono la conformità, la scansione delle vulnerabilità e il rilevamento delle minacce.
Sebbene Security and Compliance Center Workload Protection offra funzioni per gli altri servizi IBM Cloud, tali funzioni non vengono discusse in questo schema. Per ulteriori informazioni, consultare Iniziare con IBM Cloud Security and Compliance Center Workload Protection.
IBM Cloud Security and Compliance Center Workload Protection integra le funzionalità di Sysdig Secure. Le informazioni fornite dalla documentazione di Sysdig Secure si applicano anche a Workload Protection.
Dopo aver eseguito il provisioning di un'istanza del servizio Security and Compliance Center Workload Protection, è possibile distribuire gli agenti Host Shield sulle macchine virtuali Windows o Linux. Gli agenti raccolgono dati che vengono utilizzati per le funzionalità di rilevamento delle intrusioni, gestione della postura e scansione delle vulnerabilità.
Panoramica di Security and Compliance Center Workload Protection per i carichi di lavoro VMware
Security and Compliance Center Workload Protection abilita le seguenti tre pratiche per i carichi di lavoro VMware:
- Rilevamento delle minacce - Il rilevamento delle minacce viene gestito mediante la definizione di criteri, che consistono in regole per rilevare e rispondere a violazioni della sicurezza, comportamenti sospetti o attività anomale all'interno delle macchine virtuali Windows e Linux. Security and Compliance Center Workload Protection fornisce criteri personalizzabili e precostituiti, creati e gestiti dal team di ricerca sulle minacce di Sysdig. Questi criteri sono in grado di rilevare e prevenire varie minacce alla sicurezza, come malware, intrusioni e attacchi DDoS. I risultati di queste politiche possono essere visualizzati in Eventi. Per ulteriori informazioni, vedere Feed eventi.
- Vulnerabilità - Security and Compliance Center Workload Protection offre una visione estremamente accurata dei rischi di vulnerabilità delle macchine virtuali Windows e Linux. Le visualizzazioni includono ricchi dettagli sui rischi di vulnerabilità, quali: Vettore CVSS, punteggio, età della correzione e informazioni provenienti da diversi feed di esperti, tra cui il National Vulnerability Database (NVD) del NIST e VulnDB.
- Conformità - La gestione della postura fornisce il quadro che comprende controlli, linee guida, parametri di riferimento e standard per la gestione della conformità. Con Security and Compliance Center Workload Protection è possibile valutare
le macchine virtuali Windows e Linux rispetto a diversi CIS benchmark, come CIS Distribution Independent Linux Benchmark e criteri di conformità o CIS Windows Server 2019/2022 Benchmark. Per ulteriori informazioni, consultare Analisi delle posizioni di conformità dal rilevamento alla correzione.
I casi d'uso tipici includono:
- Verificare lo stato di conformità attuale rispetto alle politiche predefinite per comprendere l'entità del divario di conformità.
- Dimostrare a un revisore lo stato di conformità in un momento specifico, creando un rapporto sullo stato di conformità delle macchine virtuali.
Schema per l'integrazione di Security and Compliance Center Protezione del carico di lavoro
Il diagramma seguente mostra un esempio di integrazione di un vCenter Server con istanza NSX-T su IBM Cloud infrastruttura classica con IBM Cloud Security and Compliance Center Workload Protection.
Questo modello di architettura è riassunto come segue:
- Gli agenti, installati sulle macchine virtuali Windows o Linux, raccolgono dati utilizzati per il rilevamento delle minacce, la gestione della postura e la scansione delle vulnerabilità. Per ulteriori informazioni, vedere Agenti Sysdig. Gli agenti Sysdig Host Shield forniscono rilevamento delle minacce, gestione della postura e scansione delle vulnerabilità. Per ulteriori informazioni, consulta:
- I server DNS devono essere in grado di risolvere gli URL degli endpoint di Security and Compliance Center Workload Protection. Configurare i server DNS per utilizzare i resolver DNS IBM Cloud, se necessario.
- Le regole del firewall consentono il download degli agenti da Internet e la connettività HTTPS agli endpoint privati di Security and Compliance Center Workload Protection. Per ulteriori informazioni sulla configurazione delle regole del firewall, vedere Aggiungi un criterio e una regola del firewall gateway.
- Le regole SNAT (Source Network Address Translation) consentono di tradurre gli indirizzi IP di overlay delle macchine virtuali in IBM Cloud indirizzi IP forniti che possono essere utilizzati su Internet. Per ulteriori informazioni sulla configurazione delle regole SNAT, vedere Configurazione di NAT/DNAT/No SNAT/No DNAT/Reflexive NAT.
- L'istanza " IBM Cloud " ( Security and Compliance Center ) di Workload Protection. Per ulteriori informazioni, consulta:
Considerazioni
Quando si progetta o si distribuisce questo modello di architettura, si devono considerare le seguenti informazioni:
- Per comunicare con l'istanza di Workload Protection Security and Compliance Center è necessario un solo indirizzo IP SNAT per tutte le macchine virtuali ospitate nel centro dati virtuale.
- Questo schema descrive i criteri del firewall e SNAT configurati sul T0. È possibile utilizzare anche l'opzione T1.
- Questo schema non utilizza il firewall distribuito. Per ulteriori informazioni sulla configurazione del firewall distribuito, vedere Filtraggio FQDN.