基于AKS的Sitecore Windows容器是否具备反恶意软件防护？

AKS上的Windows容器是否真的没有反恶意软件防护？ #

• 目前Azure原生反恶意软件（如Microsoft Defender for Cloud的容器防护）对AKS Windows容器的支持存在局限：
  • Windows容器的实时扫描功能尚未全面覆盖，不像Linux容器那样具备成熟的镜像扫描、运行时防护能力。
  • AKS Windows节点上会运行节点级的Windows Defender反恶意软件，但容器的隔离机制会限制它的作用范围，无法直接扫描容器内部的文件与进程。
• 若需要容器级的反恶意软件防护，现阶段需依赖第三方容器安全解决方案补充，Azure原生工具在Windows容器防护这块仍在完善中。

无防护的AKS环境中部署Sitecore网站的影响 #

• 恶意代码注入风险：Sitecore作为内容管理系统，存在用户上传内容、安装插件等交互场景，无防护情况下，恶意脚本、病毒等文件可能被上传并在容器内执行，破坏站点数据或窃取敏感信息。
• 镜像篡改威胁：若部署的Sitecore镜像被篡改注入恶意代码，无防护机制无法检测，容器启动后会直接运行恶意程序，导致站点被劫持、数据泄露。
• 合规性问题：金融、医疗等行业有严格安全合规要求，缺少反恶意软件防护可能无法通过合规审计，面临监管处罚。
• 运行时攻击风险：容器运行过程中若存在漏洞被利用，攻击者可能在容器内植入恶意进程，无防护工具无法及时发现和阻断这类行为，进而威胁整个AKS集群安全。

内容的提问来源于stack exchange，提问作者Rachid