\nNimekirja navigeerimise lihtsustamiseks on t\u00f6\u00f6riistad jaotatud p\u00f5hifunktsioonide ja kasutusvaldkondade j\u00e4rgi. Oleme saanud j\u00e4rgmised osad:<\/p>\n
\n Kubernetes'i piltide skaneerimine ja staatiline anal\u00fc\u00fcs;<\/li>\n K\u00e4itusaja turvalisus;<\/li>\n Kubernetes'i v\u00f5rgu turvalisus;<\/li>\n Piltide jagamine ja saladuste haldamine;<\/li>\n Kubernetes'i turvaauditeerimine;<\/li>\n Kommertstooteid, mis integreerivad erinevaid lahendusi.<\/li>\n<\/ul>\n\nLiigume asja juurde:<\/p>\n
Kubernetes'i piltide skaneerimine<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Veebisait: anchore.com<\/a><\/noindex><\/li>\n Litsents: avatud (Apache) ja kaubanduslik pakkumine<\/li>\n<\/ul>\n\n
Peale harilikest konteineripiltide skaneerimisest tuntud haavatavuste CVE andmebaasi p\u00f5hjal, teeb Anchore ka palju lisakontrolle skaneerimispoliitika raames: kontrollib Dockerfile'i, autentimisandmete lekkeid, kasutatavate programmeerimiskeelte (npm, maven jt) pakette, tarkvara litsentse ja palju muud.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Veebisait: coreos.com\/clair<\/a><\/noindex> (n\u00fc\u00fcd Red Hati hoolduses)<\/i><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n(ka CoreOSi poolt \u2014 m\u00e4rkus t\u00f5lke kohta.<\/b>)<\/i>Clair suudab koguda teavet CVE-de kohta paljusid allikaid, sealhulgas Linuxi distributsioonide spetsiifilisi haavatavuste loendeid, mida haldavad Debian, Red Hat v\u00f5i Ubuntu turvateamid.<\/p>\n
Erinevalt Anchore'ist tegeleb Clair peamiselt haavatuste leidmisega ja andmete v\u00f5rdlemisega CVE-dega. Siiski pakub toode kasutajatele teatud v\u00f5imalusi funktsioonide laiendamiseks pistikprogrammide kaudu.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Veebisait: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Litsents: tasuta (Apache)<\/li>\n<\/ul>\n\n
Teistest sarnastest t\u00f6\u00f6riistadest eristab Dagda'd kaks silmapaistvat omadust:<\/p>\n
\n See integreerub suurep\u00e4raselt ClamAV<\/a><\/noindex>, toimides mitte ainult konteineripiltide skaneerimise t\u00f6\u00f6riistana, vaid ka viiruset\u00f5rjena.<\/li>\n Samuti tagab runtime-kaitse, saades reaalajas s\u00fcndmusi Docker'i demonilt ja integreerudes Falco'ga (vt allpool)<\/i> turbe\u00fcrituste kogumiseks konteineri toimimise ajal.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Veebisait: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Litsents: tasuta (Apache), kuid n\u00f5uab andmete saamist JFrog Xray'lt (kaubanduslik toode)<\/li>\n<\/ul>\n\n
KubeXray mitte ainult ei auditeeri uusi v\u00f5i uuendatud konteinerite deployment\u2019e (sarnaselt admission controller\u2019iga Kubernetes\u2019is), vaid kontrollib ka d\u00fcnaamiliselt t\u00f6\u00f6tavaid konteinerite vastavust uutele turvapoliitikatele, eemaldades ressursid, mis viitavad haavatavatele piltidele.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Veebisait: snyk.io<\/a><\/noindex><\/li>\n Litsents: tasuta (Apache) ja kommertsversionid<\/li>\n<\/ul>\n\n
Snyk \u00fchendub otse koodirepositooriumitega, anal\u00fc\u00fcsib projekti manifesti ja uurib imporditud koodi koos otseste ja kaudsete s\u00f5ltuvustega. Snyk toetab paljusid populaarseid programmeerimiskeeli ja suudab tuvastada varjatud litsentsiriske.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Veebisait: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Litsents: tasuta (AGPL)<\/li>\n<\/ul>\n\n
Trivy lihtsuse tagaj\u00e4rg on see, et tuleb v\u00e4lja nuputada, kuidas parsida ja edastada tulemusi JSON-vormingus, et teised Kubernetes'i turvatooted saaksid neid kasutada.<\/p>\n
Kubernetes'i runtime'i turvalisus<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Veebisait: falco.org<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nSysdigi t\u00f6\u00f6riistu kasutades Linuxi tuumatasandil ja s\u00fcsteemi k\u00f5nede profileerimisel v\u00f5imaldab Falco s\u00fcgavale tungida s\u00fcsteemi k\u00e4itumisse. Selle runtime-reeglite mehhanism suudab tuvastada kahtlast tegevust rakendustes, konteinerites, p\u00f5hihostis ja Kubernetes'i orkestris.<\/p>\n
Falco tagab t\u00e4ieliku l\u00e4bipaistvuse runtime\u2019i t\u00f6\u00f6s ja ohu avastamisel, paigaldades selleks spetsiaalsed agentuurid Kubernetes'i s\u00f5lmedele. Seet\u00f5ttu ei ole vajalik konteinerite muutmine, sisestades neisse kolmanda osapoole koodi v\u00f5i kandes k\u00fclgkontainerid.<\/p>\n
Linuxi turva raamistikud runtime'ile<\/h3>\n \n
AppArmor<\/a><\/noindex> seondub konteineris k\u00e4ivitatud protsesside turvaprofili, m\u00e4\u00e4rates m\u00e4lufailide \u00f5igused, v\u00f5rgujuurdep\u00e4\u00e4su reeglid, raamatukogude \u00fchendamine jne. See on m\u00e4\u00e4ratlemise s\u00fcsteem, mis p\u00f5hineb kohustuslikul juurdep\u00e4\u00e4su kontrollil (Mandatory Access Control, MAC). Teisis\u00f5nu, see takistab keelatud toimingute tegemist.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) on Linuxi tuumas laiendatud turvalisuse moodul, mis m\u00f5nedes aspektides sarnaneb AppArmoriga ja mida v\u00f5rreldakse sageli sellega. SELinux \u00fcletab AppArmori oma j\u00f5u, paindlikkuse ja seadistuste t\u00e4psuse poolest. Selle puudused on pikaajaline \u00f5ppimine ja suurenenud keerukus.<\/p>\nSeccomp<\/a><\/noindex> ja seccomp-bpf v\u00f5imaldavad filtreerida s\u00fcsteemik\u00f5nesid, blokeerida nende sooritamist, mis on potentsiaalselt ohtlikud p\u00f5hiopereerimiss\u00fcsteemile ja pole vajalikud kasutajarakenduste normaalseks toimimiseks. Seccomp on m\u00f5nes osas sarnane Falcoga, kuigi ei tunne konteinerite spetsiifikat.<\/p>\nSysdig avatud l\u00e4htekoodiga<\/h3>\n <\/p>\n
\n Veebisait: www.sysdig.com\/opensource<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n(kriminaaluuringud)<\/i> p\u00f5hes\u00fcsteemi ja k\u00f5ikide konteinerite, mis sellel t\u00f6\u00f6tavad.<\/p>\n
Sysdig toetab algselt konteinerite k\u00e4itamis\u00fcmp\u00e4rasid ja Kubernetes'e metaandmeid, lisades t\u00e4iendavaid m\u00f5\u00f5dikuid ja silte kogu kogutud teabele s\u00fcsteemi k\u00e4itumisest. On mitu viisi Kubernetes'e klastri anal\u00fc\u00fcsimiseks Sysdigi abil: saate teha j\u00e4\u00e4dvustuse teatud hetkel l\u00e4bi kubectl capture<\/a><\/noindex> v\u00f5i k\u00e4ivitada interaktiivne liides ncurses'i baasil, kasutades pistikut kubectl dig<\/a><\/noindex>.<\/p>\nKubernetes'e v\u00f5rgu turvalisus<\/h2>\n <\/p>\n
Aporeto<\/h3>\n <\/p>\n
\n Veebisait: www.aporeto.com<\/a><\/noindex><\/li>\n Litsents: kommertslitsents<\/li>\n<\/ul>\n\n
Aporeto suudab genereerida unikaalse identifikaatori mitte ainult Kubernetes'e\/konteinerite jaoks, vaid ka hostide, pilvefunktsioonide ja kasutajate jaoks. S\u00f5ltuvalt nendest identifikaatoritest ja administraatori m\u00e4\u00e4ratud v\u00f5rgu turvareeglitest antakse kommunikatsioonidele luba v\u00f5i need blokeeritakse.<\/p>\n
Calico<\/h3>\n <\/p>\n
\n Veebisait: www.projectcalico.org<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n
Cilium<\/h3>\n <\/p>\n
\n Veebisait: www.cilium.io<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n
Cilium suudab juurutada v\u00f5rgu juurdep\u00e4\u00e4supiiranguid konteinerite identifikaatorite alusel, kasutades Docker\u2019i v\u00f5i Kubernetes\u2019e silte ja metaandmeid. Cilium m\u00f5istab ja filtreerib ka erinevaid 7. taseme protokolle, nagu HTTP v\u00f5i gRPC, v\u00f5imaldades m\u00e4\u00e4rata REST-k\u00f5ne kogumit, mis n\u00e4iteks on lubatud kahe Kubernetes\u2019e deployment\u2019i vahel.<\/p>\n
Istio<\/h3>\n <\/p>\n
\n Veebisait: istio.io<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n
Istio v\u00f5rguohutuse funktsionaalsused h\u00f5lmavad l\u00e4bipaistvat TLS-kr\u00fcptimist, et automaatselt parandada mikroteenuste vahelise suhtluse protokolli HTTPS-iks, ning enda RBAC-s\u00fcsteemi identifitseerimiseks ja autoriseerimiseks, et lubada\/keelata andmevahetust erinevate koormuste vahel klastris.<\/p>\n
M\u00e4rkus t\u00f5lke kohta.<\/b>: Lisainfot Istio turbetugevustest leiate aadressilt selles artiklis<\/a><\/noindex>.<\/i><\/p>\nTigera<\/h3>\n <\/p>\n
\n Veebisait: www.tigera.io<\/a><\/noindex><\/li>\n Litsents: kommertslitsents<\/li>\n<\/ul>\n\n
Sarnaselt teistele Kubernetes'e kohalikele v\u00f5rgu lahendustele tugineb Tigera metainformatsioonile, et tuvastada erinevaid teenuseid ja objekte klastris, pakkudes jooksva aja probleemide tuvastamist, pidevat vastavuse kontrolli ning v\u00f5rgu l\u00e4bipaistvust mitme pilve v\u00f5i h\u00fcbriidse monoliitset konteinerlahendustel.<\/p>\n
Trireme<\/h3>\n <\/p>\n
\nVeebisait: www.aporeto.com\/opensource<\/a><\/noindex><\/li>\nLitsents: avatud (Apache)<\/li>\n<\/ul>\n\n
Piltide levitamine ja saladuste haldamine<\/h2>\n <\/p>\n
Grafeas<\/h3>\n <\/p>\n
\n Veebisait: grafeas.io<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n
See keskne t\u00f5eallikas aitab vastata k\u00fcsimustele nagu:<\/p>\n
\n Kes kogus ja allkirjastas konkreetse konteineri?<\/li>\n Kas see l\u00e4bis k\u00f5ik turvaskannerid ja kontrollid, mis on m\u00e4\u00e4ratud turvapoliitikas? Millal? Millised olid tulemused? <\/li>\n Kes selle tootmisse k\u00e4ivitas? Milliseid t\u00e4pselt parametreid kasutati rakendamisel?<\/li>\n<\/ul>\n<\/p>\n
In-toto<\/h3>\n <\/p>\n
\n Veebisait: in-toto.github.io<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n
In-toto j\u00e4lgib plaani t\u00e4itmist, kontrollides, et iga \u00fclesanne ahelas t\u00e4idetakse korrektselt ainult volitatud isikute poolt ning toote liikumise k\u00e4igus ei toimunud mingeid volitamata manipuleerimisi.<\/p>\n
Portieris<\/h3>\n <\/p>\n
\n Veebisait: github.com\/IBM\/portieris<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\nNotary<\/a><\/noindex> (me kirjutasime sellest l\u00f5puks selle artikli<\/a><\/noindex> \u2014 m\u00e4rkus t\u00f5lke kohta.<\/b>)<\/i> t\u00f5eallikana usaldusv\u00e4\u00e4rsete ja allkirjastatud artefaktide (st heakskiidetud konteineripiltide) kinnitamiseks.<\/p>\n Kubernetes Portieris loob v\u00f5i muudab t\u00f6\u00f6koormust, laadides konteineripiltide allkirjade ja usalduspoliitika teavet ning vajadusel muudab API JSON-objekti jooksvalt allkirjastatud versioonide k\u00e4ivitamiseks.<\/p>\n
Vault<\/h3>\n <\/p>\n
\n Veebisait: www.vaultproject.io<\/a><\/noindex><\/li>\n Litsents: avatud (MPL)<\/li>\n<\/ul>\n\n
Helm-chart\u2019i abil saab Vault\u2019i juurutada uue deployment\u2019ina Kubernetes\u2019i klastris, kasutades Consul\u2019i backend\u2019ina. See toetab kohalikke Kubernetes\u2019e ressursse, nagu ServiceAccount\u2019i tokenid, ja v\u00f5ib isegi olla Kubernetes\u2019e vaikimisi saladuste hoidla.<\/p>\n
M\u00e4rkus t\u00f5lke kohta.<\/b>: \u00dcksikasjalikult teatas HashiCorp, kes arendab Vault'i, just eile m\u00f5ned t\u00e4iustused Vault'i kasutamiseks Kubernetes's, eriti seoses Helm'i diagrammiga. \u00dcksikasju leiate\u00a0 arendajablogist<\/a><\/noindex>.<\/i><\/p>\nKubernetes'i turvaaudit<\/h2>\n <\/p>\n
Kube-bench<\/h3>\n <\/p>\n
\nVeebisait: github.com\/aquasecurity\/kube-bench<\/a><\/noindex><\/li>\nLitsents: avatud (Apache)<\/li>\n<\/ul>\n\nCIS Kubernetes'i standard<\/a><\/noindex>.<\/p>\nKube-bench otsib klastrikomponentide (etcd, API, controller manager jne) seast turvamata konfiguratsiooni seadeid, kahtlasi failip\u00e4\u00e4sude \u00f5igusi, kaitsmata kontosid v\u00f5i avatud portide, ressursside kvootide, API p\u00f6\u00f6rdumiste piiramise seadeid, et kaitsta DoS-r\u00fcnnakute eest jne.<\/p>\n
Kube-hunter<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")