\nSelle nimekirja navigeerimise lihtsustamiseks on t\u00f6\u00f6riistad jagatud peamiste funktsioonide ja rakendusalade j\u00e4rgi. Tulemuseks on j\u00e4rgmised jaotised:<\/p>\n
\n Kubernetesi piltide skaneerimine ja staatiline anal\u00fc\u00fcs;<\/li>\n Runtime'i turvalisus;<\/li>\n Kubernetesi v\u00f5rguturvalisus;<\/li>\n Piltide jagamine ja saladuste haldamine;<\/li>\n Kubernetesi turbe auditeerimine;<\/li>\n Kohandatud kommertstooteid.<\/li>\n<\/ul>\n\nAsume asja kallale:<\/p>\n
Kubernetesi piltide skaneerimine<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Veebileht: anchore.com<\/a><\/noindex><\/li>\n Litsents: avatud (Apache) ja \u00e4ripakkumine<\/li>\n<\/ul>\n\n
Lisaks tavap\u00e4rasele konteinerite piltide skaneerimisele tuntud CVE haavatavuste kohta, teostab Anchore mitmeid t\u00e4iendavaid kontrollimisi skaneerimise poliitika raames: kontrollib Dockerfile'i, andmete leket, kasutatavate programmeerimiskeelte (npm, maven jne) pakette, tarkvara litsentse ja palju muud.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Veebileht: coreos.com\/claire<\/a><\/noindex> (n\u00fc\u00fcd Red Hati hoolduses)<\/i><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n(samuti CoreOS \u2014 kommentaar t\u00f5lkijalt.<\/b>)<\/i>. Clair suudab koguda teavet CVE kohta suurest arvust allikatest, sealhulgas Linuxi distributiivide spetsiifilistest haavatavuste nimekirjadest, mida haldavad Debian, Red Hat v\u00f5i Ubuntu turvagruppide meeskonnad.<\/p>\n
Erinevalt Anchore'ist tegeleb Clair peamiselt haavatuste otsimise ja andmete CVE-ga vasteid leidmisega. Tootel on siiski m\u00f5ned funktsioonide laiendamise v\u00f5imalused lisanduvaid draivereid kasutades.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Veebileht: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n
Dagdat eristavad teistest sarnastest t\u00f6\u00f6riistadest kaks m\u00e4rkimisv\u00e4\u00e4rset omadust:<\/p>\n
\n See integreerub suurep\u00e4raselt ClamAV<\/a><\/noindex>, olles mitte ainult konteineripiltide skaneerimise t\u00f6\u00f6riist, vaid ka viiruset\u00f5rje.<\/li>\n Samuti pakub see runtime-kaitset, saades reaalajas s\u00fcndmusi Docker'i demonilt ja integreerudes Falco (vt allpool)<\/i> turvaseisundis olevate s\u00fcndmuste kogumiseks konteineri t\u00f6\u00f6 ajal.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Veebileht: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Litsents: avatud (Apache), kuid n\u00f5uab andmete saamist JFrog Xray'lt (\u00e4riliselt tootelt)<\/li>\n<\/ul>\n\n
KubeXray mitte ainult ei auditeeri uusi v\u00f5i uuendatud konteineri(de) deployment'ides (sarnaselt admission controller-iga Kubernetes'is), vaid ka d\u00fcnaamiliselt kontrollib seadistatud konteinerite vastavust uutele turvapoliitikatele, eemaldades ressursid, mis viitavad haavatavatele piltidele.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Veebileht: snyk.io<\/a><\/noindex><\/li>\n Litsents: tasuta (Apache) ja kaubanduslikud versioonid<\/li>\n<\/ul>\n\n
Snyk \u00fchendub otse koodirepostega, anal\u00fc\u00fcsib projekti manifesti ja hindab sisse imporditud koodi koos otseste ja kaudsete s\u00f5ltuvustega. Snyk toetab paljusid populaarseid programmeerimiskeeli ja suudab tuvastada varjatud litsentsiriski.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Veebileht: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Litsents: tasuta (AGPL)<\/li>\n<\/ul>\n\n
Trivy lihtsuse varjuk\u00fclg on see, et tuleb \u00f5ppida, kuidas anal\u00fc\u00fcsida ja edastada tulemusi JSON-formaadis, et teised Kubernetes'i turvat\u00f6\u00f6riistad saaksid neid kasutada.<\/p>\n
Kubernetes'i jooksuaegne turvalisus<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Veebileht: falco.org<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nKasutades Sysdigi t\u00f6\u00f6riistu Linuxi tuumatasemel ja s\u00fcsteemik\u00f5nede profileerimist, v\u00f5imaldab Falco s\u00fcvitsi tungida s\u00fcsteemi k\u00e4itumisse. Selle jooksureeglite mehhanism suudab tuvastada kahtlast tegevust rakendustes, konteinerites, baasmasinas ja Kubernetes'i orkestratsioonis.<\/p>\n
Falco tagab t\u00e4ieliku l\u00e4bipaistvuse runtime'i toimimises ja \u00e4hvarduste tuvastamises, paigaldades spetsiaalsed agentid Kubernetes'i s\u00f5lmedesse. Selle tulemusena ei ole vaja konteinerite modifitseerimist kolmanda osapoole koodi sisestamiseks v\u00f5i sidecar-konteinerite lisamiseks.<\/p>\n
Linuxi turvafraimorkid runtime'i jaoks<\/h3>\n \n
AppArmor<\/a><\/noindex> \u00fchendab turvaprofili konteineris k\u00e4ivitatud protsessidega, m\u00e4\u00e4rates failis\u00fcsteemi \u00f5igused, v\u00f5rgu\u00fchenduse reeglid, raamatukogude \u00fchendamise jne. See on kohustusliku ligip\u00e4\u00e4su juhtimise (Mandatory Access Control, MAC) p\u00f5hine s\u00fcsteem. Teisis\u00f5nu, see takistab keelatud tegevuste teostamist.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) \u2014 see on Linuxi tuuma t\u00e4iustatud turvafunktsioon, mis on m\u00f5nes osas sarnane AppArmorile ja seda v\u00f5rreldakse temaga sageli. SELinux \u00fcletab AppArmorit oma v\u00f5imsuse, paindlikkuse ja seadistuste t\u00e4psuse poolest. Selle puudusteks on pikaajaline omandamine ja suurenenud keerukus.<\/p>\nSeccomp<\/a><\/noindex> ja seccomp-bpf v\u00f5imaldavad s\u00fcsteemi kutseid filtreerida, blokeerides nende rakenduste t\u00e4itmise, mis on potentsiaalselt ohtlikud p\u00f5hiosale ja ei ole vajalikud kasutajarakenduste normaalseks toimimiseks. Seccomp on m\u00f5nes aspektis sarnane Falcole, kuid ei tunne konteinerite spetsiifikat.<\/p>\nSysdig open source<\/h3>\n <\/p>\n
\n Veebileht: www.sysdig.com\/opensource<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n(forensics)<\/i> p\u00f5his\u00fcsteemist ja k\u00f5ikidest konteineritest, mis sellel t\u00f6\u00f6tavad.<\/p>\n
Sysdig toetab algselt konteinerite t\u00e4itmis\u00fcmbrit ja Kubernetes'i metaandmeid, lisades t\u00e4iendavaid m\u00f5\u00f5tmeid ja silte kogu kogutud s\u00fcsteemi k\u00e4itumise teabele. Kubernetes'i klastrit saab Sysdigiga anal\u00fc\u00fcsida mitmel viisil: saate teostada fikseeritud aega j\u00e4\u00e4dvustuse kaudu kubectl capture<\/a><\/noindex> v\u00f5i k\u00e4ivitada interaktiivne ncurses'i liides pluginaga kubectl dig<\/a><\/noindex>.<\/p>\nKubernetes'i v\u00f5rgu turvalisus<\/h2>\n <\/p>\n
Aporeto<\/h3>\n <\/p>\n
\n Veebileht: www.aporeto.com<\/a><\/noindex><\/li>\n Litsents: kommerts<\/li>\n<\/ul>\n\n
Aporeto suudab genereerida ainulaadse identifikaatori mitte ainult Kubernetes'i\/konteinerite jaoks, vaid ka hostide, pilvefunktsioonide ja kasutajate jaoks. Olenevalt neist identifikaatoritest ja administraatori m\u00e4\u00e4ratud v\u00f5rgu turvareeglites, lubatakse v\u00f5i blokeeritakse suhtlused.<\/p>\n
Calico<\/h3>\n <\/p>\n
\n Veebileht: www.projectcalico.org<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n
Cilium<\/h3>\n <\/p>\n
\n Veebileht: www.cilium.io<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n
Cilium suudab rakendada v\u00f5rgu juurdep\u00e4\u00e4su poliitikaid konteinerite identifikaatorite p\u00f5hjal, kasutades Dockerit v\u00f5i Kuberneteset ning metadata. Cilium m\u00f5istab ja filtreerib erinevaid seitsmenda taseme protokolle, nagu HTTP v\u00f5i gRPC, v\u00f5imaldades m\u00e4\u00e4ratleda RESTi k\u00f5ne kogumeid, mis n\u00e4iteks on lubatud kahe Kubernetes'e rakenduse vahel.<\/p>\n
Istio<\/h3>\n <\/p>\n
\n Veebileht: istio.io<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n
Istio v\u00f5rgu turvafunktsioonid h\u00f5lmavad l\u00e4bipaistvat TLS-i kr\u00fcptimist, et automaatselt t\u00e4iustada kommunikatsiooniprotokolli mikroteenuste vahel HTTPS-iks, ja oma rollip\u00f5hist juurdep\u00e4\u00e4su kontrollimist (RBAC), et tuvastada ja autoriseerida andmete vahetust erinevate koormuste vahel klastris.<\/p>\n
M\u00e4rk. t\u00f5lge.<\/b>: Lisainfot Istio turvak\u00fcsimustele keskenduvate v\u00f5imete kohta leiate siit selles artiklis<\/a><\/noindex>.<\/i><\/p>\nTigera<\/h3>\n <\/p>\n
\n Veebileht: www.tigera.io<\/a><\/noindex><\/li>\n Litsents: kommerts<\/li>\n<\/ul>\n\n
Kubernetes'i teiste v\u00f5rgu lahendustega sarnasel viisil tugineb Tigera metaandmetele, et tuvastada erinevad teenused ja objektid klastris ning tagada probleemide avastamine reaalses ajas, pidev vastavuse kontroll ja v\u00f5rgu l\u00e4bipaistvus mitme pilve v\u00f5i h\u00fcbriidsete monoliit-konteineritest infrastruktuuride jaoks.<\/p>\n
Trireme<\/h3>\n <\/p>\n
\nVeebileht: www.aporeto.com\/opensource<\/a><\/noindex><\/li>\nLitsents: avatud (Apache)<\/li>\n<\/ul>\n\n
Piltide levitamine ja saladuste haldamine<\/h2>\n <\/p>\n
Grafeas<\/h3>\n <\/p>\n
\n Veebileht: grafeas.io<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n
See keskne t\u00f5e allikas aitab vastata k\u00fcsimustele nagu:<\/p>\n
\n Kes kogus ja allkirjastas konkreetse konteineri?<\/li>\n Kas see l\u00e4bis k\u00f5ik turvaskenimise ja poliitika n\u00f5uetele vastavuse kontrollid? Millal? Millised olid tulemused? <\/li>\n Kes paigaldas selle tootmisse? Milliseid parameetreid kasutati paigalduse ajal?<\/li>\n<\/ul>\n<\/p>\n
In-toto<\/h3>\n <\/p>\n
\n Veebileht: in-toto.github.io<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\n
In-toto tagab kontrolli plaani t\u00e4itmise \u00fcle, tagades, et iga \u00fclesanne ahelas t\u00e4idetakse n\u00f5uetekohaselt ainult volitatud personali poolt ning toote k\u00e4igus ei tehta mitte mingeid volitamata muudatusi.<\/p>\n
Portieris<\/h3>\n <\/p>\n
\n Veebileht: github.com\/IBM\/portieris<\/a><\/noindex><\/li>\n Litsents: avatud (Apache)<\/li>\n<\/ul>\n\nNotary<\/a><\/noindex> (me k\u00e4sitlesime seda artikli l\u00f5pus selle artikli<\/a><\/noindex> \u2014 kommentaar t\u00f5lkijalt.<\/b>)<\/i> usaldusv\u00e4\u00e4rsete ja allkirjastatud artefaktide (st heakskiidetud konteinerite piltide) t\u00f5eallikana.<\/p>\n Kubernetes'es t\u00f6\u00f6koormuse loomisel v\u00f5i muutmisel laadib Portieris alla allkirja ja sisu usaldusv\u00e4\u00e4rsuse poliitika teabe taotletud konteinerite piltide kohta ning vajadusel muudab reaalajas API JSON-objekti, et k\u00e4ivitada nende piltide allkirjastatud versioonid.<\/p>\n
Vault<\/h3>\n <\/p>\n
\n Veebileht: www.vaultproject.io<\/a><\/noindex><\/li>\n Litsents: tasuta (MPL)<\/li>\n<\/ul>\n\n
Helm graafiku abil saab Vault'i rakendada kui uut rakendust Kubernetes'e klusteris, kasutades Consulit backend'i salves\u00fcsteemina. See toetab native Kubernetes ressursside abil, nagu ServiceAccount'i tokenid, ja v\u00f5ib isegi toimida Kubernetes'e vaikimisi saladuste salvestusena.<\/p>\n
M\u00e4rk. t\u00f5lge.<\/b>: Muide, just eile kuulutas HashiCorp, Vault'i arendaja, v\u00e4lja m\u00f5ned t\u00e4iustused Vault'i kasutamiseks Kubernetes'es, sealhulgas Helm-chart'i osas. \u00dcksikasjad leiate arendajablogist<\/a><\/noindex>.<\/i><\/p>\nKubernetes'e turbeauditi<\/h2>\n <\/p>\n
Kube-bench<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")