\nPer semplificare la navigazione nell'elenco, gli strumenti sono suddivisi per funzionalit\u00e0 principali e aree di applicazione. Sono emerse le seguenti sezioni:<\/p>\n
\n Scansione delle immagini Kubernetes e analisi statica;<\/li>\n Sicurezza runtime;<\/li>\n Sicurezza di rete in Kubernetes;<\/li>\n Distribuzione delle immagini e gestione dei segreti;<\/li>\n Audit di sicurezza di Kubernetes;<\/li>\n Prodotti commerciali completi.<\/li>\n<\/ul>\n\nPassiamo al sodo:<\/p>\n
Scansione delle immagini Kubernetes<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Sito: anchore.com<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache) e proposta commerciale<\/li>\n<\/ul>\n\n
Oltre alla scansione standard delle immagini dei container per vulnerabilit\u00e0 note dalle banche dati CVE, Anchore esegue numerosi controlli aggiuntivi come parte della politica di scansione: verifica Dockerfile, fuga di credenziali, pacchetti dei linguaggi di programmazione utilizzati (npm, maven, ecc.), licenze software e molto altro.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Sito: coreos.com\/claire<\/a><\/noindex> (ora sotto la tutela di Red Hat)<\/i><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n(anch'esso di CoreOS \u2014 nota del traduttore.<\/b>)<\/i>. Clair \u00e8 in grado di raccogliere informazioni sui CVE da numerose fonti, inclusi gli elenchi delle vulnerabilit\u00e0 specifiche per le distribuzioni Linux gestiti dai team di sicurezza di Debian, Red Hat o Ubuntu.<\/p>\n
A differenza di Anchore, Clair si occupa principalmente di cercare vulnerabilit\u00e0 e di abbinare i dati con i CVE. Tuttavia, il prodotto offre agli utenti alcune possibilit\u00e0 di estensione delle funzionalit\u00e0 tramite driver plug-in.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Sito: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Licenza: libera (Apache)<\/li>\n<\/ul>\n\n
Due caratteristiche distintive del pacchetto Dagda rispetto ad altri strumenti simili sono:<\/p>\n
\n Si integra perfettamente con ClamAV<\/a><\/noindex>, fungendo non solo da strumento per la scansione delle immagini dei container, ma anche come antivirus.<\/li>\n Inoltre, fornisce protezione in tempo reale, ricevendo eventi dal demone Docker e integrandosi con Falco (vedi sotto)<\/i> per raccogliere eventi di sicurezza durante l'esecuzione del container.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Sito: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Licenza: libera (Apache), ma richiede l'accesso ai dati da JFrog Xray (prodotto commerciale)<\/li>\n<\/ul>\n\n
KubeXray non solo esegue audit di nuovi o aggiornati container nei deployment (simile a un admission controller in Kubernetes), ma controlla anche dinamicamente i container in esecuzione per verificare la conformit\u00e0 alle nuove politiche di sicurezza, rimuovendo le risorse che fanno riferimento a immagini vulnerabili.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Sito: snyk.io<\/a><\/noindex><\/li>\n Licenza: versione gratuita (Apache) e commerciale<\/li>\n<\/ul>\n\n
Snyk si connette direttamente ai repository di codice, analizza il manifesto del progetto e verifica il codice importato assieme alle dipendenze dirette e indirette. Snyk supporta molti linguaggi di programmazione popolari e pu\u00f2 identificare rischi di licenza nascosti.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Sito: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Licenza: versione gratuita (AGPL)<\/li>\n<\/ul>\n\n
Il rovescio della medaglia della semplicit\u00e0 di Trivy \u00e8 che sar\u00e0 necessario capire come analizzare e inviare i risultati in formato JSON affinch\u00e9 possano essere utilizzati da altri strumenti di sicurezza Kubernetes.<\/p>\n
Sicurezza runtime in Kubernetes<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Sito: falco.org<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nUtilizzando gli strumenti di Sysdig per operare a livello kernel Linux e per il profiling delle chiamate di sistema, Falco consente di analizzare a fondo il comportamento del sistema. Il suo meccanismo di regole runtime \u00e8 in grado di rilevare attivit\u00e0 sospette nelle applicazioni, nei container, nell'host sottostante e nell'orchestratore Kubernetes.<\/p>\n
Falco fornisce piena trasparenza sul runtime e rilevamento delle minacce, installando agenti speciali sui nodi Kubernetes. Di conseguenza, non \u00e8 necessario modificare i container, implementando codice di terze parti o utilizzando container sidecar.<\/p>\n
Framework di sicurezza Linux per il runtime<\/h3>\n \n
AppArmor<\/a><\/noindex> collega un profilo di sicurezza ai processi in esecuzione nel container, definendo privilegi di accesso al file system, regole di accesso di rete, collegamenti a librerie, ecc. \u00c8 un sistema basato su controllo degli accessi obbligatorio (Mandatory Access Control, MAC). In altre parole, impedisce l'esecuzione di azioni non autorizzate.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) \u2014 \u00e8 un modulo di sicurezza avanzata nel kernel Linux, simile in alcuni aspetti a AppArmor e spesso paragonato a quest'ultimo. SELinux supera AppArmor in potenza, flessibilit\u00e0 e granularit\u00e0 delle impostazioni. Le sue svantaggi includono una curva di apprendimento lunga e una maggiore complessit\u00e0.<\/p>\nSeccomp<\/a><\/noindex> e seccomp-bpf consentono di filtrare le chiamate di sistema, bloccando l'esecuzione di quelle potenzialmente pericolose per il sistema operativo di base e non necessarie per il normale funzionamento delle applicazioni utente. Seccomp condivide alcune somiglianze con Falco, sebbene non conosca le specificit\u00e0 dei contenitori.<\/p>\nSysdig open source<\/h3>\n <\/p>\n
\n Sito: www.sysdig.com\/opensource<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n(forensics)<\/i> del sistema di base e di qualsiasi contenitore in esecuzione su di esso.<\/p>\n
Inoltre, Sysdig supporta originariamente ambienti esecutivi per container e metadati Kubernetes, aggiungendo ulteriori misurazioni e etichette a tutte le informazioni raccolte sul comportamento del sistema. Esistono diversi modi per analizzare un cluster Kubernetes utilizzando Sysdig: \u00e8 possibile effettuare una cattura in un determinato momento tramite kubectl capture<\/a><\/noindex> oppure avviare un'interfaccia interattiva basata su ncurses utilizzando il plugin kubectl dig<\/a><\/noindex>.<\/p>\nSicurezza di rete Kubernetes<\/h2>\n <\/p>\n
Aporeto<\/h3>\n <\/p>\n
\n Sito: www.aporeto.com<\/a><\/noindex><\/li>\n Licenza: commerciale<\/li>\n<\/ul>\n\n
Aporeto \u00e8 in grado di generare un identificatore unico non solo per Kubernetes\/container, ma anche per host, funzioni cloud e utenti. A seconda di questi identificatori e del set di regole di sicurezza di rete definite dall'amministratore, le comunicazioni verranno autorizzate o bloccate.<\/p>\n
Calico<\/h3>\n <\/p>\n
\n Sito: www.projectcalico.org<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n
Cilium<\/h3>\n <\/p>\n
\n Sito: www.cilium.io<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n
Cilium \u00e8 in grado di implementare politiche di accesso alla rete basate su identificatori di container, utilizzando etichette Docker o Kubernetes e metadati. Cilium comprende e filtra anche vari protocolli di livello 7, come HTTP o gRPC, consentendo di definire un insieme di chiamate REST che, ad esempio, saranno autorizzate tra due deployment di Kubernetes.<\/p>\n
Istio<\/h3>\n <\/p>\n
\n Sito: istio.io<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n
Le capacit\u00e0 di Istio per garantire la sicurezza della rete includono la crittografia TLS trasparente per migliorare automaticamente il protocollo di comunicazione tra i microservizi fino a HTTPS e un proprio sistema RBAC per l'identificazione e l'autorizzazione per consentire\/negare lo scambio di dati tra diverse workload nel cluster.<\/p>\n
Nota del traduttore.<\/b>: Per saperne di pi\u00f9 sulle capacit\u00e0 di Istio orientate alla sicurezza, leggi in questo articolo<\/a><\/noindex>.<\/i><\/p>\nTigera<\/h3>\n <\/p>\n
\n Sito: www.tigera.io<\/a><\/noindex><\/li>\n Licenza: commerciale<\/li>\n<\/ul>\n\n
Analogamente ad altre soluzioni di rete native per Kubernetes, Tigera si basa sui metadati per identificare vari servizi e oggetti nel cluster e fornisce rilevamento dei problemi in tempo reale, verifica continua della conformit\u00e0 e trasparenza della rete per infrastrutture monolitiche-contenerizzate multicloud o ibride.<\/p>\n
Trireme<\/h3>\n <\/p>\n
\nSito: www.aporeto.com\/opensource<\/a><\/noindex><\/li>\nLicenza: gratuita (Apache)<\/li>\n<\/ul>\n\n
Distribuzione delle immagini e gestione dei segreti<\/h2>\n <\/p>\n
Grafeas<\/h3>\n <\/p>\n
\n Sito: grafeas.io<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n
Questa fonte centralizzata di verit\u00e0 aiuta a rispondere a domande come:<\/p>\n
\n Chi ha raccolto e firmato un determinato contenitore?<\/li>\n Ha superato tutti gli scanner di sicurezza e le verifiche previste dalla politica di sicurezza? Quando? Quali erano i risultati? <\/li>\n Chi lo ha distribuito in produzione? Quali parametri sono stati utilizzati durante il deployment?<\/li>\n<\/ul>\n<\/p>\n
In-toto<\/h3>\n <\/p>\n
\n Sito: in-toto.github.io<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n
In-toto controlla l'esecuzione del piano, assicurandosi che ogni compito nella catena venga svolto correttamente esclusivamente da personale autorizzato e che non siano state effettuate manipolazioni non autorizzate durante il processo con il prodotto.<\/p>\n
Portieris<\/h3>\n <\/p>\n
\n Sito: github.com\/IBM\/portieris<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\nNotary<\/a><\/noindex> (ne abbiamo parlato alla fine di questo articolo<\/a><\/noindex> \u2014 nota del traduttore.<\/b>)<\/i> come fonte di verit\u00e0 per la convalida di artefatti fidati e firmati (cio\u00e8 immagini di contenitori approvate).<\/p>\n Quando si crea o si modifica un carico di lavoro in Kubernetes, Portieris carica le informazioni sulla firma e la politica di fiducia sui contenuti per le immagini di contenitori richieste e, se necessario, apporta modifiche on-the-fly all'oggetto JSON API per avviare versioni firmate di queste immagini.<\/p>\n
Vault<\/h3>\n <\/p>\n
\n Sito: www.vaultproject.io<\/a><\/noindex><\/li>\n Licenza: libera (MPL)<\/li>\n<\/ul>\n\n
Con il chart Helm, Vault pu\u00f2 essere distribuito come un nuovo deployment nel cluster Kubernetes utilizzando Consul come backend di archiviazione. Supporta risorse native di Kubernetes come i token ServiceAccount e pu\u00f2 anche fungere da archivio di segreti Kubernetes per impostazione predefinita.<\/p>\n
Nota del traduttore.<\/b>: A proposito, proprio ieri l'azienda HashiCorp, che sviluppa Vault, ha annunciato alcuni miglioramenti per l'uso di Vault in Kubernetes e in particolare riguardano il chart Helm. Ulteriori dettagli sono disponibili nel blog degli sviluppatori<\/a><\/noindex>.<\/i><\/p>\nAudit della sicurezza di Kubernetes<\/h2>\n <\/p>\n
Kube-bench<\/h3>\n <\/p>\n
\nSito: github.com\/aquasecurity\/kube-bench<\/a><\/noindex><\/li>\nLicenza: gratuita (Apache)<\/li>\n<\/ul>\n\nCIS Kubernetes Benchmark<\/a><\/noindex>.<\/p>\nKube-bench verifica la configurazione insicura tra i componenti del cluster (etcd, API, controller manager, ecc.), i diritti di accesso ai file discutibili, gli account non protetti o le porte aperte, le quote delle risorse, le impostazioni di limitazione delle chiamate all'API per proteggersi dagli attacchi DoS, e cos\u00ec via.<\/p>\n
Kube-hunter<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")