\nUm die Navigation durch die Liste zu erleichtern, sind die Tools nach grundlegenden Funktionen und Anwendungsbereichen gegliedert. Die folgenden Abschnitte sind entstanden:<\/p>\n
\n Kubernetes-Image-Scanning und statische Analyse;<\/li>\n Runtime-Sicherheit;<\/li>\n Netzwerksicherheit f\u00fcr Kubernetes;<\/li>\n Verteilung von Images und Secrets-Management;<\/li>\n Sicherheitsaudit f\u00fcr Kubernetes;<\/li>\n Umfassende kommerzielle Produkte.<\/li>\n<\/ul>\n\nLassen Sie uns zur Sache kommen:<\/p>\n
Kubernetes-Image-Scanning<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Website: anchore.com<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache) und kommerzielles Angebot<\/li>\n<\/ul>\n\n
Neben dem herk\u00f6mmlichen Scannen von Container-Images auf bekannte Schwachstellen aus der CVE-Datenbank f\u00fchrt Anchore viele zus\u00e4tzliche Pr\u00fcfungen im Rahmen der Scan-Politik durch: Es pr\u00fcft das Dockerfile, die Leckage von Authentifizierungsdaten, verwendete Programmiersprachenpakete (npm, maven usw.), Softwarelizenzen und vieles mehr.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Website: coreos.com\/clair<\/a><\/noindex> (jetzt unter der Obhut von Red Hat)<\/i><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n(ebenfalls von CoreOS \u2014 Anmerk. d. \u00dc.<\/b>)<\/i>. Clair kann Informationen \u00fcber CVEs aus einer Vielzahl von Quellen sammeln, einschlie\u00dflich distributionsspezifischer Listen von Schwachstellen, die von den Sicherheitsteams von Debian, Red Hat oder Ubuntu gef\u00fchrt werden.<\/p>\n
Im Gegensatz zu Anchore konzentriert sich Clair haupts\u00e4chlich auf die Suche nach Schwachstellen und das Abgleichen von Daten mit CVEs. Das Produkt bietet jedoch den Nutzern einige M\u00f6glichkeiten zur Funktionserweiterung durch Plug-in-Treiber.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Website: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Lizenz: frei (Apache)<\/li>\n<\/ul>\n\n
Zwei bemerkenswerte Merkmale unterscheiden das Paket Dagda von anderen \u00e4hnlichen Tools:<\/p>\n
\n Es integriert sich hervorragend mit ClamAV<\/a><\/noindex>, indem es nicht nur als Tool zum Scannen von Container-Images fungiert, sondern auch als Antivirus.<\/li>\n Es bietet auch Runtime-Schutz, indem es in Echtzeit Ereignisse vom Docker-Daemon erh\u00e4lt und sich mit Falco integriert (siehe unten)<\/i> zum Sammeln von Sicherheitsereignissen w\u00e4hrend des Betriebs des Containers.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Website: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Lizenz: frei (Apache), erfordert jedoch Daten vom JFrog Xray (kommerzielles Produkt)<\/li>\n<\/ul>\n\n
KubeXray f\u00fchrt nicht nur Audits neuer oder aktualisierter Container in Deployments durch (\u00e4hnlich wie ein Admission Controller in Kubernetes), sondern \u00fcberpr\u00fcft auch dynamisch die laufenden Container auf die Einhaltung neuer Sicherheitsrichtlinien und entfernt Ressourcen, die auf verwundbare Images verweisen.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Website: snyk.io<\/a><\/noindex><\/li>\n Lizenz: Kostenlos (Apache) und kommerzielle Versionen<\/li>\n<\/ul>\n\n
Snyk verbindet sich direkt mit Code-Repositories, analysiert das Projektmanifest und untersucht den importierten Code zusammen mit direkten und indirekten Abh\u00e4ngigkeiten. Snyk unterst\u00fctzt viele g\u00e4ngige Programmiersprachen und kann verborgene Lizenzrisiken aufdecken.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Website: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Lizenz: Kostenlos (AGPL)<\/li>\n<\/ul>\n\n
Die Kehrseite der Einfachheit von Trivy ist, dass man lernen muss, wie man die Ergebnisse im JSON-Format analysiert und \u00fcbertr\u00e4gt, damit andere Sicherheitswerkzeuge in Kubernetes sie nutzen k\u00f6nnen.<\/p>\n
Runtime-Sicherheit in Kubernetes<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Website: falco.org<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nMit den Sysdig-Tools, die auf der Kernel-Ebene von Linux arbeiten und Systemaufrufe profilieren, erm\u00f6glicht Falco einen tiefen Einblick in das Systemverhalten. Sein Runtime-Regelmechanismus kann verd\u00e4chtige Aktivit\u00e4ten in Anwendungen, Containern, dem zugrunde liegenden Host und dem Kubernetes-Orchestrator erkennen.<\/p>\n
Falco bietet vollst\u00e4ndige Transparenz beim Runtime und Bedrohungserkennung, indem spezielle Agents auf Kubernetes-Knoten platziert werden. Dadurch entf\u00e4llt die Notwendigkeit, Container zu modifizieren, indem fremder Code integriert oder Sidecar-Container hinzugef\u00fcgt werden.<\/p>\n
Sicherheitsframeworks f\u00fcr Linux im Runtime-Bereich<\/h3>\n \n
AppArmor<\/a><\/noindex> verbindet ein Sicherheitsprofil mit den in einem Container laufenden Prozessen und definiert die Dateisystemprivilegien, Netzwerkzugangsregeln, das Laden von Bibliotheken usw. Dies ist ein System basierend auf Mandatory Access Control (MAC). Mit anderen Worten, es verhindert die Ausf\u00fchrung verbotener Aktionen.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) \u2014 ein Modul f\u00fcr erweiterte Sicherheit im Linux-Kernel, das in einigen Aspekten mit AppArmor vergleichbar ist und oft mit ihm verglichen wird. SELinux \u00fcbertrifft AppArmor hinsichtlich Leistung, Flexibilit\u00e4t und Detailgenauigkeit der Einstellungen. Zu seinen Nachteilen geh\u00f6ren die lange Einarbeitungszeit und die erh\u00f6hte Komplexit\u00e4t.<\/p>\nSeccomp<\/a><\/noindex> und seccomp-bpf erm\u00f6glichen es, Systemaufrufe zu filtern und die Ausf\u00fchrung potenziell gef\u00e4hrlicher Aufrufe zu blockieren, die f\u00fcr das grundlegende Betriebssystem nicht erforderlich sind und f\u00fcr die normale Funktion der Benutzeranwendungen nicht notwendig sind. Seccomp \u00e4hnelt in einigen Punkten Falco, kennt aber keine Details zu Containern.<\/p>\nSysdig Open Source<\/h3>\n <\/p>\n
\n Website: www.sysdig.com\/opensource<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n(forensische Untersuchungen)<\/i> der grundlegenden Systeme und aller Container, die darauf ausgef\u00fchrt werden.<\/p>\n
Auch Sysdig unterst\u00fctzt von Anfang an ausf\u00fchrbare Umgebungen f\u00fcr Container und Kubernetes-Metadaten, indem es zus\u00e4tzliche Dimensionen und Labels zu allen gesammelten Informationen \u00fcber das Systemverhalten hinzuf\u00fcgt. Es gibt mehrere M\u00f6glichkeiten, ein Kubernetes-Cluster mit Sysdig zu analysieren: Sie k\u00f6nnen eine Erfassung zu einem bestimmten Zeitpunkt durchf\u00fchren \u00fcber kubectl capture<\/a><\/noindex> oder ein interaktives ncurses-basiertes Interface mit dem Plugin kubectl dig<\/a><\/noindex>.<\/p>\nKubernetes-Netzwerksicherheit<\/h2>\n <\/p>\n
Aporeto<\/h3>\n <\/p>\n
\n Website: www.aporeto.com<\/a><\/noindex><\/li>\n Lizenz: kommerziell<\/li>\n<\/ul>\n\n
Aporeto kann einen einzigartigen Identifikator nicht nur f\u00fcr Kubernetes\/Container, sondern auch f\u00fcr Hosts, Cloud-Funktionen und Benutzer generieren. Abh\u00e4ngig von diesen Identifikatoren und den vom Administrator festgelegten Regeln f\u00fcr die Netzwerksicherheit werden Kommunikationen genehmigt oder blockiert.<\/p>\n
Calico<\/h3>\n <\/p>\n
\n Website: www.projectcalico.org<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n
Cilium<\/h3>\n <\/p>\n
\n Website: www.cilium.io<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n
Cilium kann Netzwerkrichtlinien basierend auf Container-IDs bereitstellen, indem es Docker- oder Kubernetes-Labels und Metadaten verwendet. Cilium versteht und filtert auch verschiedene Protokolle der Schicht 7, wie HTTP oder gRPC, was es erm\u00f6glicht, eine Gruppe von REST-Aufrufen zu definieren, die beispielsweise zwischen zwei Kubernetes-Deployments erlaubt sind.<\/p>\n
Istio<\/h3>\n <\/p>\n
\n Website: istio.io<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n
Die Sicherheitsfunktionen von Istio umfassen eine transparente TLS-Verschl\u00fcsselung zur automatischen Verbesserung des Kommunikationsprotokolls zwischen Microservices auf HTTPS sowie ein eigenes RBAC-System zur Identifizierung und Autorisierung, das den Datenaustausch zwischen verschiedenen Workloads im Cluster erlaubt oder verbietet.<\/p>\n
Hinweis.<\/b>: Weitere Informationen zu den sicherheitsorientierten Funktionen von Istio finden Sie in in diesem Artikel<\/a><\/noindex>.<\/i><\/p>\nTigera<\/h3>\n <\/p>\n
\n Website: www.tigera.io<\/a><\/noindex><\/li>\n Lizenz: kommerziell<\/li>\n<\/ul>\n\n
\u00c4hnlich wie bei anderen nativen Netzwerkl\u00f6sungen f\u00fcr Kubernetes nutzt Tigera Metadaten zur Identifizierung verschiedener Dienste und Objekte im Cluster und erm\u00f6glicht die Problemerkennung zur Laufzeit, kontinuierliche Compliance-\u00dcberwachung und Netztransparenz f\u00fcr multicloud- oder hybrid-monolithisch-containerisierte Infrastrukturen.<\/p>\n
Trireme<\/h3>\n <\/p>\n
\nWebsite: www.aporeto.com\/open-source<\/a><\/noindex><\/li>\nLizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n
Verteilung von Images und Verwaltung von Geheimnissen<\/h2>\n <\/p>\n
Grafeas<\/h3>\n <\/p>\n
\n Website: grafeas.io<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n
Diese zentralisierte Quelle der Wahrheit hilft, Fragen wie die folgenden zu beantworten:<\/p>\n
\n Wer hat einen bestimmten Container erstellt und signiert?<\/li>\n Hat er alle Sicherheits-Scanner und \u00dcberpr\u00fcfungen gem\u00e4\u00df der Sicherheitsrichtlinie bestanden? Wann? Was waren die Ergebnisse? <\/li>\n Wer hat ihn in der Produktion bereitgestellt? Welche spezifischen Parameter wurden bei der Bereitstellung verwendet?<\/li>\n<\/ul>\n<\/p>\n
In-toto<\/h3>\n <\/p>\n
\n Website: in-toto.github.io<\/a><\/noindex><\/li>\n Lizenz: Open Source (Apache)<\/li>\n<\/ul>\n\n
In-toto \u00fcberwacht die Ausf\u00fchrung des Plans, indem es sicherstellt, dass jede Aufgabe in der Kette ordnungsgem\u00e4\u00df nur von autorisiertem Personal ausgef\u00fchrt wird und w\u00e4hrend der Verarbeitung mit dem Produkt keine unbefugten Manipulationen vorgenommen wurden.<\/p>\n
Portieris<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")