\nA lista navig\u00e1ci\u00f3j\u00e1nak megk\u00f6nny\u00edt\u00e9se \u00e9rdek\u00e9ben az eszk\u00f6z\u00f6ket f\u0151 funkci\u00f3ik \u00e9s alkalmaz\u00e1si ter\u00fcleteik szerint csoportos\u00edtottuk. Az al\u00e1bbi szakaszok j\u00f6ttek l\u00e9tre:<\/p>\n
\n Kubernetes k\u00e9pek vizsg\u00e1lata \u00e9s statikus elemz\u00e9s;<\/li>\n Fut\u00e1si k\u00f6rnyezet biztons\u00e1ga;<\/li>\n Kubernetes h\u00e1l\u00f3zati biztons\u00e1g;<\/li>\n K\u00e9pek terjeszt\u00e9se \u00e9s titkok kezel\u00e9se;<\/li>\n Kubernetes biztons\u00e1gi audit;<\/li>\n Komplex kereskedelmi term\u00e9kek.<\/li>\n<\/ul>\n\nL\u00e1ssunk neki:<\/p>\n
Kubernetes k\u00e9pek vizsg\u00e1lata<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Weboldal: anchore.com<\/a><\/noindex><\/li>\n Licenc: szabad (Apache) \u00e9s kereskedelmi aj\u00e1nlat<\/li>\n<\/ul>\n\n
A kont\u00e9nerk\u00e9pek ismert sebezhet\u0151s\u00e9geinek CVE adatb\u00e1zis alapj\u00e1n t\u00f6rt\u00e9n\u0151 szok\u00e1sos vizsg\u00e1lata mellett az Anchore sz\u00e1mos tov\u00e1bbi ellen\u0151rz\u00e9st is v\u00e9gez a vizsg\u00e1lati politik\u00e1n bel\u00fcl: elemzi a Dockerfile-t, az adatlop\u00e1s lehet\u0151s\u00e9g\u00e9t, a haszn\u00e1lt programoz\u00e1si nyelvek csomagjait (npm, maven stb.), a szoftverlicenceket \u00e9s m\u00e9g sok m\u00e1st.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Weboldal: coreos.com\/clair<\/a><\/noindex> (most a Red Hat fel\u00fcgyelete alatt)<\/i><\/li>\n Licenc: szabad (Apache)<\/li>\n<\/ul>\n\n(szint\u00e9n a CoreOS-t\u00f3l \u2014 megjegyz\u00e9s<\/b>)<\/i>. Clair k\u00e9pes inform\u00e1ci\u00f3t gy\u0171jteni a CVE-kr\u0151l sz\u00e1mos forr\u00e1sb\u00f3l, bele\u00e9rtve a Debian, Red Hat vagy Ubuntu biztons\u00e1gi csapatai \u00e1ltal vezetett Linux disztrib\u00faci\u00f3-specifikus sebezhet\u0151s\u00e9gi list\u00e1kat.<\/p>\n
Azzal ellent\u00e9tben, hogy az Anchore f\u0151k\u00e9nt sebezhet\u0151s\u00e9gek keres\u00e9s\u00e9vel \u00e9s a CVE-kkel val\u00f3 adat\u00f6sszehasonl\u00edt\u00e1ssal foglalkozik, a Clair a felhaszn\u00e1l\u00f3knak n\u00e9h\u00e1ny lehet\u0151s\u00e9get is k\u00edn\u00e1l a funkci\u00f3k b\u0151v\u00edt\u00e9s\u00e9re pluginek r\u00e9v\u00e9n.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Weboldal: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Licenc: ny\u00edlt (Apache)<\/li>\n<\/ul>\n\n
A Dagda csomag m\u00e1s hasonl\u00f3 eszk\u00f6z\u00f6kt\u0151l k\u00e9t figyelemre m\u00e9lt\u00f3 jellemz\u0151vel k\u00fcl\u00f6nb\u00f6zik:<\/p>\n
\n Kiv\u00e1l\u00f3an integr\u00e1l\u00f3dik a ClamAV<\/a><\/noindex>, nemcsak kont\u00e9nerk\u00e9pek szkennel\u00e9s\u00e9re szolg\u00e1l\u00f3 eszk\u00f6zk\u00e9nt m\u0171k\u00f6dik, hanem v\u00edrusv\u00e9delmi megold\u00e1sk\u00e9nt is.<\/li>\n Emellett runtime-v\u00e9delmet is ny\u00fajt, val\u00f3s id\u0151ben k\u00e9pes esem\u00e9nyeket fogadni a Docker d\u00e9monj\u00e1r\u00f3l, \u00e9s integr\u00e1l\u00f3dik a Falco-val (see below)<\/i> a kont\u00e9ner m\u0171k\u00f6d\u00e9se sor\u00e1n bek\u00f6vetkez\u0151 biztons\u00e1gi esem\u00e9nyek gy\u0171jt\u00e9s\u00e9re.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Weboldal: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Licenc: ny\u00edlt (Apache), de sz\u00fcks\u00e9ges a JFrog Xray (kereskedelmi term\u00e9k) adataihoz.<\/li>\n<\/ul>\n\n
A KubeXray nemcsak a deploymentek \u00faj vagy friss\u00edtett kont\u00e9nereit audit\u00e1lja (hasonl\u00f3an a Kubernetes admission controller\u00e9hez), hanem dinamikusan ellen\u0151rzi a fut\u00f3 kont\u00e9nereket az \u00faj biztons\u00e1gi szab\u00e1lyzatoknak val\u00f3 megfelel\u00e9s szempontj\u00e1b\u00f3l is, elt\u00e1vol\u00edtva azokat az er\u0151forr\u00e1sokat, amelyek sebezhet\u0151 k\u00e9pekre hivatkoznak.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Weboldal: snyk.io<\/a><\/noindex><\/li>\n Licenc: ny\u00edlt (Apache) \u00e9s kereskedelmi verzi\u00f3k.<\/li>\n<\/ul>\n\n
A Snyk k\u00f6zvetlen\u00fcl kapcsol\u00f3dik a k\u00f3d t\u00e1rol\u00f3ihoz, elemzi a projekt manifesztj\u00e9t, \u00e9s elemzi a beimport\u00e1lt k\u00f3dot a k\u00f6zvetlen \u00e9s k\u00f6zvetett f\u00fcgg\u0151s\u00e9gekkel egy\u00fctt. A Snyk sz\u00e1mos n\u00e9pszer\u0171 programoz\u00e1si nyelvet t\u00e1mogat, \u00e9s k\u00e9pes felfedni a rejtett licencel\u00e9ssel kapcsolatos kock\u00e1zatokat.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Weboldal: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Licenc: ny\u00edlt (AGPL)<\/li>\n<\/ul>\n\n
A Trivy egyszer\u0171s\u00e9g\u00e9nek h\u00e1tr\u00e1nya, hogy meg kell \u00e9rteni, hogyan lehet a JSON form\u00e1tumban kapott eredm\u00e9nyeket ki\u00e9rt\u00e9kelni \u00e9s tov\u00e1bb\u00edtani, hogy azt m\u00e1s Kubernetes biztons\u00e1gi eszk\u00f6z\u00f6k is felhaszn\u00e1lhass\u00e1k.<\/p>\n
A Kubernetes runtime biztons\u00e1ga<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Weboldal: falco.org<\/a><\/noindex><\/li>\n Licenc: szabad (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nA Sysdig eszk\u00f6zk\u00e9szlet\u00e9nek haszn\u00e1lat\u00e1val, amely a Linux kernel szintj\u00e9n m\u0171k\u00f6dik \u00e9s rendszerm h\u00edv\u00e1sok profiloz\u00e1s\u00e1t v\u00e9gzi, a Falco lehet\u0151v\u00e9 teszi a rendszer viselked\u00e9s\u00e9nek m\u00e9lyebb meg\u00e9rt\u00e9s\u00e9t. A runtime szab\u00e1lyainak mechanizmusa k\u00e9pes felfedezni a gyan\u00fas aktivit\u00e1st az alkalmaz\u00e1sokban, kont\u00e9nerekben, az alapvet\u0151 gazdag\u00e9pen \u00e9s a Kubernetes orchestr\u00e1torban.<\/p>\n
A Falco teljes \u00e1tl\u00e1that\u00f3s\u00e1got biztos\u00edt a runtime m\u0171k\u00f6d\u00e9s\u00e9ben \u00e9s a fenyeget\u00e9sek \u00e9szlel\u00e9s\u00e9ben, speci\u00e1lis \u00fcgyn\u00f6k\u00f6ket telep\u00edtve a Kubernetes csom\u00f3pontokra. Ennek k\u00f6vetkezt\u00e9ben nincs sz\u00fcks\u00e9g a kont\u00e9nerek m\u00f3dos\u00edt\u00e1s\u00e1ra, harmadik f\u00e9lt\u0151l sz\u00e1rmaz\u00f3 k\u00f3d be\u00e9p\u00edt\u00e9s\u00e9re vagy sidecar kont\u00e9nerek hozz\u00e1ad\u00e1s\u00e1ra.<\/p>\n
Linux biztons\u00e1gi keretrendszerek a runtime sz\u00e1m\u00e1ra<\/h3>\n \n
AppArmor<\/a><\/noindex> A biztons\u00e1gi profilokat kapcsolja a kont\u00e9nerben fut\u00f3 folyamatokhoz, meghat\u00e1rozva a f\u00e1jlrendszer, a h\u00e1l\u00f3zati hozz\u00e1f\u00e9r\u00e9s, a k\u00f6nyvt\u00e1rak csatlakoz\u00e1s\u00e1nak jogosults\u00e1gait, stb. Ez egy k\u00f6telez\u0151 hozz\u00e1f\u00e9r\u00e9s-vez\u00e9rl\u00e9s (Mandatory Access Control, MAC) rendszere. M\u00e1s szavakkal, megakad\u00e1lyozza a tiltott m\u0171veletek v\u00e9grehajt\u00e1s\u00e1t.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) \u2014 ez egy kiterjesztett biztons\u00e1gi modul a Linux kernelben, amely egyes szempontokban hasonl\u00edt az AppArmorhoz \u00e9s gyakran \u00f6ssze is hasonl\u00edtj\u00e1k vele. Az SELinux hat\u00e9konyabb, rugalmasabb \u00e9s finomabb be\u00e1ll\u00edt\u00e1st k\u00edn\u00e1l az AppArmorhoz k\u00e9pest. H\u00e1tr\u00e1nyai a hossz\u00fa tanul\u00e1si g\u00f6rbe \u00e9s a fokozott komplexit\u00e1s.<\/p>\nSeccomp<\/a><\/noindex> \u00e9s a seccomp-bpf lehet\u0151v\u00e9 teszi a rendszerh\u00edv\u00e1sok sz\u0171r\u00e9s\u00e9t, a potenci\u00e1lisan vesz\u00e9lyes h\u00edv\u00e1sok blokkol\u00e1s\u00e1t, amelyek nem sz\u00fcks\u00e9gesek a felhaszn\u00e1l\u00f3i alkalmaz\u00e1sok norm\u00e1l m\u0171k\u00f6d\u00e9s\u00e9hez. A Seccomp bizonyos szempontb\u00f3l hasonl\u00edt a Falco-ra, b\u00e1r nem ismeri a kont\u00e9nerek saj\u00e1toss\u00e1gait.<\/p>\nSysdig ny\u00edlt forr\u00e1sk\u00f3d\u00fa<\/h3>\n <\/p>\n
\n Weboldal: www.sysdig.com\/opensource<\/a><\/noindex><\/li>\n Licenc: szabad (Apache)<\/li>\n<\/ul>\n\n(kriminalisztika)<\/i> az alapvet\u0151 rendszeren \u00e9s az azon fut\u00f3 b\u00e1rmely kont\u00e9neren.<\/p>\n
A Sysdig emellett eredetileg t\u00e1mogatja a kont\u00e9ner v\u00e9grehajt\u00e1si k\u00f6rnyezeteket \u00e9s a Kubernetes metaadatokat, amelyek tov\u00e1bbi dimenzi\u00f3kat \u00e9s c\u00edmk\u00e9ket adnak az \u00f6sszegy\u0171jt\u00f6tt rendszer viselked\u00e9sr\u0151l sz\u00f3l\u00f3 inform\u00e1ci\u00f3khoz. A Sysdig seg\u00edts\u00e9g\u00e9vel t\u00f6bbf\u00e9le m\u00f3don lehet elemezni a Kubernetes klasztert: lehet\u0151s\u00e9g van egy adott id\u0151pontban mint\u00e1t venni kubectl capture<\/a><\/noindex> vagy elind\u00edtani egy interakt\u00edv fel\u00fcletet ncurses alap\u00fa plugin seg\u00edts\u00e9g\u00e9vel kubectl dig<\/a><\/noindex>.<\/p>\nKubernetes h\u00e1l\u00f3zati biztons\u00e1g<\/h2>\n <\/p>\n
Aporeto<\/h3>\n <\/p>\n
\n Weboldal: www.aporeto.com<\/a><\/noindex><\/li>\n Licenc: kereskedelmi<\/li>\n<\/ul>\n\n
Az Aporeto k\u00e9pes egyedi azonos\u00edt\u00f3t gener\u00e1lni nemcsak a Kubernetes\/kont\u00e9nerek, hanem a gazdag\u00e9pek, felh\u0151funkci\u00f3k \u00e9s felhaszn\u00e1l\u00f3k sz\u00e1m\u00e1ra is. Ezen azonos\u00edt\u00f3k \u00e9s az adminisztr\u00e1tor \u00e1ltal meghat\u00e1rozott h\u00e1l\u00f3zati biztons\u00e1gi szab\u00e1lyok alapj\u00e1n a kommunik\u00e1ci\u00f3k enged\u00e9lyezve vagy blokkolva lesznek.<\/p>\n
Calico<\/h3>\n <\/p>\n
\n Weboldal: www.projectcalico.org<\/a><\/noindex><\/li>\n Licenc: szabad (Apache)<\/li>\n<\/ul>\n\n
Cilium<\/h3>\n <\/p>\n
\n Weboldal: www.cilium.io<\/a><\/noindex><\/li>\n Licenc: szabad (Apache)<\/li>\n<\/ul>\n\n
A Cilium k\u00e9pes a h\u00e1l\u00f3zati hozz\u00e1f\u00e9r\u00e9si politik\u00e1k telep\u00edt\u00e9s\u00e9re a kont\u00e9nerazonos\u00edt\u00f3k alapj\u00e1n, a Docker vagy Kubernetes c\u00edmk\u00e9k \u00e9s metadat\u00e1k haszn\u00e1lat\u00e1val. A Cilium tov\u00e1bb\u00e1 \u00e9rti \u00e9s sz\u0171ri a k\u00fcl\u00f6nb\u00f6z\u0151 7. szint\u0171 protokollokat, mint p\u00e9ld\u00e1ul a HTTP-t vagy gRPC-t, lehet\u0151v\u00e9 t\u00e9ve a REST h\u00edv\u00e1sok k\u00e9szlet\u00e9nek meghat\u00e1roz\u00e1s\u00e1t, melyek p\u00e9ld\u00e1ul enged\u00e9lyezettek lesznek k\u00e9t Kubernetes deployment k\u00f6z\u00f6tt.<\/p>\n
Istio<\/h3>\n <\/p>\n
\n Weboldal: istio.io<\/a><\/noindex><\/li>\n Licenc: szabad (Apache)<\/li>\n<\/ul>\n\n
Az Istio h\u00e1l\u00f3zati biztons\u00e1gi megold\u00e1sai k\u00f6z\u00e9 tartozik a TLS \u00e1tl\u00e1that\u00f3 titkos\u00edt\u00e1sa, amely automatikusan fejleszti a kommunik\u00e1ci\u00f3s protokollt a mikroszolg\u00e1ltat\u00e1sok k\u00f6z\u00f6tt HTTPS-re, valamint a saj\u00e1t RBAC rendszer\u00e9nek az azonos\u00edt\u00e1s \u00e9s enged\u00e9lyez\u00e9s kezel\u00e9s\u00e9re a k\u00fcl\u00f6nb\u00f6z\u0151 munkaterhel\u00e9sek k\u00f6z\u00f6tti adatcser\u00e9k enged\u00e9lyez\u00e9s\u00e9re\/tilt\u00e1s\u00e1ra a klaszterben.<\/p>\n
Megjegyz\u00e9s ford\u00edt\u00e1s.<\/b>: B\u0151vebben az Istio biztons\u00e1gra \u00f6sszpontos\u00edt\u00f3 funkcionalit\u00e1s\u00e1r\u00f3l olvashatsz cikkben<\/a><\/noindex>.<\/i><\/p>\nTigera<\/h3>\n <\/p>\n
\n Weboldal: www.tigera.io<\/a><\/noindex><\/li>\n Licenc: kereskedelmi<\/li>\n<\/ul>\n\n
M\u00e1s, a Kubernetes sz\u00e1m\u00e1ra nat\u00edv h\u00e1l\u00f3zati megold\u00e1sokhoz hasonl\u00f3an a Tigera a metainform\u00e1ci\u00f3kra t\u00e1maszkodik a klaszter k\u00fcl\u00f6nb\u00f6z\u0151 szolg\u00e1ltat\u00e1sainak \u00e9s objektumainak azonos\u00edt\u00e1s\u00e1hoz, \u00e9s probl\u00e9m\u00e1k \u00e9szlel\u00e9s\u00e9t, a folyamatos megfelel\u0151s\u00e9g ellen\u0151rz\u00e9s\u00e9t \u00e9s a h\u00e1l\u00f3zat \u00e1tl\u00e1that\u00f3s\u00e1g\u00e1t biztos\u00edtja a t\u00f6bbfelh\u0151s vagy hibrid, monolitikus-kont\u00e9neriz\u00e1lt infrastrukt\u00far\u00e1k sz\u00e1m\u00e1ra.<\/p>\n
Trireme<\/h3>\n <\/p>\n
\nWeboldal: www.aporeto.com\/opensource<\/a><\/noindex><\/li>\nLicenc: szabad (Apache)<\/li>\n<\/ul>\n\n
K\u00e9pek terjeszt\u00e9se \u00e9s titkos kulcsok kezel\u00e9se<\/h2>\n <\/p>\n
Grafeas<\/h3>\n <\/p>\n
\n Weboldal: grafeas.io<\/a><\/noindex><\/li>\n Licenc: szabad (Apache)<\/li>\n<\/ul>\n\n
Ez a k\u00f6zpontos\u00edtott igazs\u00e1gforr\u00e1s seg\u00edt v\u00e1laszolni az olyan k\u00e9rd\u00e9sekre, mint p\u00e9ld\u00e1ul:<\/p>\n
\n Ki gy\u0171jt\u00f6tte \u00f6ssze \u00e9s \u00edrta al\u00e1 a konkr\u00e9t kont\u00e9nert?<\/li>\n \u00c1tment minden biztons\u00e1gi szkenneren \u00e9s ellen\u0151rz\u00e9sen, amelyet a biztons\u00e1gi szab\u00e1lyzat el\u0151\u00edrt? Mikor? Mik voltak az eredm\u00e9nyek? <\/li>\n Ki telep\u00edtette ezt a production k\u00f6rnyezetbe? Milyen pontos param\u00e9tereket haszn\u00e1ltak a telep\u00edt\u00e9s sor\u00e1n?<\/li>\n<\/ul>\n<\/p>\n
In-toto<\/h3>\n <\/p>\n
\n Weboldal: in-toto.github.io<\/a><\/noindex><\/li>\n Licenc: szabad (Apache)<\/li>\n<\/ul>\n\n
Az In-toto ellen\u0151rzi a terv v\u00e9grehajt\u00e1s\u00e1t, biztos\u00edtva, hogy minden feladat a l\u00e1ncban megfelel\u0151en \u00e9s kiz\u00e1r\u00f3lag az arra jogosult szem\u00e9lyek \u00e1ltal legyen v\u00e9grehajtva, \u00e9s hogy a term\u00e9k mozg\u00e1sa sor\u00e1n semmilyen nem enged\u00e9lyezett manipul\u00e1ci\u00f3 ne t\u00f6rt\u00e9njen.<\/p>\n
Portieris<\/h3>\n <\/p>\n
\n Weboldal: github.com\/IBM\/portieris<\/a><\/noindex><\/li>\n Licenc: szabad (Apache)<\/li>\n<\/ul>\n\nNotary<\/a><\/noindex> (err\u0151l \u00edrtunk a v\u00e9g\u00e9n ezen cikket<\/a><\/noindex> \u2014 megjegyz\u00e9s<\/b>)<\/i> igazs\u00e1gforr\u00e1sk\u00e9nt a megb\u00edzhat\u00f3 \u00e9s al\u00e1\u00edrt artefaktumok (azaz az enged\u00e9lyezett kont\u00e9ner k\u00e9pek) meger\u0151s\u00edt\u00e9s\u00e9re.<\/p>\n A Kubernetes Portieris konfigur\u00e1l\u00e1sakor vagy m\u00f3dos\u00edt\u00e1sakor a rendszer let\u00f6lti a kont\u00e9nerk\u00e9pek al\u00e1\u00edr\u00e1si inform\u00e1ci\u00f3it \u00e9s a tartalom megb\u00edzhat\u00f3s\u00e1gi politik\u00e1j\u00e1t, \u00e9s sz\u00fcks\u00e9g eset\u00e9n dinamikusan m\u00f3dos\u00edtja az API JSON objektum\u00e1t a ezeknek a k\u00e9peknek az al\u00e1\u00edrt verzi\u00f3inak elind\u00edt\u00e1s\u00e1hoz.<\/p>\n
Vault<\/h3>\n <\/p>\n
\n Weboldal: www.vaultproject.io<\/a><\/noindex><\/li>\n Licenc: szabad (MPL)<\/li>\n<\/ul>\n\n
A Helm-chart seg\u00edts\u00e9g\u00e9vel a Vault \u00faj deploymentk\u00e9nt telep\u00edthet\u0151 a Kubernetes klaszterbe, ahol a Consul szolg\u00e1l backend t\u00e1rol\u00f3k\u00e9nt. T\u00e1mogatja a Kubernetes nat\u00edv er\u0151forr\u00e1sait, p\u00e9ld\u00e1ul a ServiceAccount tokeneket, \u00e9s ak\u00e1r a Kubernetes alap\u00e9rtelmezett titkos t\u00e1rol\u00f3ja is lehet.<\/p>\n
Megjegyz\u00e9s ford\u00edt\u00e1s.<\/b>: Egy\u00e9bk\u00e9nt, \u00e9ppen tegnap a Vault fejleszt\u0151je, a HashiCorp bejelentett n\u00e9h\u00e1ny fejleszt\u00e9st a Vault Kubernetes-beli haszn\u00e1lat\u00e1ra, k\u00fcl\u00f6n\u00f6sen a Helm chart-tal kapcsolatban. B\u0151vebben olvashat r\u00f3luk a fejleszt\u0151i blogban<\/a><\/noindex>.<\/i><\/p>\nKubernetes biztons\u00e1gi audit<\/h2>\n <\/p>\n
Kube-bench<\/h3>\n <\/p>\n
\nWeboldal: github.com\/aquasecurity\/kube-bench<\/a><\/noindex><\/li>\nLicenc: szabad (Apache)<\/li>\n<\/ul>\n\nCIS Kubernetes Benchmark<\/a><\/noindex>.<\/p>\nA Kube-bench a klaszter \u00f6sszetev\u0151inek (etcd, API, controller manager stb.) biztons\u00e1gi konfigur\u00e1ci\u00f3s param\u00e9tereit, a f\u00e1jlokhoz val\u00f3 gyan\u00fas hozz\u00e1f\u00e9r\u00e9si jogokat, a nem v\u00e9dett fi\u00f3kokat vagy nyitott portokat, a er\u0151forr\u00e1s-kv\u00f3t\u00e1kat, az API hozz\u00e1f\u00e9r\u00e9s korl\u00e1toz\u00e1s\u00e1nak be\u00e1ll\u00edt\u00e1sait a DoS t\u00e1mad\u00e1sok megel\u0151z\u00e9se \u00e9rdek\u00e9ben stb. keresi.<\/p>\n
Kube-hunter<\/h3>\n <\/p>\n
\n Weboldal: github.com\/aquasecurity\/kube-hunter<\/a><\/noindex><\/li>\n Licenc: szabad (Apache)<\/li>\n<\/ul>\n\n
A Kube-hunter \u201eakt\u00edv vad\u00e1szat\u201d \u00fczemm\u00f3dj\u00e1nak jellemz\u0151je, hogy nemcsak a probl\u00e9m\u00e1kr\u00f3l t\u00e1j\u00e9koztat, hanem megpr\u00f3b\u00e1lja kihaszn\u00e1lni a c\u00e9lklaszterben felfedezett sebezhet\u0151s\u00e9geket, amelyek potenci\u00e1lisan k\u00e1rt okozhatnak a m\u0171k\u00f6d\u00e9s\u00e9ben. \u00cdgy haszn\u00e1lata sor\u00e1n legy\u00e9l \u00f3vatos!<\/p>\n
Kubeaudit<\/h3>\n <\/p>\n
\n Weboldal: github.com\/Shopify\/kubeaudit<\/a><\/noindex><\/li>\n Licenc: szabad (MIT)<\/li>\n<\/ul>\n\n
A Kubeaudit tov\u00e1bbi \u00e9rdekes funkci\u00f3kkal is rendelkezik. P\u00e9ld\u00e1ul k\u00e9pes helyi YAML f\u00e1jlokat elemezni, felt\u00e1rva a biztons\u00e1gi probl\u00e9m\u00e1khoz vezet\u0151 konfigur\u00e1ci\u00f3s hi\u00e1nyoss\u00e1gokat, \u00e9s automatikusan jav\u00edtani azokat.<\/p>\n
Kubesec<\/h3>\n <\/p>\n
\n Weboldal: kubesec.io<\/a><\/noindex><\/li>\n Licenc: szabad (Apache)<\/li>\n<\/ul>\n\n
P\u00e9ld\u00e1ul k\u00e9pes \u00e9szlelni a t\u00falzott jogosults\u00e1gokat \u00e9s enged\u00e9lyeket, amelyeket a podnak adtak, kont\u00e9ner futtat\u00e1s\u00e1t root felhaszn\u00e1l\u00f3k\u00e9nt alap\u00e9rtelmez\u00e9sben, kapcsol\u00f3d\u00e1st a gazdag\u00e9p h\u00e1l\u00f3zati n\u00e9vt\u00e9rhez vagy vesz\u00e9lyes csatol\u00e1sokat. \/proc<\/code> Docker gazdagjair\u00f3l vagy socketjeir\u0151l. A Kubesec egy m\u00e1sik \u00e9rdekes lehet\u0151s\u00e9ge egy online dem\u00f3szolg\u00e1ltat\u00e1s, amelybe YAML-t lehet felt\u00f6lteni, \u00e9s azonnal elv\u00e9gezheti annak elemz\u00e9s\u00e9t.<\/p>\nTL;DR: Osztja el a terhel\u00e9st a szolg\u00e1ltat\u00e1s p\u00e9ld\u00e1nyai k\u00f6z\u00f6tt egy meghat\u00e1rozott mint\u00e1nak megfelel\u0151en.<\/h3>\n <\/p>\n
\n Weboldal: www.openpolicyagent.org<\/a><\/noindex><\/li>\n Licenc: szabad (Apache)<\/li>\n<\/ul>\n\n
P\u00e9ld\u00e1ul, az OPA telep\u00edthet\u0151 backendk\u00e9nt a Kubernetes bel\u00e9p\u00e9si vez\u00e9rl\u0151j\u00e9hez, deleg\u00e1lva neki a biztons\u00e1gi d\u00f6nt\u00e9seket. \u00cdgy az OPA \u00fcgyn\u00f6k\u00e9nek lehet\u0151s\u00e9ge van ellen\u0151rizni, elutas\u00edtani, \u00e9s ak\u00e1r m\u00f3dos\u00edtani a k\u00e9r\u00e9seket val\u00f3s id\u0151ben, biztos\u00edtva a megadott biztons\u00e1gi param\u00e9terek betart\u00e1s\u00e1t. Az OPA biztons\u00e1gi szab\u00e1lyai az \u0151 saj\u00e1t DSL nyelv\u00e9n, a Rego-n \u00edr\u00f3dtak.<\/p>\n
Megjegyz\u00e9s ford\u00edt\u00e1s.<\/b>: Tov\u00e1bbi inform\u00e1ci\u00f3 az OPA-r\u00f3l (\u00e9s SPIFFE-r\u0151l) a ez a cikk<\/a><\/noindex>.<\/i><\/p>\nKomerci\u00e1lis eszk\u00f6z\u00f6k a Kubernetes biztons\u00e1gi elemz\u00e9s\u00e9re<\/h2>\n \nElk\u00fcl\u00f6n\u00edtett kateg\u00f3ri\u00e1t hoztunk l\u00e9tre a kommersz platformok sz\u00e1m\u00e1ra, mivel ezek jellemz\u0151en t\u00f6bb biztons\u00e1gi ter\u00fcletet is magukban foglalnak. \u00c1ttekint\u00e9st a lehet\u0151s\u00e9geikr\u0151l a t\u00e1bl\u00e1zatban kaphatunk:<\/p>\n
* Fejlett szak\u00e9rtelem \u00e9s post mortem elemz\u00e9s teljes rendszerh\u00edv\u00e1sokkal Aqua Security<\/a><\/noindex>.<\/i><\/p>\nwww.aquasec.com<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")