\nPour faciliter la navigation dans la liste, les outils sont class\u00e9s par principales fonctions et domaines d'application. Voici les sections obtenues :<\/p>\n
\n Analyse des images Kubernetes et analyse statique ;<\/li>\n S\u00e9curit\u00e9 des runtime ;<\/li>\n S\u00e9curit\u00e9 r\u00e9seau de Kubernetes ;<\/li>\n Distribution des images et gestion des secrets ;<\/li>\n Audit de s\u00e9curit\u00e9 Kubernetes ;<\/li>\n Produits commerciaux complets.<\/li>\n<\/ul>\n\nPassons aux choses s\u00e9rieuses :<\/p>\n
Analyse des images Kubernetes<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Site : anchore.com<\/a><\/noindex><\/li>\n Licence : libre (Apache) et offre commerciale<\/li>\n<\/ul>\n\n
En plus de l'analyse habituelle des images de conteneurs pour les vuln\u00e9rabilit\u00e9s connues issues de la base CVE, Anchore r\u00e9alise de nombreuses v\u00e9rifications suppl\u00e9mentaires dans le cadre de sa politique d'analyse : il v\u00e9rifie le Dockerfile, les fuites de donn\u00e9es d'identification, les paquets des langages de programmation utilis\u00e9s (npm, maven, etc.), les licences des logiciels et bien plus encore.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Site : coreos.com\/clair<\/a><\/noindex> (maintenant sous l'\u00e9gide de Red Hat)<\/i><\/li>\n Licence : libre (Apache)<\/li>\n<\/ul>\n\n(\u00e9galement de CoreOS \u2014 Note de traduction.<\/b>)<\/i>. Clair est capable de rassembler des informations sur les CVE \u00e0 partir de nombreuses sources, y compris des listes sp\u00e9cifiques aux vuln\u00e9rabilit\u00e9s des distributions Linux g\u00e9r\u00e9es par les \u00e9quipes de s\u00e9curit\u00e9 de Debian, Red Hat ou Ubuntu.<\/p>\n
Contrairement \u00e0 Anchore, Clair se concentre principalement sur la recherche de vuln\u00e9rabilit\u00e9s et la correspondance des donn\u00e9es avec les CVE. Cependant, le produit offre \u00e0 ses utilisateurs certaines possibilit\u00e9s d'extension des fonctionnalit\u00e9s via des pilotes connectables.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Site : github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Licence : libre (Apache)<\/li>\n<\/ul>\n\n
Deux caract\u00e9ristiques notables distinguent le paquet Dagda d'autres outils similaires :<\/p>\n
\n Il s'int\u00e8gre parfaitement avec ClamAV<\/a><\/noindex>, agissant non seulement en tant qu'outil de scan des images de conteneurs, mais aussi comme antivirus.<\/li>\n Il fournit \u00e9galement une protection runtime, recevant en temps r\u00e9el des \u00e9v\u00e9nements du d\u00e9mon Docker et s'int\u00e9grant avec Falco (voir ci-dessous)<\/i> pour la collecte des \u00e9v\u00e9nements de s\u00e9curit\u00e9 pendant le fonctionnement du conteneur.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Site : github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Licence : libre (Apache), mais n\u00e9cessite des donn\u00e9es de JFrog Xray (produit commercial)<\/li>\n<\/ul>\n\n
KubeXray r\u00e9alise non seulement un audit des conteneurs nouveaux ou mis \u00e0 jour dans les d\u00e9ploiements (similaire \u00e0 un contr\u00f4leur d'admission dans Kubernetes), mais v\u00e9rifie \u00e9galement dynamiquement les conteneurs en cours d'ex\u00e9cution pour s'assurer qu'ils respectent les nouvelles politiques de s\u00e9curit\u00e9, en supprimant les ressources faisant r\u00e9f\u00e9rence \u00e0 des images vuln\u00e9rables.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Site : snyk.io<\/a><\/noindex><\/li>\n Licence : libre (Apache) et versions commerciales<\/li>\n<\/ul>\n\n
Snyk se connecte directement aux d\u00e9p\u00f4ts de code, analyse le manifeste du projet et examine le code import\u00e9 ainsi que les d\u00e9pendances directes et indirectes. Snyk prend en charge de nombreux langages de programmation populaires et peut r\u00e9v\u00e9ler des risques de licence cach\u00e9s.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Site : github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Licence : libre (AGPL)<\/li>\n<\/ul>\n\n
L'ombre de la simplicit\u00e9 de Trivy est qu'il faudra comprendre comment analyser et transmettre les r\u00e9sultats au format JSON afin qu'ils puissent \u00eatre utilis\u00e9s par d'autres outils de s\u00e9curit\u00e9 Kubernetes.<\/p>\n
S\u00e9curit\u00e9 d'ex\u00e9cution dans Kubernetes<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Site : falco.org<\/a><\/noindex><\/li>\n Licence : libre (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nEn utilisant l'outil Sysdig pour fonctionner au niveau du noyau Linux et le profilage des appels syst\u00e8me, Falco permet une profondeur d'analyse du comportement du syst\u00e8me. Son m\u00e9canisme de r\u00e8gles d'ex\u00e9cution est capable de d\u00e9tecter des activit\u00e9s suspectes dans les applications, conteneurs, h\u00f4te sous-jacent et orchestrateur Kubernetes.<\/p>\n
Falco offre une transparence totale du runtime et d\u00e9tecte les menaces en d\u00e9ployant des agents sp\u00e9ciaux sur les n\u0153uds Kubernetes. Cela \u00e9limine le besoin de modifier les conteneurs en y incorporant du code tiers ou en ajoutant des conteneurs sidecar.<\/p>\n
Frameworks de s\u00e9curit\u00e9 Linux pour l'ex\u00e9cution<\/h3>\n \n
AppArmor<\/a><\/noindex> associe un profil de s\u00e9curit\u00e9 aux processus ex\u00e9cut\u00e9s dans le conteneur, d\u00e9finissant les privil\u00e8ges du syst\u00e8me de fichiers, les r\u00e8gles d'acc\u00e8s r\u00e9seau, le lien des biblioth\u00e8ques, etc. C'est un syst\u00e8me bas\u00e9 sur le contr\u00f4le d'acc\u00e8s mandat\u00e9 (Mandatory Access Control, MAC). En d'autres termes, il emp\u00eache l'ex\u00e9cution d'actions interdites.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) est un module de s\u00e9curit\u00e9 avanc\u00e9e dans le noyau Linux, similaire \u00e0 AppArmor sur certains aspects et souvent compar\u00e9 \u00e0 celui-ci. SELinux surpasse AppArmor en puissance, flexibilit\u00e9 et finesse des r\u00e9glages. Ses inconv\u00e9nients sont le temps d'apprentissage prolong\u00e9 et la complexit\u00e9 accrue.<\/p>\nSeccomp<\/a><\/noindex> et seccomp-bpf permettent de filtrer les appels syst\u00e8me, bloquant l'ex\u00e9cution de ceux qui sont potentiellement dangereux pour le syst\u00e8me d'exploitation sous-jacent et qui ne sont pas n\u00e9cessaires au bon fonctionnement des applications utilisateur. Seccomp pr\u00e9sente certaines similitudes avec Falco, bien qu'il ne connaisse pas les sp\u00e9cificit\u00e9s des conteneurs.<\/p>\nSysdig open source<\/h3>\n <\/p>\n
\n Site : www.sysdig.com\/opensource<\/a><\/noindex><\/li>\n Licence : libre (Apache)<\/li>\n<\/ul>\n\n(forensics)<\/i> du syst\u00e8me de base et de tous les conteneurs qui s'ex\u00e9cutent dessus.<\/p>\n
De plus, Sysdig prend initialement en charge les environnements d'ex\u00e9cution pour les conteneurs et les m\u00e9tadonn\u00e9es Kubernetes, ajoutant des dimensions et des \u00e9tiquettes suppl\u00e9mentaires \u00e0 toutes les informations collect\u00e9es sur le comportement du syst\u00e8me. Il existe plusieurs fa\u00e7ons d'analyser un cluster Kubernetes en utilisant Sysdig : vous pouvez effectuer une capture \u00e0 un moment donn\u00e9 via kubectl capture<\/a><\/noindex> ou d\u00e9marrer une interface interactive bas\u00e9e sur ncurses \u00e0 l'aide du plugin kubectl dig<\/a><\/noindex>.<\/p>\nS\u00e9curit\u00e9 r\u00e9seau Kubernetes<\/h2>\n <\/p>\n
Aporeto<\/h3>\n <\/p>\n
\n Site : www.aporeto.com<\/a><\/noindex><\/li>\n Licence : commerciale<\/li>\n<\/ul>\n\n
Aporeto est capable de g\u00e9n\u00e9rer un identifiant unique non seulement pour Kubernetes\/containers, mais aussi pour les h\u00f4tes, les fonctions cloud et les utilisateurs. En fonction de ces identifiants et de l'ensemble des r\u00e8gles de s\u00e9curit\u00e9 r\u00e9seau d\u00e9finies par l'administrateur, les communications seront autoris\u00e9es ou bloqu\u00e9es.<\/p>\n
Calico<\/h3>\n <\/p>\n
\n Site : www.projectcalico.org<\/a><\/noindex><\/li>\n Licence : libre (Apache)<\/li>\n<\/ul>\n\n
Cilium<\/h3>\n <\/p>\n
\n Site : www.cilium.io<\/a><\/noindex><\/li>\n Licence : libre (Apache)<\/li>\n<\/ul>\n\n
Cilium est capable de d\u00e9ployer des politiques d'acc\u00e8s r\u00e9seau bas\u00e9es sur les identifiants des conteneurs, en utilisant des \u00e9tiquettes Docker ou Kubernetes et des m\u00e9tadonn\u00e9es. Cilium comprend \u00e9galement et filtre divers protocoles de niveau 7, tels que HTTP ou gRPC, permettant de d\u00e9finir un ensemble d'appels REST qui, par exemple, seront autoris\u00e9s entre deux d\u00e9ploiements Kubernetes.<\/p>\n
Istio<\/h3>\n <\/p>\n
\n Site : istio.io<\/a><\/noindex><\/li>\n Licence : libre (Apache)<\/li>\n<\/ul>\n\n
Les capacit\u00e9s d'Istio en mati\u00e8re de s\u00e9curit\u00e9 r\u00e9seau incluent un chiffrement TLS transparent pour am\u00e9liorer automatiquement le protocole de communication entre microservices en HTTPS et son propre syst\u00e8me RBAC pour identifier et autoriser l'\u00e9change de donn\u00e9es entre diff\u00e9rentes charges de travail dans le cluster.<\/p>\n
Note de traduction.<\/b>: Pour en savoir plus sur les fonctionnalit\u00e9s de s\u00e9curit\u00e9 d'Istio, lisez cet article<\/a><\/noindex>.<\/i><\/p>\nTigera<\/h3>\n <\/p>\n
\n Site : www.tigera.io<\/a><\/noindex><\/li>\n Licence : commerciale<\/li>\n<\/ul>\n\n
\u00c0 l'instar d'autres solutions r\u00e9seau con\u00e7ues pour Kubernetes, Tigera s'appuie sur des m\u00e9tadonn\u00e9es pour identifier divers services et objets dans le cluster, offrant une d\u00e9tection des probl\u00e8mes en runtime, une v\u00e9rification continue de la conformit\u00e9 et une visibilit\u00e9 r\u00e9seau pour les infrastructures multicloud ou hybrides \u00e0 conteneurs monolithiques.<\/p>\n
Trireme<\/h3>\n <\/p>\n
\nSite : www.aporeto.com\/open-source<\/a><\/noindex><\/li>\nLicence : libre (Apache)<\/li>\n<\/ul>\n\n
Distribution d'images et gestion des secrets<\/h2>\n <\/p>\n
Grafeas<\/h3>\n <\/p>\n
\n Site : grafeas.io<\/a><\/noindex><\/li>\n Licence : libre (Apache)<\/li>\n<\/ul>\n\n
Cette source centralis\u00e9e de v\u00e9rit\u00e9 aide \u00e0 r\u00e9pondre \u00e0 des questions telles que :<\/p>\n
\n Qui a construit et sign\u00e9 un conteneur sp\u00e9cifique ?<\/li>\n A-t-il pass\u00e9 tous les scanners de s\u00e9curit\u00e9 et les v\u00e9rifications requises par la politique de s\u00e9curit\u00e9 ? Quand ? Quels \u00e9taient les r\u00e9sultats ? <\/li>\n Qui l'a d\u00e9ploy\u00e9 en production ? Quels param\u00e8tres ont \u00e9t\u00e9 utilis\u00e9s pour le d\u00e9ploiement ?<\/li>\n<\/ul>\n<\/p>\n
In-toto<\/h3>\n <\/p>\n
\n Site : in-toto.github.io<\/a><\/noindex><\/li>\n Licence : libre (Apache)<\/li>\n<\/ul>\n\n
In-toto contr\u00f4le l'ex\u00e9cution du plan, v\u00e9rifiant que chaque t\u00e2che de la cha\u00eene est correctement effectu\u00e9e par uniquement du personnel autoris\u00e9 et qu'aucune manipulation non autoris\u00e9e n'a \u00e9t\u00e9 effectu\u00e9e pendant le traitement du produit.<\/p>\n
Portieris<\/h3>\n <\/p>\n
\n Site : github.com\/IBM\/portieris<\/a><\/noindex><\/li>\n Licence : libre (Apache)<\/li>\n<\/ul>\n\nNotary<\/a><\/noindex> (nous en avons parl\u00e9 \u00e0 la fin de cet article<\/a><\/noindex> \u2014 Note de traduction.<\/b>)<\/i> comme source de v\u00e9rit\u00e9 pour valider les artefacts de confiance et sign\u00e9s (c'est-\u00e0-dire les images de conteneurs approuv\u00e9es).<\/p>\n Lorsque vous cr\u00e9ez ou modifiez une charge de travail dans Kubernetes, Portieris t\u00e9l\u00e9charge des informations sur la signature et la politique de confiance relative au contenu pour les images de conteneurs demand\u00e9es, et effectue des modifications en temps r\u00e9el dans l'objet JSON de l'API pour ex\u00e9cuter les versions sign\u00e9es de ces images si n\u00e9cessaire.<\/p>\n
Vault<\/h3>\n <\/p>\n
\n Site : www.vaultproject.io<\/a><\/noindex><\/li>\n Licence : libre (MPL)<\/li>\n<\/ul>\n\n
Avec le Helm chart, Vault peut \u00eatre d\u00e9ploy\u00e9 comme un nouveau d\u00e9ploiement dans un cluster Kubernetes avec Consul comme backend de stockage. Il prend en charge les ressources natives de Kubernetes telles que les jetons ServiceAccount et peut m\u00eame servir de stockage secret par d\u00e9faut pour Kubernetes.<\/p>\n
Note de traduction.<\/b>: \u00c0 propos, juste hier, la soci\u00e9t\u00e9 HashiCorp, qui d\u00e9veloppe Vault, a annonc\u00e9 certaines am\u00e9liorations pour l'utilisation de Vault dans Kubernetes, en particulier concernant le Helm chart. Pour plus de d\u00e9tails, consultez le blog du d\u00e9veloppeur<\/a><\/noindex>.<\/i><\/p>\nAudit de s\u00e9curit\u00e9 Kubernetes<\/h2>\n <\/p>\n
Kube-bench<\/h3>\n <\/p>\n
\nSite : github.com\/aquasecurity\/kube-bench<\/a><\/noindex><\/li>\nLicence : libre (Apache)<\/li>\n<\/ul>\n\nCIS Kubernetes Benchmark<\/a><\/noindex>.<\/p>\nKube-bench recherche des param\u00e8tres de configuration non s\u00e9curis\u00e9s parmi les composants du cluster (etcd, API, controller manager, etc.), des droits d'acc\u00e8s douteux aux fichiers, des comptes non s\u00e9curis\u00e9s ou des ports ouverts, des quotas de ressources, des r\u00e9glages de limitation du nombre d'appels \u00e0 l'API pour se prot\u00e9ger contre les attaques DoS, etc.<\/p>\n
Kube-hunter<\/h3>\n <\/p>\n
\n Site : github.com\/aquasecurity\/kube-hunter<\/a><\/noindex><\/li>\n Licence : libre (Apache)<\/li>\n<\/ul>\n\n
Une caract\u00e9ristique distincte de Kube-hunter est le mode \u00ab chasse active \u00bb, durant lequel il ne se contente pas de signaler des probl\u00e8mes, mais tente \u00e9galement d'exploiter les vuln\u00e9rabilit\u00e9s d\u00e9tect\u00e9es dans le cluster cible, ce qui pourrait potentiellement nuire \u00e0 son fonctionnement. Utilisez-le avec pr\u00e9caution !<\/p>\n
Kubeaudit<\/h3>\n <\/p>\n
\n Site : github.com\/Shopify\/kubeaudit<\/a><\/noindex><\/li>\n Licence : libre (MIT)<\/li>\n<\/ul>\n\n
Kubeaudit offre \u00e9galement d'autres fonctionnalit\u00e9s int\u00e9ressantes. Par exemple, il peut analyser des fichiers YAML locaux, identifiant les lacunes dans la configuration pouvant entra\u00eener des probl\u00e8mes de s\u00e9curit\u00e9 et les corrige automatiquement.<\/p>\n
Kubesec<\/h3>\n <\/p>\n
\n Site : kubesec.io<\/a><\/noindex><\/li>\n Licence : libre (Apache)<\/li>\n<\/ul>\n\n
Par exemple, il peut d\u00e9tecter des privil\u00e8ges et des autorisations excessives accord\u00e9s au pod, ex\u00e9cuter un conteneur avec root en tant qu'utilisateur par d\u00e9faut, se connecter \u00e0 l'espace de noms r\u00e9seau de l'h\u00f4te ou des montages dangereux. \/proc<\/code> h\u00f4tes ou sockets Docker. Une autre fonctionnalit\u00e9 int\u00e9ressante de Kubesec est le service de d\u00e9monstration en ligne, o\u00f9 vous pouvez t\u00e9l\u00e9charger un fichier YAML et imm\u00e9diatement effectuer son analyse.<\/p>\nOpen Policy Agent<\/h3>\n <\/p>\n
\n Site : www.openpolicyagent.org<\/a><\/noindex><\/li>\n Licence : libre (Apache)<\/li>\n<\/ul>\n\n
Par exemple, vous pouvez d\u00e9ployer OPA en tant qu'arri\u00e8re-plan pour le contr\u00f4leur d'admission Kubernetes, lui d\u00e9l\u00e9guant les d\u00e9cisions de s\u00e9curit\u00e9. Ainsi, l'agent OPA pourra v\u00e9rifier, rejeter et m\u00eame modifier les requ\u00eates \u00e0 la vol\u00e9e, garantissant le respect des param\u00e8tres de s\u00e9curit\u00e9 d\u00e9finis. Les politiques de s\u00e9curit\u00e9 dans OPA sont \u00e9crites dans son propre langage DSL, Rego.<\/p>\n
Note de traduction.<\/b>: Nous avons \u00e9crit plus sur OPA (et SPIFFE) dans cet article<\/a><\/noindex>.<\/i><\/p>\nOutils commerciaux complets pour l'analyse de la s\u00e9curit\u00e9 Kubernetes<\/h2>\n \nNous avons d\u00e9cid\u00e9 de cr\u00e9er une cat\u00e9gorie distincte pour les plateformes commerciales, car elles couvrent g\u00e9n\u00e9ralement plusieurs domaines de s\u00e9curit\u00e9. Un aper\u00e7u de leurs capacit\u00e9s peut \u00eatre obtenu \u00e0 partir du tableau :<\/p>\n
* Expertise avanc\u00e9e et analyse post mortem avec capture compl\u00e8te des appels syst\u00e8me Aqua Security<\/a><\/noindex>.<\/i><\/p>\nwww.aquasec.com<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")