\nFor at lette navigationen i listen er v\u00e6rkt\u00f8jerne opdelt efter hovedfunktioner og anvendelsesomr\u00e5der. Der er f\u00f8lgende sektioner:<\/p>\n
\n Scanning af Kubernetes-billeder og statisk analyse;<\/li>\n Runtime-sikkerhed;<\/li>\n Kubernetes netv\u00e6rkssikkerhed;<\/li>\n Distribution af billeder og hemmelighedsh\u00e5ndtering;<\/li>\n Kubernetes sikkerhedsrevision;<\/li>\n Omfattende kommercielle produkter.<\/li>\n<\/ul>\n\nLad os komme til sagen:<\/p>\n
Scanning af Kubernetes-billeder<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Websted: anchore.com<\/a><\/noindex><\/li>\n Licens: gratis (Apache) og kommercielt tilbud<\/li>\n<\/ul>\n\n
Udover den s\u00e6dvanlige scanning af containerbilleder for kendte s\u00e5rbarheder i CVE-databasen, udf\u00f8rer Anchore en lang r\u00e6kke yderligere kontroller i forbindelse med scanningens politik: det tjekker Dockerfile, l\u00e6kager af legitimationsoplysninger, de anvendte programmeringssprog (npm, maven osv.), softwarelicenser og meget mere.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Websted: coreos.com\/clair<\/a><\/noindex> (nu under Red Hats opsyn)<\/i><\/li>\n Licens: gratis (Apache)<\/li>\n<\/ul>\n\n(ogs\u00e5 fra CoreOS \u2014 ft. overs.<\/b>)<\/i>. Clair kan indsamle information om CVE fra et stort antal kilder, inklusive lister over s\u00e5rbarheder specifikke for Linux-distributioner, som styres af sikkerhedsteams fra Debian, Red Hat eller Ubuntu.<\/p>\n
I mods\u00e6tning til Anchore fokuserer Clair prim\u00e6rt p\u00e5 at finde s\u00e5rbarheder og matche data med CVE. Produktet tilbyder dog nogle muligheder for at udvide funktionerne med plug-in-drivere.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Websted: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Licens: fri (Apache)<\/li>\n<\/ul>\n\n
To bem\u00e6rkelsesv\u00e6rdige egenskaber adskiller Dagda fra andre lignende v\u00e6rkt\u00f8jer:<\/p>\n
\n Den integreres fremragende med ClamAV<\/a><\/noindex>, og fungerer ikke blot som et v\u00e6rkt\u00f8j til scanning af containerbilleder, men ogs\u00e5 som antivirus.<\/li>\n Den giver ogs\u00e5 runtime-beskyttelse ved at modtage h\u00e6ndelser i realtid fra Docker-d\u00e6monen og integreres med Falco (se nedenfor)<\/i> for at indsamle sikkerhedsh\u00e6ndelser under containerens drift.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Websted: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Licens: fri (Apache), men kr\u00e6ver data fra JFrog Xray (et kommercielt produkt)<\/li>\n<\/ul>\n\n
KubeXray udf\u00f8rer ikke kun revision af nye eller opdaterede containere i deployment'er (p\u00e5 samme m\u00e5de som admission controller i Kubernetes), men tjekker ogs\u00e5 dynamisk de k\u00f8rende containere for overholdelse af nye sikkerhedspolitikker, hvilket fjerner ressourcer, der refererer til s\u00e5rbare billeder.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Websted: snyk.io<\/a><\/noindex><\/li>\n Licens: fri (Apache) og kommercielle versioner<\/li>\n<\/ul>\n\n
Snyk forbinder sig direkte til kode-repositorier, parser projektets manifest og analyserer den importerede kode sammen med direkte og indirekte afh\u00e6ngigheder. Snyk underst\u00f8tter mange popul\u00e6re programmeringssprog og kan identificere skjulte licensrisici.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Websted: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Licens: fri (AGPL)<\/li>\n<\/ul>\n\n
Den bagside ved Trivys enkelhed er, at man skal finde ud af, hvordan man parser og sender resultaterne i JSON-format, s\u00e5 andre v\u00e6rkt\u00f8jer til sikkerhed i Kubernetes kan bruge dem.<\/p>\n
Runtime-sikkerhed i Kubernetes<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Websted: falco.org<\/a><\/noindex><\/li>\n Licens: gratis (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nVed at bruge Sysdig-v\u00e6rkt\u00f8jer til at arbejde p\u00e5 Linux-kernniveau og profilering af systemopkald, giver Falco mulighed for dyb indsigt i systemets adf\u00e6rd. Dets runtime-regler kan opdage mist\u00e6nkelig aktivitet i applikationer, containere, v\u00e6rtssystemet og Kubernetes-orchestratoren.<\/p>\n
Falco giver fuld gennemsigtighed i runtime-arbejdet og trusselsopdagelse ved at placere specielle agenter p\u00e5 Kubernetes-noderne. Dette fjerner behovet for at modificere containere ved at integrere tredjepartskode eller tilf\u00f8je sidecar-containere.<\/p>\n
Sikkerhedsf\u00e6llesskaber for Linux til runtime<\/h3>\n \n
AppArmor<\/a><\/noindex> tilslutter en sikkerhedsprofil til processer, der k\u00f8rer i containeren, ved at definere filsystemprivilegier, netv\u00e6rksadgangsregler, bibliotekstilslutninger osv. Dette er et system baseret p\u00e5 mandatory access control (MAC). Med andre ord forhindrer det udf\u00f8relse af forbudte handlinger.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) er et modul til udvidet sikkerhed i Linux-kernen, som p\u00e5 nogle punkter ligner AppArmor og ofte sammenlignes hermed. SELinux overg\u00e5r AppArmor med hensyn til styrke, fleksibilitet og finindstillingsmuligheder. Dets ulemper er lang tilvendelse og \u00f8get kompleksitet.<\/p>\nSeccomp<\/a><\/noindex> og seccomp-bpf g\u00f8r det muligt at filtrere systemkald, blokere udf\u00f8relsen af de kald, der potentielt er farlige for det underliggende OS, og som ikke er n\u00f8dvendige for normal drift af brugerapplikationer. Seccomp ligner p\u00e5 nogle m\u00e5der Falco, selvom det ikke kender specifikationen for containere.<\/p>\nSysdig open source<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")