Was ist der Unterschied zwischen der kostenlosen Testversion und den Stufenplänen?

Mit der kostenlosen Testversion können Sie alle Funktionen von Workload Protection 30 Tage lang kostenlos nutzen. Nach 30 Tagen können Sie auf den kostenpflichtigen Stufenplan umsteigen. Weitere Informationen finden Sie unter Preisgestaltung.

Wie werden die Preise für Workload Protection berechnet?

Ihre Preisgestaltung hängt davon ab, wie Sie Workload Protection nutzen:

• Cloud Security Posture Management (CSPM) für die Einhaltung von Cloud-Compliance-Vorgaben: Die Preise richten sich nach der Anzahl der gescannten Recheninstanzen. Eine Liste der Recheninstanzen, für die Gebühren anfallen, finden Sie unter „ Abrechnungsfähige Ressourcen “. Für andere Cloud-Ressourcen, die im Rahmen von CSPM gescannt werden, fallen keine Kosten an.
• Kubernetes Schutz durch auf Clustern installierte Agenten: Die Abrechnung erfolgt pro Worker-Knoten-Stunde.
• Host-Schutz mit auf virtuellen Maschinen installierten Agenten: Die Abrechnung erfolgt pro virtueller Maschine ( VM ) und Knotenstunde.

Der Preis wird monatlich oder stündlich nach Ihrem Verbrauch berechnet. Wenn Ihre Nutzung zunimmt, können Sie von Mengenrabatten über alle Preisstufen hinweg profitieren. Weitere Informationen finden Sie unter Preisgestaltung.

Kann ich Terraform nutzen, um die Bereitstellung v Workload Protection zu automatisieren?

Ja. Das Modul „ Workload Protection “ stellt eine sorgfältig zusammengestellte Terraform-Konfiguration bereit, mit der sich „ IBM Cloud Security and Compliance Center Workload Protection “-Instanzen als Code bereitstellen und verwalten lassen. Damit können Sie die Einrichtung von Instanzen konsequenterweise über verschiedene Konten oder Umgebungen hinweg automatisieren. Einen Überblick über die verfügbaren Terraform-Module für „ IBM Cloud “ finden Sie unter Über Terraform- IBM-Module.

Benötige ich separate Agenten, wenn ich sowohl Workload Protection als auch Monitoring auf demselben Cluster verwende?

Nein. Ein einziger Agent kann Daten sowohl für Workload Protection (Sicherheit) als auch für Monitoring (Überwachung) sammeln, wenn Sie Ihre Instanzen während der Instanzerstellung verbinden. Weitere Informationen finden Sie unter Häufig gestellte Fragen zu IBM Cloud Monitoring.

Welche Betriebssysteme und Plattformen unterstützt der Workload Protection agent?

Der Agent unterstützt Kubernetes-Cluster ( Kubernetes Service, ROKS), Red Hat OpenShift-Cluster, Satellite-Cluster, Linux-Hosts ( Debian, Ubuntu, CentOS, RHEL, Fedora, Amazon Linux ), Windows-Server, AIX-Hosts auf Power Virtual Server und Linux-Hosts auf Power Virtual Server.

Sie können den Agenten auch auf Kubernetes oder Red Hat OpenShift Clustern bereitstellen, die außerhalb von IBM Cloud laufen, einschließlich bei anderen Cloud-Anbietern oder vor Ort. Anweisungen zur Bereitstellung finden Sie unter Verwalten des Agenten.

Welche Netzwerkanschlüsse benötigt der Agent Workload Protection?

Der Agent erfordert ausgehenden TCP Verkehr zum Kollektor-Endpunkt an Port 6443 und zum API-Endpunkt an Port 443. Beide Ports müssen für den ausgehenden Datenverkehr von Ihrem Cluster oder Host zu den Workload Protection Service-Endpunkten offen sein. Dies gilt sowohl für öffentliche als auch für private Endpunktverbindungen, einschließlich Verbindungen über Virtual Private Endpoint (VPE). Eine Liste der Endpunkte finden Sie unter Endpunkte.

Welche Version von Helm ist für die Bereitstellung des Agenten Workload Protection erforderlich?

Helm 3.6 oder höher ist erforderlich, um den Workload Protection-Agenten mit einem Helm-Diagramm auf Kubernetes-, Red Hat OpenShift- oder Satellite-Clustern einzusetzen.

Welche Funktionen sind für die verschiedenen Container und Hosts verfügbar?

Workload Protection bietet die folgenden Sicherheitsfunktionen, je nachdem, wo Sie den Agenten einsetzen:

Verfügbarkeit von Funktionen nach Umgebung

Umgebung	Erkennung von und Reaktion auf Bedrohungen	Stellungsmanagement	Host-Scannen
Kubernetes-Cluster
Red Hat OpenShift Cluster
Satellite-Cluster
Linux Gastgeber
Windows Server
Linux Gastgeber auf Power Virtual Server
AIX Gastgeber auf Power Virtual Server

Erkennung von und Reaktion auf Bedrohungen

Identifiziert Bedrohungen anhand von Anwendungs-, Netzwerk- und Host-Aktivitäten.

Stellungsmanagement

Überprüft Host-Konfigurationsdateien und -Ressourcen auf Konformität mit Benchmarks wie z. B. CIS Benchmarks.

Host-Scannen

Spürt Schwachstellen auf und legt die Priorität der Behebung fest.

Anweisungen zur Bereitstellung finden Sie in der Dokumentation zur Agentenbereitstellung für Kubernetes, Red Hat OpenShift, Satellite, Windows-Server, Linux-Hosts auf PowerVS oder AIX-Hosts auf PowerVS.

Wie kann ich Agenten zum Schutz meiner Workloads einsetzen?

Der Bereitstellungsprozess variiert je nach Umgebung, in der Ihre Workloads ausgeführt werden:

Wer ist dafür verantwortlich, dass der Agent Workload Protection auf dem neuesten Stand ist?

IBM bietet regelmäßige Aktualisierungen des Agent-Images mit neuen Funktionen, Fehlerkorrekturen und Sicherheitskorrekturen und dokumentiert die Änderungen in den Versionshinweisen des Agenten. Sie sind dafür verantwortlich, den Agenten in Ihrer Umgebung zu aktualisieren, um ihn auf dem neuesten Stand zu halten, wenn neue Versionen zur Verfügung gestellt werden. Sie können die neuen Funktionen und Verbesserungen anhand dieser Versionshinweise verfolgen.

Welche IBM Cloud Dienste kann ich auf Compliance-Probleme überprüfen?

Sie können eine breite Palette von IBM Cloud Diensten auf Compliance-Probleme überprüfen, darunter IBM Cloud Object Storage, Kubernetes Service, Red Hat OpenShift, Virtual Private Cloud (VPC)-Ressourcen, Secrets Manager, Datenbanken wie Databases for Elasticsearch, Key Protect, Container Registry, Code Engine, Event Streams, Direct Link, Transit Gateway, Schematics, Monitoring, Hyper Protect Crypto Services, App ID und mehr. Die vollständige Liste finden Sie unter IBM Cloud Security Posture Management(CSPM).

Wie sammelt Workload Protection meine IBM Cloud Ressourcenkonfigurationen für Compliance-Scans?

Workload Protection verwendet die Aggregator-Funktion von App Configuration, um die Details Ihrer Ressourcenkonfiguration für den Compliance-Scan zu sammeln. Die Aggregator-Funktion ist kostenlos und im Basic-Tarif von App Configuration enthalten. Die Integration verwendet IBM Cloud Identity and Access Management vertrauenswürdige Profile zur Verwaltung von Berechtigungen. Weitere Informationen finden Sie unter Implementierung von CSPM für IBM Cloud.

Wie lange dauert es, bis die Ergebnisse der Konformitätsprüfung angezeigt werden, nachdem ich mein IBM Cloud Konto mit Workload Protection verbunden habe?

Die Ergebnisse werden in der Regel 5-10 Minuten nach dem Verbindungsaufbau angezeigt, abhängig von der Anzahl der Ressourcen in Ihrem Konto.

Kann ich Workload Protection verwenden, um mein IBM Cloud Unternehmen auf Konformität zu prüfen?

Ja. Sie können Ihr IBM Cloud Unternehmenskonto integrieren, um alle Konten in Ihrem Unternehmen auf Konformität zu prüfen. Weitere Informationen finden Sie unter Implementieren von CSPM für IBM Cloud und Einrichten von Workload Protection, um ein Unternehmen auf Compliance zu prüfen.

Wie richte ich mein Unternehmenskonto für die Zusammenarbeit mit Workload Protection ein?

Damit Workload Protection alle untergeordneten Konten in Ihrem Unternehmen scannen kann, müssen Sie vertrauenswürdige Profilvorlagen und vertrauenswürdige Profile in Ihrem Unternehmenskonto einrichten. Ohne diese Konfiguration kann App Configuration keine untergeordneten Konten scannen, und die Compliance-Daten werden nur vom Unternehmenskonto erfasst.

Führen Sie die folgenden Schritte aus:

1. Erstellen Sie eine vertrauenswürdige Profilvorlage mit den folgenden Zugriffsrichtlinien: Viewer und ConfigReader für alle Account Management-Dienste und Reader, Viewer und ConfigReader für alle Identitäts- und Zugriffsdienste.
2. Weisen Sie die vertrauenswürdige Profilvorlage Ihren untergeordneten Konten und Kontengruppen im Unternehmen zu.
3. Erstellen Sie ein vertrauenswürdiges Profil, um App Configuration Zugriff zum Lesen der vertrauenswürdigen Profilvorlage mit den folgenden Zugriffsrichtlinien zu gewähren: Viewer-Rolle für den Enterprise-Dienst und die Rollen Template Administrator, Assignment Administrator und Viewer für alle IAM Account Management-Dienste.
4. Konfigurieren Sie den Konfigurationsaggregator in Ihrer App Configuration Instanz mit Ihrer Unternehmens-ID, der vertrauenswürdigen Profilvorlagen-ID und der vertrauenswürdigen Profil-ID.

Eine ausführliche Schritt-für-Schritt-Anleitung finden Sie unter Einrichten von Workload Protection, um ein Unternehmen auf Konformität zu prüfen. Best Practices finden Sie unter Best Practices für Unternehmenskonten.

Wird die Erfassung von CSPM-Daten beeinträchtigt, wenn ich kontextbasierte Einschränkungen für meine IBM Cloud-Ressourcen aktiviere?

Ja. Wenn kontextbasierte Einschränkungen für eine beliebige Ressource in Ihrem IBM Cloud-Konto aktiviert sind, können keine Konfigurationsdaten gesammelt werden, es sei denn, der Zugriff auf diese Ressource wird ausdrücklich gewährt. Um den Zugang zu ermöglichen, müssen Sie eine Regel erstellen. Wenn Sie aufgefordert werden, einen Kontext hinzuzufügen, erstellen Sie eine Netzwerkzone und wählen Sie App Configuration als Referenzdienst. Weitere Informationen finden Sie unter Implementierung von CSPM für IBM Cloud.

Wie oft scannt Workload Protection meine IBM Cloud Ressourcen auf Konformität?

Workload Protection scannt automatisch alle angeschlossenen IBM Cloud Konten alle 24 Stunden auf der Grundlage der von Ihnen angewendeten Compliance-Richtlinien. Der 24-Stunden-Zeitplan beginnt, wenn Sie ein Konto zum ersten Mal verbinden. Sie können auch Scans auf Anfrage ohne zusätzliche Kosten erhalten.

Verstöße gegen die Vorschriften werden auf der Seite " Compliance" in der Benutzeroberfläche Workload Protection angezeigt. Ein Compliance-Snapshot ist auch unter Sicherheit > Übersicht in der Konsole IBM Cloud verfügbar.

Kann ich ein Compliance-Risiko akzeptieren, ohne es zu beseitigen?

Ja. Für jede fehlgeschlagene Kontrolle können Sie das Risiko entweder vorübergehend (mit einem Verfallsdatum) oder dauerhaft übernehmen. Sie können das Risiko auf der Ebene der einzelnen Ressource oder global für alle Ressourcen, die mit einer bestimmten Kontrolle verbunden sind, übernehmen. Akzeptierte Risiken werden verfolgt und in der Compliance-Übersicht angezeigt. Weitere Informationen finden Sie unter Analysieren der Einhaltung von Vorschriften von der Erkennung bis zur Behebung.

Kann ich benutzerdefinierte Posture-Richtlinien und -Kontrollen erstellen?

Ja. Sie können benutzerdefinierte Haltungsrichtlinien von Grund auf neu erstellen oder von einer vorhandenen vordefinierten Richtlinie als Vorlage ausgehen. Sie können auch benutzerdefinierte Kontrollen erstellen und Kontrollparameter anpassen, um die Bewertung der Konformität an die spezifischen Anforderungen Ihres Unternehmens anzupassen. Weitere Informationen finden Sie unter „ So funktioniert das Compliance-Posture-Management “.

Wer ist für die Verwaltung der benutzerdefinierten Regeln und Richtlinien zur Bedrohungserkennung zuständig?

Sie sind dafür verantwortlich, Ihre benutzerdefinierten Richtlinien zu aktualisieren und Änderungen daran durch Ihren eigenen Änderungsmanagementprozess zu verfolgen. IBM aktualisiert die Standardregeln und -richtlinien, wenn sich die Anforderungen ändern. Weitere Informationen finden Sie auf der Seite Ihre Pflichten verstehen.

Welchen Zugang benötigen die Benutzer, um Workload Protection zu nutzen?

Benutzer benötigen sowohl Plattform- als auch Dienstrollen, um mit Workload Protection arbeiten zu können:

Plattformrollen

Kontrollieren Sie den Zugang zur Verwaltung von Instanzen in IBM Cloud. Benutzer benötigen die Viewer-Rolle, um Instanzen anzuzeigen, und die Administrator- oder Editor-Rolle, um Instanzen zu erstellen oder zu löschen.

Servicerollen

Definieren Sie Berechtigungen innerhalb der Benutzeroberfläche Workload Protection. Die Rolle des Managers bietet vollen Zugang, einschließlich der Verwaltung von Zugangsschlüsseln, Teams und Agenten. Die Writer-Rolle ermöglicht die Erstellung und Bearbeitung von Inhalten, die Verwaltung von Richtlinien und die Anzeige von Berichten. Die Rolle Leser bietet einen reinen Anzeigezugriff auf Ereignisse, Berichte und Richtlinien.

Ein Benutzer mit der Plattformrolle „Administrator“ verfügt automatisch über die Berechtigungen der Dienstrolle „Manager“. Ausführliche Informationen zu Rollen und Berechtigungen finden Sie unter Zugriffskontrolle durch IAM.

Was sind die vordefinierten Richtlinien, die ich mit Workload Protection verwenden kann?

Workload Protection bietet verschiedene Arten von vordefinierten Richtlinien, die Sie bei der Sicherung Ihrer Workloads unterstützen:

Politik für die Lieferkette

Validieren Sie Container-Image-Signaturen und setzen Sie Sicherheitsanforderungen vor der Bereitstellung durch. Mit diesen Richtlinien können Sie sicherstellen, dass nur vertrauenswürdige Images in Ihrer Umgebung ausgeführt werden.

Richtlinien zur Erkennung von Bedrohungen

Erkennen Sie Laufzeitbedrohungen mit Hilfe von Falco-basierten Regeln, die Anwendungs-, Netzwerk- und Host-Aktivitäten überwachen. Diese Richtlinien identifizieren verdächtiges Verhalten und Sicherheitsvorfälle, sobald sie auftreten.

Richtlinien für das Schwachstellenmanagement

Identifizieren und priorisieren Sie Schwachstellen in Container-Images und Hosts. Anhand dieser Richtlinien können Sie erkennen, welche Schwachstellen das größte Risiko darstellen und zuerst behoben werden sollten.

Haltungspolitik

Bewertung der Konformität mit Sicherheits-Benchmarks und gesetzlichen Rahmenbedingungen wie CIS benchmarks, PCI DSS, NIST und IBM Cloud Framework for Financial Services. Diese Richtlinien scannen Ihre Cloud-Ressourcen und Workload-Konfigurationen auf Compliance-Verstöße.

Sie können diese Richtlinien auf Workload Protection unter " Richtlinien" einsehen und anwenden. Weitere Informationen über Richtlinientypen und deren Verwendung finden Sie unter Richtlinien in der Sysdig-Dokumentation. Die IBM Cloud-spezifischen Haltungsrichtlinien finden Sie unter Haltungsrichtlinien.

Beeinflussen kontextbezogene Einschränkungen die Konnektivität von Workload Protection Agenten?

Nein. Kontextbasierte Einschränkungen haben keine Auswirkungen auf die Konnektivität von Workload Protection Agenten, da Agenten sich mit Zugangsschlüsseln und nicht mit IBM Cloud® Identity and Access Management Token authentifizieren. Agenten können sich entweder über öffentliche oder private Dienstendpunkte verbinden. Weitere Informationen finden Sie unter Schutz von Ressourcen mit kontextbezogenen Einschränkungen.

Wenn kontextbasierte Beschränkungen für eine beliebige Ressource in Ihrem IBM Cloud-Konto aktiviert sind, können keine Compliance-Daten erfasst werden, es sei denn, der Zugriff auf diese Ressource wird ausdrücklich gewährt.

Welche IAM-Rollen sind erforderlich, um kontextbasierte Beschränkungsregeln für Workload Protection zu erstellen oder zu aktualisieren?

Ein Benutzer muss über die Administratorrolle für den Dienst Workload Protection verfügen, um kontextbasierte Beschränkungsregeln erstellen, aktualisieren oder löschen zu können. Um Netzwerkzonen zu erstellen, zu aktualisieren oder zu löschen, muss ein Benutzer die Rolle eines Editors oder Administrators für den Dienst "Kontextbasierte Beschränkungen" haben. Ein Benutzer mit der Rolle "Betrachter" des Dienstes "Kontextbasierte Einschränkungen" kann nur Netzwerkzonen zu einer bestehenden Regel hinzufügen. Weitere Informationen finden Sie unter Schutz von Ressourcen mit kontextbezogenen Einschränkungen.

Bleibt Workload Protection auch bei regionalen Ausfällen verfügbar?

Ja. Workload Protection ist ein mandantenfähiger, regionaler Dienst, der in mehreren Zonen (MZR) eingesetzt wird. Jede Region verfügt über drei Verfügbarkeitszonen (Rechenzentren) mit unabhängiger Strom-, Kühlungs- und Netzwerkinfrastruktur, die für Redundanz sorgen. Fällt eine Zone aus, wird der Dienst von den verbleibenden Zonen aus weiter betrieben. Der Dienst ist in neun Regionen im asiatisch-pazifischen Raum, in Europa, Nord- und Südamerika verfügbar. Weitere Informationen finden Sie unter Hochverfügbarkeit und Notfallwiederherstellung.

Welche Aktionen erzeugen Audit-Ereignisse in Workload Protection?

Workload Protection erzeugt automatisch Activity Tracker Event Routing Audit-Ereignisse, wenn die folgenden Aktionen auftreten:

• Wenn Erfassungen erstellt, gelesen, aufgelistet, aktualisiert oder gelöscht werden
• Wenn Teams erstellt, gelesen, aufgelistet, aktualisiert oder gelöscht werden
• Wenn Zugangsschlüssel erstellt werden

Diese Ereignisse entsprechen dem Standard Cloud Auditing Data Federation (CADF). Weitere Informationen finden Sie unter Auditing-Ereignisse.

Welche erweiterten Sicherheitsfunktionen bietet Workload Protection?

Workload Protection bietet umfassende Sicherheitsfunktionen für die Workloads. Einige der Schlüsselfunktionen sind:

Posture Management

Organisieren Sie Ressourcen in Zonen für die Konformitätsbewertung, wenden Sie Sicherheitsrichtlinien an und verfolgen Sie die Konformität in Ihrer Cloud-Infrastruktur und in Git Repositories.

Sicherheit der Lieferkette

Validieren Sie Image-Signaturen, setzen Sie Supply-Chain-Richtlinien auf Kubernetes Clustern durch, und stellen Sie sicher, dass Container-Images vor der Bereitstellung die Sicherheitsanforderungen erfüllen.

Laufzeitschutz

Erkennen Sie Bedrohungen kontinuierlich mithilfe von Falco-basierten Erkennungsregeln, passen Sie Laufzeitrichtlinien an, um Fehlalarme zu reduzieren, und passen Sie Sicherheitsrichtlinien automatisch auf der Grundlage des beobachteten Anwendungsverhaltens an.

Incident Response

Mit Rapid Response können Sie eine Verbindung zu Remote-Shells herstellen, um Sicherheitsereignisse zu untersuchen, Sicherheitstools direkt aus Warnmeldungen heraus ausführen und Probleme ohne separaten Host-Zugang beheben.

Überwachung der Aktivitäten

Verfolgen Sie Befehle, Netzwerkaktivitäten, Dateivorgänge und Kubernetes API-Anfragen mit Activity Audit zur Spurensicherung und Untersuchung.

Integration

Weiterleitung von Sicherheitsereignissen an SIEM-Plattformen von Drittanbietern wie Splunk, Elastic Stack, QRadar und ArcSight zur zentralen Sicherheitsanalyse.

Detaillierte Informationen zur Konfiguration und Verwendung dieser Funktionen finden Sie in der Sysdig Secure-Dokumentation. Die IBM Cloud-spezifische Einrichtung und Integration finden Sie in der Dokumentation Workload Protection.