🥇33+ инструмента за сигурност на Kubernetes

Прим. прев.: Ако се питате за сигурността в инфраструктури, базирани на Kubernetes, този страхотен преглед от Sysdig ще бъде отлична отправна точка за бързо запознаване с актуалните решения. В него са включени както комплексни системи от известни играчи на пазара, така и значително по-скромни инструменти, които решават конкретни проблеми. А в коментарите винаги сме радостни да чуем за вашия опит с тези инструменти и да видим линкове към други проекти.

Програмните продукти за осигуряване на сигурността на Kubernetes… толкова много са и всеки от тях има свои цели, области на приложение и лицензи.

Затова решихме да създадем този списък и в него включихме както отворени проекти, така и търговски платформи от различни доставчици. Надяваме се да ви помогнем да изберете тези, които представляват най-голям интерес и да направим правилната насоченост в зависимост от конкретните нужди за осигуряване на сигурността на Kubernetes.

Сканиране на изображения на Kubernetes

Anchore

Сайт: anchore.com
Лицензия: свободна (Apache) и търговски предложения

Пакетът Anchore анализира контейнерни изображения и позволява проверки за сигурност на базата на политики, зададени от потребителя.

Освен обичайното сканиране на контейнерни изображения за известни уязвимости от базата CVE, Anchore провежда много допълнителни проверки в рамките на политика на сканиране: проверява Dockerfile, изтичане на данни за вход, пакети на използваните езици за програмиране (npm, maven и др.), лицензи на софтуера и много други.

Clair

Сайт: coreos.com/clair (сега под опеката на Red Hat)
Лицензия: свободна (Apache)

Clair беше един от първите Open Source проекти за сканиране на изображения. Той е широко известен като скенер за сигурност, стоящ в основата на регистъра на изображения Quay (също от CoreOS — бел. прев.). Clair може да събира информация за CVE от множество източници, включително списъци за уязвимости, специфични за Linux дистрибуции, поддържани от екипите по киберсигурност на Debian, Red Hat или Ubuntu.

В отличие от Anchore, Clair основно се фокусира върху открития на уязвимости и съпоставяне на данни с CVE. Въпреки това, продуктът предлага на потребителите някои възможности за разширяване на функционалността с помощта на плъгини.

Dagda

Сайт: github.com/eliasgranderubio/dagda
Лицензия: свободна (Apache)

Dagda извършва статичен анализ на контейнерни изображения за наличие на известни уязвимости, троянски коне, вируси, зловреден софтуер и други заплахи.

От другите подобни инструменти, пакетът Dagda се отличава с две забележителни характеристики:

Той се интегрира отлично с ClamAV, действайки не само като инструмент за сканиране на контейнерни изображения, но и като антивирус.
Също така осигурява runtime защита, получавайки събития в реално време от демона на Docker и интегрирайки се с Falco (вж. по-долу) за събиране на събития за сигурност по време на работа на контейнера.

KubeXray

Сайт: github.com/jfrog/kubexray
Лицензия: свободна (Apache), но изисква получаване на данни от JFrog Xray (комерсиален продукт)

KubeXray "слуша" събития от API сървъра на Kubernetes и с помощта на метаданни от JFrog Xray следи за стартирането на pods, отговарящи на текущата политика.

KubeXray не само извършва одит на нови или актуализирани контейнери в deployment-и (по аналогия с admission controller в Kubernetes), но също така динамично проверява работещите контейнери за съответствие с новите политики за сигурност, премахвайки ресурси, които се отнасят до уязвими изображения.

Snyk

Сайт: snyk.io
Лицензия: свободна (Apache) и комерсиална версия

Snyk е уникален скенер за уязвимости, тъй като е специално насочен към процеса на разработка и се предлага като "незаменимо решение" за разработчици.

Snyk се свързва директно с репозиториите на кода, парсва манифеста на проекта и анализира импортнатия код заедно с пряките и косвени зависимости. Snyk поддържа много популярни програмни езици и може да открива скрити лицензионни рискове.

Trivy

Сайт: github.com/knqyf263/trivy
Лицензия: свободна (AGPL)

Trivy — прост, но мощен сканер уязвимостей за контейнери, лесно интегрируем в CI/CD пайплайн. Неговата забележителна особеност е простотата на инсталацията и работата: приложението се състои от единствен бинарен файл и не изисква инсталиране на база данни или допълнителни библиотеки.

Обратната страна на простотата на Trivy е, че ще трябва да разберете как да парсвате и предавате резултатите в JSON формат, за да могат да бъдат използвани от други инструменти за сигурност в Kubernetes.

Сигурност на runtime в Kubernetes

Falco

Сайт: falco.org
Лицензия: свободна (Apache)

Falco — набор от инструменти за осигуряване на сигурността на облачните среда за изпълнение. Част от семейството на проектите CNCF.

Използвайки инструментариума на Sysdig за работа на ниво ядро на Linux и профилиране на системни повици, Falco позволява дълбоко проучване на поведението на системата. Неговият механизъм на правила за runtime е способен да открива подозрителна активност в приложенията, контейнерите, основния хост и оркестратора Kubernetes.

Falco осигурява пълна прозрачност на работата на runtime и откриване на заплахи, поставяйки за тези цели специални агенти на възлите на Kubernetes. В резултат на това не е необходимо да модифицирате контейнерите, внедрявайки външен код или добавяйки sidecar контейнери.

Безопасност на Linux рамки за runtime

Тези родни за ядро на Linux рамки не са "инструменти за сигурност в Kubernetes" в обикновения смисъл, но заслужават споменаване, тъй като са важен елемент в контекста на сигурността на runtime, която влиза в политика за сигурност на Pod в Kubernetes (PSP).

AppArmor прилага профил на сигурност към процесите, стартирани в контейнера, определяйки привилегии на файловата система, правила за мрежов достъп, свързване на библиотеки и т.н. Това е система, базирана на мандатно управление на достъпа (Mandatory Access Control, MAC). С други думи, тя предотвратява изпълнението на забранени действия.

Security-Enhanced Linux (SELinux) — това е модул за разширена сигурност в ядрото на Linux, в някои аспекти подобен на AppArmor и често сравняван с него. SELinux надминава AppArmor по мощност, гъвкавост и прецизност на настройки. Неговите недостатъци са дългото време за усвояване и повишената сложност.

Seccomp и seccomp-bpf позволяват филтриране на системни повиквания, блокират изпълнението на тези от тях, които потенциално са опасни за базовата ОС и не са необходими за нормалната работа на потребителските приложения. Seccomp в някои моменти наподобява Falco, макар и да не е запознат със спецификите на контейнерите.

Sysdig open source

Сайт: www.sysdig.com/opensource
Лицензия: свободна (Apache)

Sysdig е пълен инструмент за анализ, диагностика и отстраняване на проблеми в Linux системи (работи също на Windows и macOS, но с ограничени функции). Може да се използва за събиране на подробна информация, проверка и криминална експертиза. (forensics) базовата система и всякакви контейнери, работещи на нея.

Освен това Sysdig първоначално поддържа изпълнителни среди за контейнери и метаданни на Kubernetes, добавяйки допълнителни измервания и етикети към цялата събрана информация за поведението на системата. Съществуват няколко начина за анализ на Kubernetes клъстери с помощта на Sysdig: можете да извършите захващане в определен момент чрез kubectl capture или да стартирате интерактивен интерфейс на базата на ncurses с помощта на плъгина kubectl dig.

Мрежовата сигурност на Kubernetes

Aporeto

Сайт: www.aporeto.com
Лицензия: търговска

Aporeto предлага „сигурност, отделена от мрежата и инфраструктурата“. Това означава, че Kubernetes услугите не само получават локален ID (тоест ServiceAccount в Kubernetes), но и универсален идентификатор/отпечатък, който може да се използва за безопасно и взаимно проверяемо взаимодействие с всяка друга услуга, например в клъстера OpenShift.

Aporeto е способен да генерира уникален идентификатор не само за Kubernetes/контейнери, но и за хостове, облачни функции и потребители. В зависимост от тези идентификатори и набора от правила за мрежова сигурност, зададени от администратора, комуникациите ще бъдат разрешени или блокирани.

Calico

Сайт: www.projectcalico.org
Лицензия: свободна (Apache)

Calico обикновено се разгръща по време на инсталацията на оркестратора на контейнери, което позволява да се създаде виртуална мрежа, свързваща контейнерите. Освен тази основна мрежова функционалност, проектът Calico работи с Kubernetes Network Policies и собствен набор от профили за мрежова сигурност, поддържа ACL (списъци за контрол на достъпа) на доунтпойнтите и базирани на анотации правила за мрежова сигурност за входящ и изходящ трафик.

Cilium

Сайт: www.cilium.io
Лицензия: свободна (Apache)

Cilium е брандмауер за контейнери, който предлага функции за мрежова сигурност, първоначално проектирани за Kubernetes и микросервизни натоварвания. Cilium използва нова технология на ядрото на Linux, наречена BPF (Berkeley Packet Filter), за филтриране, мониторинг, пренасочване и коригиране на данни.

Cilium може да прилага политики за мрежов достъп, базирани на идентификатори на контейнери, използвайки етикети на Docker или Kubernetes и метаданни. Cilium също така разбира и филтрира различни протоколи от 7-мо ниво, като HTTP или gRPC, което позволява да се зададе набор от REST повиквания, които например, ще бъдат разрешени между две разгръщания на Kubernetes.

Istio

Сайт: istio.io
Лицензия: свободна (Apache)

Istio е известен като реализация на парадигмата service mesh, като разгръща независима от платформата контролна плоскост и пренасочва целия управляван трафик на услуги през динамично конфигурируеми проксита Envoy. Istio използва това предимство на всички микросервизи и контейнери, за да реализира различни стратегии за мрежова сигурност.

Възможностите на Istio за мрежова сигурност включват прозрачно TLS криптиране за автоматично подобряване на комуникационния протокол между микросервизите до HTTPS и собствена система RBAC за идентификация и авторизация за разрешаване/забрана на обмена на данни между различни работни натоварвания в клъстера.

Прим. прев.: За повече информация относно възможностите на Istio, насочени към сигурността, прочетете в тази статия.

Tigera

Сайт: www.tigera.io
Лицензия: търговска

В това решение, наречено "брандмауер за Kubernetes", акцентът е поставен върху подхода за мрежова сигурност с нулево доверие.

Подобно на други мрежови решения, натурални за Kubernetes, Tigera разчита на метаданни при идентификацията на различни услуги и обекти в клъстера и осигурява откритие на проблеми в runtime, непрекъснато спазване на предписанията и прозрачност в мрежата за многооблачни или хибридни монолитно-контейнеризирани инфраструктури.

Trireme

Сайт: www.aporeto.com/opensource
Лицензия: свободна (Apache)

Trireme-Kubernetes е проста и разбираема реализация на спецификацията Kubernetes Network Policies. Най-забележителната черта е, че, за разлика от подобни продукти за мрежова сигурност на Kubernetes, той не изисква централен control plane за координация на мрежата (mesh). Това прави решението тривиално мащабируемо. В Trireme това се постига чрез инсталиране на агент на всеки възел, който директно се свързва с TCP/IP стека на хоста.

Разпространение на образи и управление на тайни

Grafeas

Сайт: grafeas.io
Лицензия: свободна (Apache)

Grafeas е API с отворен код за одит и управление на веригата на доставка на софтуер. На базово ниво Grafeas представлява инструмент за събиране на метаданни и резултати от одити. Може да се използва за проследяване на съответствието с добрите практики в сферата на сигурността в организацията.

Този централен източник на истина помага да се отговори на въпроси като:

Кой е събрал и подписал конкретен контейнер?
Преминал ли е той през всички скенери за сигурност и проверки, предвидени от политиката за сигурност? Кога? Какви бяха резултатите?
Кой го е внедрил в production? Какви точно параметри са били използвани при внедряване?

In-toto

Сайт: in-toto.github.io
Лицензия: свободна (Apache)

In-toto е рамка, проектирана за осигуряване на цялостност, автентикация и одит на цялата верига на доставка на софтуер. При внедряване на In-toto в инфраструктурата първо се задава план, описващ различните стъпки в пайплайна (репозиторий, инструменти CI/CD, инструменти QA, сборници на артефакти и т.н.) и потребителите (отговорни лица), на които е разрешено да ги инициират.

In-toto контролира изпълнението на плана, проверявайки, че всяка задача във веригата се изпълнява правилно изключително от авторизирания персонал и в процеса на преминаване с продукта не са извършвани никакви несанкционирани манипулации.

Portieris

Сайт: github.com/IBM/portieris
Лицензия: свободна (Apache)

Portieris е admission controller за Kubernetes; прилага се за принудителни проверки на доверие за съдържанието. Portieris използва сървър Notary (пишем за него в края тази статия — бел. прев.) като източник на истина за потвърждаване на доверени и подписани артефакти (т.е. одобрени образи на контейнери).

При създаване или промяна на работно натоварване в Kubernetes Portieris зарежда информация за подписите и политиката на доверие към съдържанието за поисканите образи на контейнери и при необходимост в движение внася промени в JSON обекта на API за стартиране на подписани версии на тези образи.

Vault

Сайт: www.vaultproject.io
Лицензия: свободна (MPL)

Vault е сигурно решение за съхранение на конфиденциална информация: пароли, OAuth токени, PKI сертификати, акаунти за достъп, тайни за Kubernetes и др. Vault поддържа много напреднали функции, като наем на ефемерни токени за сигурност или организация на ротация на ключове.

С помощта на Helm чарт Vault може да бъде разположен като нова инстанция в кластера Kubernetes с Consul като backend хранилище. Той поддържа родни ресурси в Kubernetes, като токени на ServiceAccount и дори може да служи като стандартно хранилище за тайни на Kubernetes.

Прим. прев.: Междувременно, буквално вчера компанията HashiCorp, която разработва Vault, обяви някои подобрения за използването на Vault в Kubernetes, особено относно Helm чарта. Подробности можете да прочетете в блога на разработчика.

Аудит на сигурността на Kubernetes

Kube-bench

Сайт: github.com/aquasecurity/kube-bench
Лицензия: свободна (Apache)

Kube-bench е приложение на Go, което проверява дали разположеният Kubernetes е безопасен, като изпълнява тестове от списъка CIS Kubernetes Benchmark.

Kube-bench търси небезопасни конфигурационни параметри сред компонентите на кластера (etcd, API, controller manager и др.), съмнителни права за достъп до файлове, незакрепени акаунти или отворени портове, квоти за ресурси, настройки на ограничения за броя на API извикванията за защита от DoS атаки и др.

Kube-hunter

Сайт: github.com/aquasecurity/kube-hunter
Лицензия: свободна (Apache)

Kube-hunter „ловува“ потенциални уязвимости (като отдалечено изпълнение на код или разкриване на данни) в кластери Kubernetes. Kube-hunter може да бъде стартиран като отдалечен скенер — в този случай той ще оцени кластера от гледна точка на външен злонамерен потребител — или като pod в кластер.

Отличителната черта на Kube-hunter е режимът на „активно ловуване“, по време на който той не само докладва за проблеми, но и се опитва да се възползва от уязвимостите, открити в целевия кластер, които потенциално могат да навредят на работата му. Затова използвайте с внимание!

Kubeaudit

Сайт: github.com/Shopify/kubeaudit
Лицензия: свободна (MIT)

Kubeaudit е конзолен инструмент, първоначално разработен в Shopify за одит на конфигурацията на Kubernetes относно наличието на различни проблеми в областта на сигурността. Например, той помага за идентифициране на контейнери, които работят без ограничения, с права на суперпотребител, злоупотребяващи с привилегии или използващи ServiceAccount по подразбиране.

Kubeaudit има и други интересни функции. Например, той може да анализира локални YAML файлове, разкривайки недостатъци в конфигурацията, които биха могли да доведат до проблеми със сигурността, и автоматично да ги коригира.

Kubesec

Сайт: kubesec.io
Лицензия: свободна (Apache)

Kubesec е уникален инструмент в това отношение, че директно сканира YAML файлове с описания на ресурсите на Kubernetes в търсене на слаби параметри, които биха могли да повлияят на сигурността.

Например, той може да открива излишни привилегии и разрешения, предоставени на pod, стартиране на контейнер с root потребител по подразбиране, свързване към пространството на имената на хоста или опасни монтирания като /proc хост или сокет на Docker. Още една интересна възможност на Kubesec е наличният онлайн демо-сервис, в който можете да качите YAML и веднага да извършите анализ.

Open Policy Agent

Сайт: www.openpolicyagent.org
Лицензия: свободна (Apache)

Концепцията на OPA (Open Policy Agent) е да отдели политиките за сигурност и добрите практики в областта на сигурността от конкретната платформа за рънтайм: Docker, Kubernetes, Mesosphere, OpenShift или която и да е тяхна комбинация.

Например, можете да внедрите OPA като бекенд за admission controller на Kubernetes, делегирайки му решенията за сигурност. По този начин агентът OPA може да проверява, отхвърля и дори да променя заявки в реално време, осигурявайки спазването на зададените параметри за сигурност. Политиките за сигурност в OPA са написани на собствен език DSL, наречен Rego.

Прим. прев.: Повече за OPA (и SPIFFE) сме писали в този материал.

Комплексни търговски инструменти за анализ на сигурността на Kubernetes

Решихме да създадем отделна категория за търговски платформи, тъй като те обикновено обхващат няколко области на сигурността. Общо представление за техните възможности може да се получи от таблицата:

* Напреднала експертиза и post mortem анализ с пълен запис на системни извиквания.

Aqua Security

Сайт: www.aquasec.com
Лицензия: търговска

Този търговски инструмент е предназначен за контейнери и облачни работни натоварвания. Той осигурява:

Сканиране на образи, интегрирано с регистър на контейнери или CI/CD пайплайн;
Защита на изпълнението с търсене на промени в контейнерите и друга подозрителна активност;
Роден за контейнери защитен екран;
Сигурност за безсървърни приложения в облачни услуги;
Одит на съответствието с изискванията, комбиниран с журнализиране на събития.

Прим. прев.: Следва да се отбележи, че съществува и безплатна част от продукта, наречена MicroScanner, която позволява сканиране на образи на контейнери за уязвимости. Сравнението на възможностите й с платените версии е представено в тази таблица.

Capsule8

Сайт: capsule8.com
Лицензия: търговска

Capsule8 се интегрира в инфраструктурата, поставяйки детектор в локален или облачен Kubernetes клъстер. Този детектор събира телеметрия на хоста и мрежата, свързвайки я с различни видове атаки.

Команда Capsule8 си поставя за цел ранно откритие и предотвратяване на атаки, използващи нови (0-day) уязвимости. Capsule8 може да зарежда уточнени правила за сигурност директно на детекторите в отговор на наскоро открити заплахи и уязвимости в софтуера.

Cavirin

Сайт: www.cavirin.com
Лицензия: търговска

Cavirin служи като контрагент на компанията пред различни агенции, занимаващи се с безопасност. Той не само че може да сканира образи, но и да се интегрира в CI/CD пайплайн, блокирайки несъответстващи образи преди да влязат в затворени репозитории.

Пакетът за сигурност на Cavirin използва машинно обучение за оценка на състоянието на киберсигурността, предлага съвети за повишаване на сигурността и повишаване на съответствието със стандартите за безопасност.

Google Cloud Security Command Center

Сайт: cloud.google.com/security-command-center
Лицензия: търговска

Cloud Security Command Center помага на екипите по безопасност да събират данни, да идентифицират заплахи и да ги отстраняват преди да причинят вреда на компанията.

Както личи от името, Google Cloud SCC е унифицирана контролна панел, в която могат да се интегрират различни отчети за безопасност, механизми за отчитане на активи и външни системи за безопасност, и да се управляват от един, централизован източник.

Интероперабилен API, предлаган от Google Cloud SCC, улеснява интеграцията на събития в сферата на безопасността, постъпващи от различни източници, като Sysdig Secure (сигурност на контейнери за cloud-native приложения) или Falco (Open Source система за безопасност на изпълнение).

Layered Insight (Qualys)

Сайт: layeredinsight.com
Лицензия: търговска

Layered Insight (сега част от Qualys Inc) е изградена на концепцията за „вградена сигурност“. След сканирането на оригиналния образ за уязвимости с помощта на методи за статистически анализ и извършване на проверки по CVE, Layered Insight го заменя с инструментализиран образ, включващ агент под формата на бинарен файл.

Този агент съдържа тестове за сигурност на runtime за анализ на мрежовия трафик на контейнера, I/O потоци и активността на приложението. Освен това, той може да извършва допълнителни проверки за сигурност, зададени от администратора на инфраструктурата или екипите DevOps.

NeuVector

Сайт: neuvector.com
Лицензия: търговска

NeuVector извършва проверка за сигурност на контейнерите и предоставя runtime-защита чрез анализ на мрежовата активност и поведението на приложението, създавайки индивидуален профил за сигурност за всеки контейнер. Той също така може автономно да блокира заплахи, изолирайки подозрителната активност, като променя правилата на локалния фаервал.

Мрежовата интеграция на NeuVector, известна като Security Mesh, е способна да извършва дълбочинно пакетно анализиране и филтриране на 7-мо ниво за всички мрежови връзки в service mesh.

StackRox

Сайт: www.stackrox.com
Лицензия: търговска

Платформата за осигуряване на сигурност на контейнери StackRox се стреми да обхване целия жизнен цикъл на приложенията Kubernetes в клъстера. Както и другите търговски платформи в този списък, StackRox генерира runtime-профил на базата на наблюдаваното поведение на контейнера и автоматично подава аларма при всякакви отклонения.

Освен това, StackRox анализира конфигурациите на Kubernetes, използвайки CIS Kubernetes и други набори от правила за оценка на съответствието на контейнерите.

Sysdig Secure

Сайт: sysdig.com/products/secure
Лицензия: търговска

Sysdig Secure защитава приложенията през целия жизнен цикъл на контейнера и Kubernetes. Той сканира образите на контейнерите, осигурява runtime-защита чрез данни от машинно обучение, извършва криминална експертиза за откриване на уязвимости, блокира заплахи, следи за съответствието с установените стандарти и провежда одит на активността в микросервисите.

Sysdig Secure интегрира с инструменти CI/CD, като Jenkins, и контролира образите, качвани от Docker хранилища, предотвратявайки появата на опасни образи в продукция. Той също така осигурява всестранна runtime-сигурност, включително:

runtime-профилиране на базата на машинно обучение и откриване на аномалии;
политики на основе системни събития, API K8s audit, съвместни проекти на общността (FIM — мониторинг на целостта на файловете; cryptojacking) и рамките MITRE ATT&CK;
реагиране и разрешаване на инциденти.

Tenable Container Security

Сайт: www.tenable.com/products/tenable-io/container-security
Лицензия: търговска

Преди да се появят контейнерите, Tenable беше широко известна в индустрията като компанията, разработила Nessus — популярния инструмент за откриване на уязвимости и одит на сигурността.

Tenable Container Security използва опита на компанията в областта на компютърната сигурност за интегриране на CI/CD пайплайна с бази данни за уязвимости, специализирани пакети за откриване на малуер и препоръки за разрешаване на заплахи за сигурността.

Twistlock (Palo Alto Networks)

Сайт: www.twistlock.com
Лицензия: търговска

Twistlock се представя като платформа, насочена към облачни услуги и контейнери. Twistlock поддържа различни облачни доставчици (AWS, Azure, GCP), оркестратори на контейнери (Kubernetes, Mesosphere, OpenShift, Docker), serverless среди за изпълнение, mesh рамки и инструменти за CI/CD.

Освен стандартните методи за осигуряване на корпоративна сигурност, като интеграция в CI/CD пайплайна или сканиране на образи, Twistlock използва машинно обучение за генериране на поведенчески модели и мрежови правила, специфични за контейнерите.

Наскоро Twistlock беше закупен от компанията Palo Alto Networks, собственик на проектите Evident.io и RedLock. Все още не е известно как точно тези три платформи ще бъдат интегрирани в PRISMA на Palo Alto.

Помогнете ни да създадем най-добрия каталог на инструменти за сигурност на Kubernetes!

Стремим се да направим този каталог възможно най-пълен и за това имаме нужда от вашата помощ! Свържете се с нас (@sysdig), ако имате предвид страхотен инструмент, който заслужава да бъде включен в този списък, или сте открили грешка/остаряла информация.

Също така можете да се абонирате за нашия месечен бюлетин с новини от екосистемата cloud-native и интересни проекти от света на сигурността на Kubernetes.

P.S. от преводача

Прочетете също в нашия блог:

Източник: habr.com

33+ инструмента за безопасност на Kubernetes

Категории