FAQ
Giải đáp các câu hỏi thường gặp về FPT CWPP (Cloud Workload Protection Platform) dành cho L1 Support.
1. Runtime agent
| # | Câu hỏi | Trả lời |
|---|---|---|
| 1.1 | Runtime agent là gì và cài để làm gì? | Runtime agent là một DaemonSet nhẹ triển khai trên mỗi node của cluster. Nó giám sát system call, kết nối mạng và hoạt động của container để phát hiện mối đe dọa và sinh ra findings. Không cài agent thì cluster vẫn hiển thị trong Inventory nhưng không có runtime finding. |
| 1.2 | Cần mở mạng gì để agent hoạt động? | Network requirement banner phía trên bảng cluster nêu yêu cầu kết nối: agent trên mỗi node cần outbound tới FPT Security Platform theo protocol, port và dải IP được chỉ định. Hãy whitelist egress đúng các giá trị hiển thị trên banner. |
| 1.3 | Cài agent cho một cluster như thế nào? | Tại cluster có trạng thái No agent, nhấn Install Agent, đọc Terms & Agreement, tích "I have read and agree to the terms above." (chưa tích thì nút bị khóa), rồi nhấn Request installation. Agent chuyển sang Installing, và Agents active khi node enroll xong. |
| 1.4 | Gỡ agent như thế nào? | Tại cluster đang Agents active, nhấn Uninstall Agent, gõ chính xác chữ uninstall (chữ thường, case-sensitive) rồi nhấn Confirm. Agent chuyển sang Uninstalling và dừng quét workload. Trong lúc Installing hoặc Uninstalling, cluster không hiển thị nút thao tác nào. |
| 1.5 | Các badge trạng thái của agent nghĩa là gì? | No agent = chưa cài (nút: Install Agent). Installing = đang cài (không có nút). Agents active · X/X = tất cả node khỏe mạnh (nút: Uninstall Agent). Agents active · X/Y (amber) = một số agent đang down (nút: Uninstall Agent). Uninstalling = đang gỡ (không có nút). |
| 1.6 | Badge báo Agents active · X/Y, xử lý thế nào? | Đây là trạng thái partial: cluster đang được bảo vệ nhưng một số agent node bị down (X active trên tổng Y). Hover icon cảnh báo để xem "N agent(s) are down" và "Please contact FPT Support for assistance." Hãy liên hệ FPT Support để khôi phục các agent bị down. |
| 1.7 | Cài hoặc gỡ agent thất bại thì làm gì? | Cài thất bại (badge No agent + icon đỏ): "Last installation attempt failed. Please wait 15 minutes, then click Install Agent to try again." Gỡ thất bại (badge Agents active + icon đỏ): agent vẫn đang chạy — nhấn Uninstall Agent để thử lại. |
2. K8s Asset Inventory
| # | Câu hỏi | Trả lời |
|---|---|---|
| 2.1 | Màn K8s Asset Details hiển thị gì, có phụ thuộc agent không? | Màn này liệt kê resource trong một cluster (Resource · Type · Namespace · Node), hỗ trợ lọc theo Resource name, Type và Node. Danh sách resource lấy từ KSPM / asset inventory và độc lập với runtime agent — hiển thị dù agent đang on, installing, uninstalling hay off. |
| 2.2 | Cluster mới chưa thấy resource nào, vì sao? | Cluster mới kết nối có thể chưa có dữ liệu KSPM, khi đó bảng hiển thị "No records found". Thông báo này cũng xuất hiện khi điều kiện search/filter không khớp. Hãy đợi dữ liệu inventory đồng bộ, hoặc kiểm tra lại filter. |
| 2.3 | Cột Namespace hoặc Node hiển thị — nghĩa là gì? | Namespace = —: resource thuộc loại cluster-scoped (không nằm trong namespace nào), ví dụ nhiều CRD, Node. Node = —: resource không gắn với node cụ thể. Đây là hiển thị bình thường, không phải lỗi dữ liệu. |
3. Runtime Findings
| # | Câu hỏi | Trả lời |
|---|---|---|
| 3.1 | Finding là gì và đến từ nguồn nào? | Finding là tín hiệu bảo mật runtime được phát hiện trong quá trình giám sát. Mỗi finding có một Source badge: K8s Runtime (từ agent trên node Kubernetes), K8s Audit (từ Kubernetes Audit log), hoặc VM Runtime (từ agent trên VM). Giai đoạn hiện tại, dữ liệu thực đến từ K8s Runtime; các badge còn lại là mock data để minh họa. |
| 3.2 | "Observe mode only" nghĩa là gì? | Banner cố định phía trên filter bar ghi "Findings currently support observe mode only. No actions can be taken from this screen." Màn Findings hiện chỉ để quan sát và điều tra — bạn xem, lọc, mở chi tiết finding, nhưng không thực hiện hành động xử lý từ màn này. |
| 3.3 | Severity badge C / H / M / L là gì? | Là badge severity viết tắt: C = Critical, H = High, M = Medium, L = Low, kèm màu theo mức độ. |
| 3.4 | Tìm và lọc finding như thế nào? | Search theo finding name, entity, Event ID hoặc Finding ID. Severity: Critical / High / Medium / Low. Time: Last 1h / 24h / 3d / 7d, mặc định Last 24h. MITRE: lọc theo technique. Các điều kiện kết hợp theo AND; danh sách sắp theo Time giảm dần. Refresh tải lại finding mới nhất, giữ filter và về trang 1. |
| 3.5 | Lọc theo MITRE technique hoạt động ra sao? | Dropdown MITRE lọc theo prefix match: chọn một technique ID gốc sẽ bao gồm cả sub-technique của nó — ví dụ T1059 khớp T1059.001, T1059.004... MITRE ID trong bảng là hyperlink, click mở trang MITRE ATT&CK tham chiếu ở tab mới. |
4. Chi tiết finding
| # | Câu hỏi | Trả lời |
|---|---|---|
| 4.1 | Mở chi tiết một finding ở đâu? | Trong bảng Findings, click vào tên finding (cột Finding, dạng link) để mở drawer chi tiết trượt từ phải. Click các cell khác không mở drawer. Drawer gồm 4 phần: Details, Known benign causes, Security Graph Context, Raw Event. |
| 4.2 | Detection rule khác gì với tiêu đề finding? | Detection rule là tên rule chung đã kích hoạt finding (ví dụ "Container escape attempt (namespace/root manipulation)"). Finding title là một instance cụ thể của rule đó (ví dụ "Container escape attempt via chroot"). Một rule có thể sinh nhiều finding. Field không có dữ liệu hiển thị —. |
| 4.3 | "Known benign causes", "Security Graph Context" và "Raw Event" dùng để làm gì? | Known benign causes liệt kê các tình huống false-positive phổ biến để bạn phán đoán finding có thực sự nguy hiểm không (mặc định thu gọn — bấm Expand; chỉ hiển thị khi rule có nội dung này). Security Graph Context sắp ra mắt (placeholder "Security Graph enrichment coming soon..."). Raw Event là dữ liệu sự kiện gốc dạng JSON (mặc định thu gọn — bấm Expand JSON). |
5. Quyền truy cập
| # | Câu hỏi | Trả lời |
|---|---|---|
| 5.1 | Ai được cài hoặc gỡ runtime agent? | Chỉ vai trò CWPP Admin. Hai nút Install Agent và Uninstall Agent bị ẩn với CWPP Member — Member vẫn xem được K8s Asset List, K8s Asset Details và Runtime Findings. |
6. Các lỗi thường gặp
| # | Triệu chứng | Nguyên nhân thường gặp | Cách xử lý |
|---|---|---|---|
| 6.1 | "System is busy. Please try again later." | Lỗi backend tạm thời khi tải danh sách hoặc chi tiết | Thử lại sau giây lát |
| 6.2 | "No records found" | Không có dữ liệu khớp (cluster / resource / finding), hoặc search/filter không trùng | Kiểm tra lại điều kiện lọc; chờ inventory hoặc findings đồng bộ |
| 6.3 | "You don't have permissions to access" | Không có quyền truy cập CWPP | Liên hệ quản trị viên tổ chức. Lưu ý: nếu vào được trang nhưng không thấy nút Install/Uninstall Agent, đó là do vai trò Member, không phải lỗi quyền truy cập |