\nUm die Navigation in der Liste zu erleichtern, wurden die Tools nach den Hauptfunktionen und Anwendungsbereichen gegliedert. Die folgenden Abschnitte sind entstanden:<\/p>\n
\n Scannen von Kubernetes-Images und statische Analyse;<\/li>\n Runtime-Sicherheit;<\/li>\n Netzwerksicherheit von Kubernetes;<\/li>\n Verteilung von Images und Verwaltung von Geheimnissen;<\/li>\n Sicherheitsaudit f\u00fcr Kubernetes;<\/li>\n Umfassende kommerzielle Produkte.<\/li>\n<\/ul>\n\nKommen wir zur Sache:<\/p>\n
Scannen von Kubernetes-Images<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Website: anchore.com<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache) und kommerzielles Angebot<\/li>\n<\/ul>\n\n
Neben dem gewohnten Scannen von Container-Images auf bekannte Schwachstellen aus der CVE-Datenbank f\u00fchrt Anchore zahlreiche zus\u00e4tzliche Pr\u00fcfungen im Rahmen der Scanrichtlinie durch: \u00dcberpr\u00fcfung des Dockerfiles, Leckagen von Zugangsdaten, verwendete Programmiersprachenpakete (npm, maven usw.), Softwarelizenzen und vieles mehr.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Website: coreos.com\/clair<\/a><\/noindex> (jetzt unter der Obhut von Red Hat)<\/i><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n(auch von CoreOS \u2014 Anm. d. \u00dc.<\/b>)<\/i>. Clair kann Informationen zu CVE aus einer Vielzahl von Quellen sammeln, einschlie\u00dflich spezifischer Listen von Schwachstellen f\u00fcr Linux-Distributionen, die von Sicherheitsteams von Debian, Red Hat oder Ubuntu gepflegt werden.<\/p>\n
Im Gegensatz zu Anchore konzentriert sich Clair haupts\u00e4chlich auf die Suche nach Schwachstellen und das Abgleichen von Daten mit CVE. Das Produkt bietet den Nutzern jedoch auch einige M\u00f6glichkeiten zur Funktionserweiterung durch Plug-in-Treiber.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Website: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Lizenz: frei (Apache)<\/li>\n<\/ul>\n\n
Der Dagda-Paket unterscheidet sich durch zwei bemerkenswerte Eigenschaften von anderen \u00e4hnlichen Werkzeugen:<\/p>\n
\n Er integriert sich hervorragend mit ClamAV<\/a><\/noindex>, agiert nicht nur als Tool zum Scannen von Container-Images, sondern auch als Antivirus.<\/li>\n Bietet zudem laufende Schutzma\u00dfnahmen, indem er in Echtzeit Ereignisse vom Docker-D\u00e4mon empf\u00e4ngt und sich mit Falco (siehe unten)<\/i> verwebt, um Sicherheitsereignisse w\u00e4hrend des Containerbetriebs zu sammeln.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Website: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Lizenz: frei (Apache), erfordert jedoch Daten von JFrog Xray (kommerzielles Produkt)<\/li>\n<\/ul>\n\n
KubeXray f\u00fchrt nicht nur die Pr\u00fcfung neuer oder aktualisierter Container in Deployments durch (\u00e4hnlich einem Admission Controller in Kubernetes), sondern \u00fcberpr\u00fcft auch dynamisch die laufenden Container auf \u00dcbereinstimmung mit neuen Sicherheitsrichtlinien, indem es Ressourcen entfernt, die auf verwundbare Images verweisen.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Website: snyk.io<\/a><\/noindex><\/li>\n Lizenz: frei (Apache) und kommerzielle Versionen<\/li>\n<\/ul>\n\n
Snyk verbindet sich direkt mit Code-Repositories, analysiert das Projektmanifest und \u00fcberpr\u00fcft den importierten Code zusammen mit seinen direkten und indirekten Abh\u00e4ngigkeiten. Snyk unterst\u00fctzt viele g\u00e4ngige Programmiersprachen und kann versteckte Lizenzrisiken identifizieren.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Website: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Lizenz: frei (AGPL)<\/li>\n<\/ul>\n\n
Die Kehrseite der Einfachheit von Trivy besteht darin, dass man verstehen muss, wie man die Ergebnisse im JSON-Format parsen und weiterleiten kann, damit sie von anderen Sicherheitswerkzeugen f\u00fcr Kubernetes genutzt werden k\u00f6nnen.<\/p>\n
Runtime-Sicherheit in Kubernetes<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Website: falco.org<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nDurch die Nutzung des Sysdig-Tools zur Arbeit auf Kernel-Ebene von Linux und das Profiling von Systemaufrufen erm\u00f6glicht es Falco, tief in das Verhalten des Systems einzutauchen. Sein Mechanismus f\u00fcr Runtime-Regeln kann verd\u00e4chtige Aktivit\u00e4ten in Anwendungen, Containern, dem zugrunde liegenden Host und dem Kubernetes-Orchestrierer erkennen.<\/p>\n
Falco bietet vollst\u00e4ndige Transparenz im Runtime-Betrieb und Bedrohungserkennung, indem spezielle Agenten auf den Kubernetes-Knoten platziert werden. Dadurch entf\u00e4llt die Notwendigkeit, Container zu modifizieren, indem fremder Code eingef\u00fcgt oder Sidecar-Container angeh\u00e4ngt werden.<\/p>\n
Linux-Sicherheitsframeworks f\u00fcr Runtime<\/h3>\n \n
AppArmor<\/a><\/noindex> verbindet ein Sicherheitsprofil mit Prozessen, die in einem Container ausgef\u00fchrt werden, und definiert die Berechtigungen f\u00fcr das Dateisystem, die Regeln f\u00fcr den Netzwerkzugang, das Laden von Bibliotheken usw. Es handelt sich um ein System basierend auf Mandatory Access Control (MAC). Mit anderen Worten: Es verhindert die Ausf\u00fchrung verbotener Aktionen.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) ist ein Modul f\u00fcr erweiterte Sicherheit im Linux-Kernel, das in einigen Aspekten mit AppArmor vergleichbar ist und oft damit verglichen wird. SELinux \u00fcbertrifft AppArmor in Bezug auf Leistung, Flexibilit\u00e4t und Feinabstimmung. Seine Nachteile sind die lange Einarbeitungszeit und die erh\u00f6hte Komplexit\u00e4t.<\/p>\nSeccomp<\/a><\/noindex> und seccomp-bpf erm\u00f6glichen das Filtern von Systemaufrufen und das Blockieren der Ausf\u00fchrung von potenziell gef\u00e4hrlichen, f\u00fcr das Grund-OS unn\u00f6tigen Aufrufen, die f\u00fcr die normale Funktion von Benutzeranwendungen nicht erforderlich sind. Seccomp \u00e4hnelt in bestimmten Aspekten Falco, kennt jedoch nicht die Spezifika von Containern.<\/p>\nSysdig Open Source<\/h3>\n <\/p>\n
\n Website: www.sysdig.com\/opensource<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n(Forensik)<\/i> des Grundsystems und s\u00e4mtlicher Container, die darauf ausgef\u00fchrt werden.<\/p>\n
Au\u00dferdem unterst\u00fctzt Sysdig von Anfang an Ausf\u00fchrungsumgebungen f\u00fcr Container und Kubernetes-Metadaten, indem es zus\u00e4tzliche Metriken und Tags zu allen gesammelten Informationen \u00fcber das Systemverhalten hinzuf\u00fcgt. Es gibt mehrere M\u00f6glichkeiten, ein Kubernetes-Cluster mit Sysdig zu analysieren: Man kann einen Schnappschuss zu einem bestimmten Zeitpunkt \u00fcber kubectl capture<\/a><\/noindex> durchf\u00fchren oder eine interaktive Schnittstelle auf Basis von ncurses mit dem Plugin starten kubectl dig<\/a><\/noindex>.<\/p>\nSicherheit im Kubernetes-Netzwerk<\/h2>\n <\/p>\n
Aporeto<\/h3>\n <\/p>\n
\n Website: www.aporeto.com<\/a><\/noindex><\/li>\n Lizenz: kommerziell<\/li>\n<\/ul>\n\n
Aporeto kann eine einzigartige Identifikation nicht nur f\u00fcr Kubernetes \/ Container, sondern auch f\u00fcr Hosts, Cloud-Funktionen und Benutzer generieren. Abh\u00e4ngig von diesen Identifikatoren und der vom Administrator festgelegten Regel zur Netzwerksicherheit werden die Kommunikationsm\u00f6glichkeiten genehmigt oder blockiert.<\/p>\n
Calico<\/h3>\n <\/p>\n
\n Website: www.projectcalico.org<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n
Cilium<\/h3>\n <\/p>\n
\n Website: www.cilium.io<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n
Cilium kann Netzwerkzugriffsrichtlinien basierend auf Container-IDs implementieren, indem es Docker- oder Kubernetes-Tags und Metadaten verwendet. Cilium versteht und filtert auch verschiedene Protokolle der Schicht 7, wie HTTP oder gRPC, und erm\u00f6glicht die Festlegung eines Satzes von REST-Aufrufen, die beispielsweise zwischen zwei Kubernetes-Deployments erlaubt sind.<\/p>\n
Istio<\/h3>\n <\/p>\n
\n Website: istio.io<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n
Die Netzwerksicherheitsfunktionen von Istio umfassen transparentes TLS-Verschl\u00fcsselung zum automatischen Upgrade des Kommunikationsprotokolls zwischen Microservices auf HTTPS sowie ein eigenes RBAC-System zur Identifizierung und Autorisierung, um den Austausch von Daten zwischen verschiedenen Workloads im Cluster zu erlauben oder zu verbieten.<\/p>\n
Anmerkung des \u00dcbersetzers.<\/b>: Weitere Informationen zu den Sicherheitsfunktionen von Istio finden Sie in diesem Artikel<\/a><\/noindex>.<\/i><\/p>\nTigera<\/h3>\n <\/p>\n
\n Website: www.tigera.io<\/a><\/noindex><\/li>\n Lizenz: kommerziell<\/li>\n<\/ul>\n\n
\u00c4hnlich wie bei anderen Kubernetes-nativen Netzwerkl\u00f6sungen verl\u00e4sst sich Tigera auf Metadaten zur Identifizierung verschiedener Dienste und Objekte im Cluster und bietet Runtime-Problemerkennung, kontinuierliche Compliance-\u00dcberpr\u00fcfung und Netzwerktransparenz f\u00fcr Multi-Cloud- oder hybride monolithisch-containerisierte Infrastrukturen.<\/p>\n
Trireme<\/h3>\n <\/p>\n
\nWebsite: www.aporeto.com\/opensource<\/a><\/noindex><\/li>\nLizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n
Verbreitung von Images und Verwaltung von Geheimnissen<\/h2>\n <\/p>\n
Grafeas<\/h3>\n <\/p>\n
\n Website: grafeas.io<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n
Diese zentralisierte Quelle der Wahrheit hilft, Fragen zu beantworten wie:<\/p>\n
\n Wer hat einen bestimmten Container gebaut und signiert?<\/li>\n Hat er alle Sicherheitsscanner und Pr\u00fcfungen bestanden, die durch die Sicherheitsrichtlinie vorgesehen sind? Wann? Was waren die Ergebnisse? <\/li>\n Wer hat ihn in Produktion bereitgestellt? Welche spezifischen Parameter wurden bei der Bereitstellung verwendet?<\/li>\n<\/ul>\n<\/p>\n
In-toto<\/h3>\n <\/p>\n
\n Website: in-toto.github.io<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n
In-toto \u00fcberwacht die Ausf\u00fchrung des Plans, indem es \u00fcberpr\u00fcft, dass jede Aufgabe in der Kette ordnungsgem\u00e4\u00df ausschlie\u00dflich von autorisiertem Personal ausgef\u00fchrt wird und w\u00e4hrend der Entwicklung des Produkts keine unbefugten Manipulationen stattgefunden haben.<\/p>\n
Portieris<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")