🥇33+ инструмента за сигурност на Kubernetes

Прим. прев.: Ако се чудите за сигурността на инфраструктура, основана на Kubernetes, този чудесен преглед от компанията Sysdig ще бъде отлична отправна точка за бързо запознаване с актуалните решения. В него са включени както комплексни системи от известни компании на пазара, така и значително по-скромни инструменти, които решават определени проблеми. А в коментарите, както винаги, ще бъдем радостни да чуем за вашия опит с тези инструменти и да видим линкове към други проекти.

Программни продукти за осигуряване на сигурността на Kubernetes… те са толкова много, и всеки от тях има свои цели, области на приложение и лицензи.

Точно затова решихме да създадем този списък и включихме в него както отворени проекти, така и търговски платформи от различни доставчици. Надяваме се, че той ще ви помогне да изберете сред тях тези, които представляват най-голям интерес и ще ви насочат в правилната посока, в зависимост от конкретните нужди за осигуряване на сигурността на Kubernetes.

Сканиране на изображения на Kubernetes

Anchore

Сайт: anchore.com
Лицензия: свободна (Apache) и търговско предложение

Пакетът Anchore анализира контейнери и позволява извършване на проверки на сигурността въз основа на политики, задавани от потребителя.

В допълнение към стандартното сканиране на контейнерите за известни уязвимости от CVE базата данни, Anchore извършва множество допълнителни проверки в рамките на политиката за сканиране: проверява Dockerfile, изтичане на идентификационни данни, пакети от използваните програмни езици (npm, maven и т.н.), лицензи на софтуер и много други.

Clair

Сайт: coreos.com/clair (сега под попечителството на Red Hat)
Лицензия: свободна (Apache)

Clair беше един от първите Open Source проекти за сканиране на изображения. Той е широко известен като скенер за сигурност, който стои в основата на регистъра на изображения Quay (също от CoreOS — прим. прев.). Clair може да събира информация за CVE от голям брой източници, включително списъци със специфични уязвимости за Linux дистрибуции, поддържани от екипи по сигурността на Debian, Red Hat или Ubuntu.

За разлика от Anchore, Clair предимно се занимава с търсене на уязвимости и съпоставяне на данни с CVE. Все пак, продуктът предлага на потребителите някои възможности за разширяване на функциите с помощта на допълнителни драйвери.

Dagda

Сайт: github.com/eliasgranderubio/dagda
Лицензия: свободна (Apache)

Dagda провежда статичен анализ на образи на контейнери с цел откриване на известни уязвимости, троянски коне, вируси, зловреден софтуер и други заплахи.

От другите подобни инструменти, пакетът Dagda се отличава с две забележителни характеристики:

Той отлично се интегрира с ClamAV, като служи не само като инструмент за сканиране на образи на контейнери, но и като антивирус.
Също така осигурява защита в реално време, получавайки събития от Docker демона и интегрирайки се с Falco (вж. по-долу) за събиране на събития за сигурност по време на работа на контейнера.

KubeXray

Сайт: github.com/jfrog/kubexray
Лицензия: свободна (Apache), но изисква достъп до данни от JFrog Xray (комерсиален продукт)

KubeXray "слуша" събития от API сървера на Kubernetes и с помощта на метаданни от JFrog Xray следи да се стартира само pod'ове, които отговарят на текущата политика.

KubeXray не само провежда одит на нови или обновени контейнери в deployment-ите (по аналогия с admission controller в Kubernetes), но също така динамично проверява работещите контейнери за съответствие с новите политики за сигурност, премахвайки ресурси, които сочат към уязвими образи.

Snyk

Сайт: snyk.io
Лицензия: свободна (Apache) и търговска версии

Snyk е необичаен скенер за уязвимости в смисъл, че е специално насочен към процеса на разработка и се предлага като "незаменимо решение" за разработчиците.

Snyk се свързва директно с хранилищата на кода, анализира манифеста на проекта и проверява импортирания код заедно с пряките и косвени зависимости. Snyk поддържа много популярни програмни езици и може да открива скрити лицензионни рискове.

Trivy

Сайт: github.com/knqyf263/trivy
Лицензия: свободна (AGPL)

Trivy — прост, но мощен скенер за уязвимости за контейнери, лесно интегрируем в CI/CD пайплайн. Неговата забележителна характеристика е леснотата на инсталацията и работата: приложението се състои от единствен бинарен файл и не изисква инсталиране на база данни или допълнителни библиотеки.

Обратната страна на простотата на Trivy е, че ще трябва да се справите с парсирането и предаването на резултатите в JSON формат, за да могат да бъдат използвани от други инструменти за сигурност на Kubernetes.

Сигурност на runtime в Kubernetes

Falco

Сайт: falco.org
Лицензия: свободна (Apache)

Falco — набор от инструменти за осигуряване на сигурността в облачни среди за изпълнение. Член на семейството на проектите CNCF.

С използването на инструменти от Sysdig за работа на ниво ядро на Linux и профилиране на системни повици, Falco позволява дълбочинно разглеждане на поведението на системата. Неговият механизъм за runtime правила е способен да открива съмнителна активност в приложения, контейнери, основен хост и оркестратор Kubernetes.

Falco осигурява пълна прозрачност на работата на runtime и откриване на заплахи, поставяйки за целта специални агенти на възлите на Kubernetes. В резултат на това отпада необходимостта от модификация на контейнерите с добавяне на външен код или поставяне на sidecar контейнери.

Фреймове за сигурност на Linux за runtime

Тези родни на ядрото Linux фреймове не са "инструменти за сигурност на Kubernetes" в традиционния смисъл, но заслужават споменаване, тъй като са важен елемент в контекста на сигурността на runtime, която е част от политика за сигурност на Pod в Kubernetes (PSP).

AppArmor свързва профил на сигурност с процесите, стартирани в контейнера, определяйки привилегиите на файловата система, правилата за мрежов достъп, свързването на библиотеки и т.н. Това е система, основана на мандатно управление на достъпа (Mandatory Access Control, MAC). С други думи, тя предотвратява извършването на забранени действия.

Security-Enhanced Linux (SELinux) — модул за разширена сигурност в ядрото на Linux, който в някои аспекти е подобен на AppArmor и често се сравнява с него. SELinux превъзхожда AppArmor по мощност, гъвкавост и точност на настройките. Неговите недостатъци са дълго време за усвояване и увеличена сложност.

Seccomp и seccomp-bpf позволяват филтриране на системни извиквания, блокирайки изпълнението на тези от тях, които са потенциално опасни за основната операционна система и не са необходими за нормалната работа на потребителските приложения. Seccomp в някои отношения е подобен на Falco, макар и да не познава спецификата на контейнерите.

Sysdig с отворен код

Сайт: www.sysdig.com/opensource
Лицензия: свободна (Apache)

Sysdig е пълен инструмент за анализ, диагностика и отстраняване на проблеми в Linux системи (също работи на Windows и macOS, но с ограничени функции). Може да се използва за събиране на детайлна информация, проверка и криминална експертиза (forensics) основната система и всички контейнери, работещи върху нея.

Sysdig също така първоначално поддържа изпълнявани среди за контейнери и метаданни на Kubernetes, добавяйки допълнителни измервания и тагове към цялата събирана информация за поведението на системата. Има няколко начина за анализ на клъстера Kubernetes с помощта на Sysdig: може да се направи каптуриране в определен момент чрез kubectl capture или да се стартира интерактивен интерфейс на базата на ncurses с помощта на плъгин kubectl dig.

Мрежова сигурност на Kubernetes

Aporeto

Сайт: www.aporeto.com
Лиценз: търговски

Aporeto предлага „сигурност, отделена от мрежата и инфраструктурата“. Това означава, че услугите на Kubernetes не само получават локален ID (т.е. ServiceAccount в Kubernetes), но и универсален идентификатор/отпечатък, който може да се използва за безопасно и взаимно проверявано взаимодействие с всеки друг сервис, например, в клъстера OpenShift.

Aporeto може да генерира уникален идентификатор не само за Kubernetes/контейнери, но и за хостове, облачни функции и потребители. В зависимост от тези идентификатори и набора от правила за мрежова сигурност, зададени от администратора, комуникациите ще бъдат разрешени или блокирани.

Calico

Сайт: www.projectcalico.org
Лицензия: свободна (Apache)

Calico обикновено се разгръща по време на инсталацията на оркестратор за контейнери, което позволява да се създаде виртуална мрежа, свързваща контейнерите. Освен тази основна мрежова функционалност, проектът Calico работи с Kubernetes Network Policies и собствен набор от профили за мрежова сигурност, поддържа ACL (списки за контрол на достъпа) на крайни точки и базирани на анотации правила за мрежова сигурност за Ingress и Egress трафик.

Cilium

Сайт: www.cilium.io
Лицензия: свободна (Apache)

Cilium действа като защитна стена за контейнери и предоставя функции за осигуряване на мрежова безопасност, първоначално адаптирани за Kubernetes и натоварвания на микросервизи. Cilium използва нова технология на ядрото на Linux, наречена BPF (Berkeley Packet Filter), за филтриране, наблюдение, пренасочване и коригиране на данни.

Cilium е способен да разгръща политики за мрежов достъп, базирани на идентификатори на контейнери, използвайки Docker или Kubernetes етикети и метаданни. Cilium също така разбира и филтрира различни протоколи на 7-мо ниво, като HTTP или gRPC, позволявайки определянето на набор от REST повиквания, които, например, ще бъдат разрешени между две Kubernetes разгръщания.

Istio

Сайт: istio.io
Лицензия: свободна (Apache)

Istio е широко известен като реализация на парадигмата service mesh чрез разгръщане на независима от платформа контролна плоскост и пренасочване на целия управляван сервизен трафик през динамично конфигурируеми проксита Envoy. Istio се възползва от това авангардно представяне на всички микросервизи и контейнери за реализиране на различни стратегии за мрежова безопасност.

Възможностите на Istio по осигуряване на мрежова безопасност включват прозрачно криптиране TLS, за автоматично подобряване на комуникационния протокол между микросервизите до HTTPS и собствена система RBAC за идентификация и авторизация за разрешаване/забрана на обмен на данни между различни натоварвания в клъстера.

Прим. прев.: За повече информация относно възможностите на Istio, насочени към безопасността, прочетете в тази статия.

Tigera

Сайт: www.tigera.io
Лиценз: търговски

В това решение, наречено "брандмауер за Kubernetes", се акцентира на подхода към мрежовата безопасност с нулево доверие.

Подобно на другите родни за Kubernetes мрежови решения, Tigera разчита на метаданни при идентификацията на различни услуги и обекти в клъстера и осигурява откритие на проблеми в runtime, непрекъсната проверка за съответствие и прозрачност на мрежата за многооблачни или хибридни монолитно-контейнеризирани инфраструктури.

Trireme

Сайт: www.aporeto.com/opensource
Лицензия: свободна (Apache)

Trireme-Kubernetes е прост и разбираем имплементация на спецификацията за мрежови политики на Kubernetes. Най-забележителната черта е, че в отличие от подобни продукти за мрежова сигурност на Kubernetes, той не изисква централна контролна точка за координиране на мрежата. Това прави решението тривиално мащабируемо. В Trireme това се постига чрез инсталиране на агент на всеки възел, който директно се свързва с TCP/IP стека на хоста.

Разпространение на образи и управление на тайни

Grafeas

Сайт: grafeas.io
Лицензия: свободна (Apache)

Grafeas е API с отворен код за одит и управление на веригата за доставки на софтуер. На базово ниво Grafeas представлява инструмент за събиране на метаданни и резултати от одит. Може да се използва за проследяване на съответствието с най-добрите практики в областта на сигурността в организацията.

Този централен източник на истина помага да се отговори на въпроси като:

Кой е събрал и подписал конкретния контейнер?
Преминал ли е през всички скенери за сигурност и проверки, предвидени в политиката за сигурност? Кога? Какви бяха резултатите?
Кой го е разположил в продукция? Какви конкретно параметри бяха използвани при разполагането?

In-toto

Сайт: in-toto.github.io
Лицензия: свободна (Apache)

In-toto е рамка, разработена за осигуряване на целостта, удостоверяването и одита на цялата верига за доставки на софтуер. При разполагането на In-toto в инфраструктурата първо се задава план, описващ различните стъпки в потока (репозитори, CI/CD инструменти, QA инструменти, събирачи на артефакти и т.н.) и потребителите (отговорниците), на които е разрешено да ги инициират.

In-toto контролира изпълнението на плана, проверявайки, че всяка задача в веригата се изпълнява надлежно само от упълномощен персонал и не са извършвани неразрешени манипулации по време на движението с продукта.

Portieris

Сайт: github.com/IBM/portieris
Лицензия: свободна (Apache)

Portieris е контролер за приемане за Kubernetes; прилага принудителни проверки за доверие към съдържанието. Portieris използва сървър Notary (писахме за него в края тази статия — прим. прев.) като източник на истина за потвърждаване на доверени и подписани артефакти (тоест одобрени контейнерни образи).

При създаване или промяна на работен товар в Kubernetes Portieris зарежда информация за подписа и политиката на доверие към съдържанието за исканите контейнери, като при необходимост внася промени в JSON обекта на API на летището за стартиране на подписани версии на тези образи.

за съхранение на тайни):

Сайт: www.vaultproject.io
Лицензия: свободна (MPL)

Vault е безопасно решение за съхранение на чувствителна информация: пароли, OAuth токени, PKI сертификати, достъп до акаунти, секрета на Kubernetes и др. Vault поддържа много усъвършенствани функции, като наемане на ефимерни токени за сигурност или организиране на ротация на ключове.

С помощта на Helm граф Vault може да се внедри като нова деплоймънт в Kubernetes клъстер с Consul като бекенд хранилище. Той поддържа нативни ресурси на Kubernetes като токени ServiceAccount и дори може да служи като подразбиращо се хранилище на секрета за Kubernetes.

Прим. прев.: Между другото, точно вчера компанията HashiCorp, разработваща Vault, обяви някои подобрения за използване на Vault в Kubernetes и по-специално те засягат Helm графа. Подробности можете да прочетете в блога на разработчиците.

Аудит на сигурността на Kubernetes

Kube-bench

Сайт: github.com/aquasecurity/kube-bench
Лицензия: свободна (Apache)

Kube-bench е приложение на Go, което проверява дали внедреният Kubernetes е безопасен, изпълнявайки тестове от списъка CIS Kubernetes Benchmark.

Kube-bench търси небезопасни конфигурационни параметри сред компонентите на клъстера (etcd, API, контролер на мениджъра и др.), съмнителни права за достъп до файлове, незащитени акаунти или отворени портове, ресурси, настройки за ограничаване на исканнята към API за защита от DoS атаки и др.

Kube-hunter

Сайт: github.com/aquasecurity/kube-hunter
Лицензия: свободна (Apache)

Kube-hunter "ловува" за потенциални уязвимости (като отдалечено изпълнение на код или разкриване на данни) в Kubernetes клъстери. Kube-hunter може да се стартира като отдалечен скенер – в този случай той оценява клъстера от гледна точка на чужд злонамерен актьор – или като pod в клъстера.

Отличителната характеристика на Kube-hunter е режимът на "активно ловуване", при който не само сигнализира за проблеми, но и се опитва да се възползва от уязвимостите, открити в целевия клъстер, които потенциално могат да навредят на работата му. Затова бъдете внимателни!

Kubeaudit

Сайт: github.com/Shopify/kubeaudit
Лицензия: свободна (MIT)

Kubeaudit — това е конзолен инструмент, първоначално разработен в Shopify за одит на конфигурацията на Kubernetes с цел откриване на различни проблеми в областта на сигурността. Например, той помага да се идентифицират контейнери, работещи без ограничения, с права на суперпотребител, злоупотребяващи с привилегии или използващи ServiceAccount по подразбиране.

Kubeaudit предлага и други интересни възможности. Например, той анализира локални YAML файлове, откривайки недостатъци в конфигурацията, които могат да доведат до проблеми със сигурността, и автоматично ги коригира.

Kubesec

Сайт: kubesec.io
Лицензия: свободна (Apache)

Kubesec е особен инструмент, тъй като директно сканира YAML файлове с описание на ресурси в Kubernetes в търсене на слабости, които могат да повлияят на сигурността.

Например, той може да открива излишни привилегии и разрешения, предоставени на pod, стартиране на контейнер с root потребител по подразбиране, свързване с пространството на имената на хоста или опасни монтирания като /proc хоста или сокета на Docker. Още една интересна възможност на Kubesec е наличната онлайн демо услуга, в която можете да качите YAML и веднага да проведете неговия анализ.

Open Policy Agent

Сайт: www.openpolicyagent.org
Лицензия: свободна (Apache)

Концепцията на OPA (Open Policy Agent) е да отдели политиките за сигурност и добрите практики в областта на сигурността от конкретната платформа за изпълнение: Docker, Kubernetes, Mesosphere, OpenShift или всяка тяхна комбинация.

Например, можете да внедрите OPA като бекенд за контролера за прием на Kubernetes, възлагайки му решения по сигурността. По този начин агентът OPA ще може да проверява, отказва и дори изменя заявки на летишка, осигурявайки спазването на зададените параметри за сигурност. Политиките за сигурност в OPA са написани на собствен DSL език Rego.

Прим. прев.: Повече за OPA (и SPIFFE) сме писали в този материал.

Комплексни търговски инструменти за анализ на сигурността в Kubernetes

Решихме да създадем отделна категория за търговски платформи, тъй като те обикновено обхващат няколко области на сигурността. Общо представяне на техните възможности можете да получите от таблицата:

* Напреднала експертиза и post mortem анализ с пълен захват на системни повиквания.

Aqua Security

Сайт: www.aquasec.com
Лиценз: търговски

Този търговски инструмент е предназначен за контейнери и облачни работни натоварвания. Той предлага:

Сканиране на образи, интегрирано с регистър на контейнери или CI/CD пайплайн;
Runtime защита с търсене на промени в контейнерите и друга подозрителна активност;
Роден за контейнери фаъруол;
Сигурност за serverless в облачни услуги;
Проверката за съответствие и одит, комбинирани с логване на събития.

Прим. прев.: Също така е важно да се отбележи, че има и безплатна част от продукта, наречена MicroScanner, която позволява сканиране на образи на контейнери за уязвимости. Сравнението на възможностите ѝ с платените версии е представено в тази таблица.

Capsule8

Сайт: capsule8.com
Лиценз: търговски

Capsule8 се интегрира в инфраструктурата, инсталирайки детектор в локален или облачен Kubernetes клъстер. Този детектор събира телеметрия за хоста и мрежата, съпоставяйки я с различни видове атаки.

Екипът на Capsule8 вижда своята задача в ранното откриване и предотвратяване на атаки, използващи свежи (0-day) уязвимости. Capsule8 може да зарежда уточнени правила за сигурност директно на детекторите в отговор на наскоро открити заплахи и уязвимости на софтуера.

Cavirin

Сайт: www.cavirin.com
Лиценз: търговски

Cavirin действа като контрагент на компанията за различни агенции, занимаващи се с стандарти за сигурност. Той не само може да сканира образи, но и да се интегрира в CI/CD пайплайн, блокирайки несъответстващите образи преди да влязат в затворени репозитории.

Пакетът за сигурност на Cavirin използва машинно обучение за оценка на състоянието на киберсигурността, предлага съвети за повишаване на сигурността и за повишаване на съответствието със стандартите за сигурност.

Google Cloud Security Command Center

Сайт: cloud.google.com/security-command-center
Лиценз: търговски

Cloud Security Command Center помага на екипите за сигурност да събират данни, да откриват заплахи и да ги отстраняват преди да навредят на компанията.

Както подсказва името, Google Cloud SCC е унифицирана контролна панел, в който могат да се интегрират различни отчети за сигурност, механизми за отчитане на активи и външни системи за сигурност, и да се управляват от един централен източник.

Интероперабилен API, предлаган от Google Cloud SCC, улеснява интеграцията на събития в областта на сигурността, идващи от различни източници, като Sysdig Secure (сигурност на контейнери за cloud-native приложения) или Falco (Open Source система за сигурност на runtime).

Layered Insight (Qualys)

Сайт: layeredinsight.com
Лиценз: търговски

Layered Insight (вече част от Qualys Inc) е основана на концепцията за "вградена сигурност". След сканиране на оригиналното изображение за уязвимости с помощта на методи за статистически анализ и извършване на проверки по CVE, Layered Insight го заменя с инструментализирано изображение, което включва агент под формата на бинарен файл.

Този агент съдържа тестове за сигурност в реално време за анализ на мрежовия трафик на контейнера, I/O потоци и дейността на приложението. Освен това, той може да извършва допълнителни проверки за сигурност, зададени от администратора на инфраструктурата или от екипите DevOps.

NeuVector

Сайт: neuvector.com
Лиценз: търговски

NeuVector извършва проверка за сигурност на контейнера и осигурява защита в реално време чрез анализ на мрежовата активност и поведението на приложението, създавайки индивидуален профил за сигурност за всеки контейнер. Той също така може самостоятелно да блокира заплахи, изолирайки подозрителната активност чрез промяна на правилата на локалния фајър.

Мрежовата интеграция на NeuVector, известна като Security Mesh, е способна да извършва дълбок анализ на пакетите и филтриране на 7-о ниво за всички мрежови връзки в service mesh.

StackRox

Сайт: www.stackrox.com
Лиценз: търговски

Платформата за осигуряване на сигурността на контейнерите StackRox се стреми да обхване целия жизнен цикъл на Kubernetes приложенията в кластера. Както и другите търговски платформи в този списък, StackRox генерира профил в реално време на базата на наблюдаваното поведение на контейнера и автоматично подава сигнал при всякакви отклонения.

Освен това, StackRox анализира конфигурациите на Kubernetes, използвайки CIS Kubernetes и други набори от правила за оценка на съответствието на контейнерите.

Sysdig Secure

Сайт: sysdig.com/products/secure
Лиценз: търговски

Sysdig Secure защитава приложенията през целия жизнен цикъл на контейнера и Kubernetes. Той сканира изображенията на контейнерите, осигурява защита в реално време чрез данни от машинно обучение, извършва криминална експертиза за идентифициране на уязвимости, блокира заплахи, следи за съответствието с установените стандарти и провежда одит на активността в микросервисите.

Sysdig Secure се интегрира с CI/CD инструменти, като Jenkins, и контролира изображенията, зареждани от регистри Docker, предотвратявайки появата на опасни изображения в production. Той също така осигурява задълбочена сигурност в реално време, включително:

профилиране в реално време на базата на ML и откриване на аномалии;
runtime политики, основани на системни събития, API K8s-аудит, съвместни проекти на общността (FIM — мониторинг на целостта на файла; криптоджакване) и фреймворка MITRE ATT&CK;
реагиране и отстраняване на инциденти.

Tenable Container Security

Сайт: www.tenable.com/products/tenable-io/container-security
Лиценз: търговски

Преди появата на контейнерите, Tenable беше широко известна в индустрията като компанията, разработила Nessus — популярен инструмент за откриване на уязвимости и одит на сигурността.

Tenable Container Security използва опита на компанията в областта на компютърната сигурност за интегриране на CI/CD пайплайна с бази данни за уязвимости, специализирани пакети за откриване на зловреден софтуер и препоръки за премахване на заплахи за сигурността.

Twistlock (Palo Alto Networks)

Сайт: www.twistlock.com
Лиценз: търговски

Twistlock се предлага като платформа, насочена към облачни услуги и контейнери. Twistlock поддържа различни облачни доставчици (AWS, Azure, GCP), оркестратори на контейнери (Kubernetes, Mesospehere, OpenShift, Docker), serverless среди за изпълнение, mesh фреймворкове и инструменти CI/CD.

Освен обичайните методи за осигуряване на корпоративна сигурност, като интеграция в CI/CD пайплайна или сканиране на образи, Twistlock използва машинно обучение за генериране на поведенчески модели и мрежови правила, отразяващи характеристиките на контейнерите.

Няколко време преди това Twistlock беше закупена от компанията Palo Alto Networks, която притежава проектите Evident.io и RedLock. Все още не е ясно как точно тези три платформи ще бъдат интегрирани в PRISMA от Palo Alto.

Помогнете да създадем най-добрия каталог на инструменти за осигуряване на сигурността на Kubernetes!

Стремим се да направим този каталог възможно най-пълен и затова имаме нужда от вашата помощ! Свържете се с нас (@sysdig), ако знаете за страхотен инструмент, който заслужава да бъде включен в този списък, или сте открили грешка/остаряла информация.

Също така можете да се абонирате за нашия месечен бюлетин с новини от облачната екосистема и истории за интересни проекти от света на сигурността на Kubernetes.

P.S. от преводача

Прочетете също в нашия блог:

Източник: habr.com

33+ инструмента за сигурност на Kubernetes

Категории