\nPer semplificare la navigazione nell'elenco, gli strumenti sono suddivisi per funzioni principali e ambiti di applicazione. Abbiamo i seguenti settori:<\/p>\n
\n Scansione delle immagini di Kubernetes e analisi statica;<\/li>\n Sicurezza runtime;<\/li>\n Sicurezza di rete di Kubernetes;<\/li>\n Distribuzione delle immagini e gestione dei segreti;<\/li>\n Audit della sicurezza di Kubernetes;<\/li>\n Prodotti commerciali complessi.<\/li>\n<\/ul>\n\nPassiamo al sodo:<\/p>\n
Scansione delle immagini di Kubernetes<\/h2>\n <\/p>\n
Anchore<\/h3>\n <\/p>\n
\n Sito: anchore.com<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache) e offerta commerciale<\/li>\n<\/ul>\n\n
Oltre alla scansione standard delle immagini dei container per le vulnerabilit\u00e0 note dal database CVE, Anchore esegue molte altre verifiche nell'ambito della politica di scansione: controlla il Dockerfile, le fughe di credenziali, i pacchetti dei linguaggi di programmazione utilizzati (npm, maven, ecc.), le licenze del software e molto altro.<\/p>\n
Clair<\/h3>\n <\/p>\n
\n Sito: coreos.com\/claire<\/a><\/noindex> (ora sotto la supervisione di Red Hat)<\/i><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n(anch'esso di CoreOS \u2014 Nota di traduzione.<\/b>)<\/i>. Clair \u00e8 in grado di raccogliere informazioni sui CVE da un ampio numero di fonti, inclusi elenchi di vulnerabilit\u00e0 specifici per distribuzioni Linux gestiti dai team di sicurezza di Debian, Red Hat o Ubuntu.<\/p>\n
A differenza di Anchore, Clair si occupa principalmente di cercare vulnerabilit\u00e0 e di abbinare i dati ai CVE. Tuttavia, il prodotto offre agli utenti alcune funzionalit\u00e0 di estensione tramite driver plugin.<\/p>\n
Dagda<\/h3>\n <\/p>\n
\n Sito: github.com\/eliasgranderubio\/dagda<\/a><\/noindex><\/li>\n Licenza: libera (Apache)<\/li>\n<\/ul>\n\n
Due caratteristiche distintive del pacchetto Dagda rispetto ad altri strumenti simili sono:<\/p>\n
\n Si integra perfettamente con ClamAV<\/a><\/noindex>, fungendo non solo da strumento per la scansione delle immagini dei container, ma anche come antivirus.<\/li>\n Garantisce anche una protezione runtime, ricevendo eventi in tempo reale dal demone di Docker e integrandosi con Falco (vedi sotto)<\/i> per raccogliere eventi di sicurezza durante l'esecuzione del container.<\/li>\n<\/ul>\n <\/p>\n
KubeXray<\/h3>\n <\/p>\n
\n Sito: github.com\/jfrog\/kubexray<\/a><\/noindex><\/li>\n Licenza: libera (Apache), ma richiede dati da JFrog Xray (prodotto commerciale)<\/li>\n<\/ul>\n\n
KubeXray non solo esegue audit di nuovi o aggiornati container nelle deployment (simile al controller di ammissione in Kubernetes), ma controlla anche dinamicamente i container che stanno funzionando per verificarne la conformit\u00e0 alle nuove politiche di sicurezza, rimuovendo le risorse che fanno riferimento a immagini vulnerabili.<\/p>\n
Snyk<\/h3>\n <\/p>\n
\n Sito: snyk.io<\/a><\/noindex><\/li>\n Licenza: libera (Apache) e versioni commerciali<\/li>\n<\/ul>\n\n
Snyk si connette direttamente ai repository di codice, analizza il manifesto del progetto ed esamina il codice importato insieme alle dipendenze dirette e indirette. Snyk supporta molti linguaggi di programmazione popolari e pu\u00f2 rilevare rischi di licenza nascosti.<\/p>\n
Trivy<\/h3>\n <\/p>\n
\n Sito: github.com\/knqyf263\/trivy<\/a><\/noindex><\/li>\n Licenza: libera (AGPL)<\/li>\n<\/ul>\n\n
Il rovescio della medaglia della semplicit\u00e0 di Trivy \u00e8 che \u00e8 necessario capire come analizzare e inviare i risultati in formato JSON, affinch\u00e9 possano essere utilizzati da altri strumenti di sicurezza Kubernetes.<\/p>\n
Sicurezza runtime in Kubernetes<\/h2>\n <\/p>\n
Falco<\/h3>\n <\/p>\n
\n Sito: falco.org<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\nCNCF<\/a><\/noindex>.<\/p>\nUtilizzando gli strumenti Sysdig che operano a livello del kernel Linux e il profiling delle chiamate di sistema, Falco consente di approfondire il comportamento del sistema. Il suo meccanismo di regole runtime \u00e8 in grado di rilevare attivit\u00e0 sospette nelle applicazioni, nei contenitori, nell'host sottostante e nell'orchestratore Kubernetes.<\/p>\n
Falco fornisce piena trasparenza nelle operazioni del runtime e rilevamento delle minacce, posizionando agenti speciali sui nodi Kubernetes. Di conseguenza, non \u00e8 necessario modificare i container, inserendo codice di terze parti o apponendo container sidecar.<\/p>\n
Framework di sicurezza Linux per runtime<\/h3>\n \n
AppArmor<\/a><\/noindex> collega un profilo di sicurezza ai processi in esecuzione nel contenitore, definendo i privilegi del file system, le regole di accesso di rete, il collegamento delle librerie, ecc. Questo \u00e8 un sistema basato su controllo degli accessi obbligatorio (Mandatory Access Control, MAC). In altre parole, impedisce l'esecuzione di azioni vietate.<\/p>\nSecurity-Enhanced Linux (SELinux<\/a><\/noindex>) \u00e8 un modulo di sicurezza avanzata nel kernel Linux, simile in alcuni aspetti a AppArmor e spesso confrontato con esso. SELinux supera AppArmor in potenza, flessibilit\u00e0 e precisione delle configurazioni. I suoi svantaggi includono una lunga curva di apprendimento e una maggiore complessit\u00e0.<\/p>\nSeccomp<\/a><\/noindex> seccomp-bpf consente di filtrare le chiamate di sistema, bloccando l'esecuzione di quelle potenzialmente pericolose per il sistema operativo di base e non necessarie per il normale funzionamento delle applicazioni utente. Seccomp, sotto alcuni aspetti, \u00e8 simile a Falco, anche se non \u00e8 a conoscenza delle specificit\u00e0 dei container.<\/p>\nSysdig open source<\/h3>\n <\/p>\n
\n Sito: www.sysdig.com\/opensource<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n(forense)<\/i> sistema di base e qualsiasi container in esecuzione su di esso.<\/p>\n
Inoltre, Sysdig supporta sin dall'inizio ambienti di esecuzione per container e metadati Kubernetes, aggiungendo ulteriori metriche e etichette a tutte le informazioni raccolte sul comportamento del sistema. Ci sono diversi modi per analizzare un cluster Kubernetes con Sysdig: \u00e8 possibile eseguire un cattura in un momento specifico tramite kubectl capture<\/a><\/noindex> oppure avviare un'interfaccia interattiva basata su ncurses utilizzando il plugin kubectl dig<\/a><\/noindex>.<\/p>\nSicurezza di rete Kubernetes<\/h2>\n <\/p>\n
Aporeto<\/h3>\n <\/p>\n
\n Sito: www.aporeto.com<\/a><\/noindex><\/li>\n Licenza: commerciale<\/li>\n<\/ul>\n\n
Aporeto \u00e8 in grado di generare un identificatore unico non solo per Kubernetes\/container, ma anche per host, funzioni cloud e utenti. In base a questi identificatori e a un insieme di regole di sicurezza di rete definite dall'amministratore, le comunicazioni saranno permesse o bloccate.<\/p>\n
Calico<\/h3>\n <\/p>\n
\n Sito: www.projectcalico.org<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n
Cilium<\/h3>\n <\/p>\n
\n Sito: www.cilium.io<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n
Cilium \u00e8 in grado di implementare politiche di accesso alla rete basate su identificatori di container, utilizzando etichette Docker o Kubernetes e metadati. Cilium comprende e filtra anche diversi protocolli di settimo livello, come HTTP o gRPC, consentendo di definire un insieme di chiamate REST che, ad esempio, saranno autorizzate tra due deployment Kubernetes.<\/p>\n
Istio<\/h3>\n <\/p>\n
\n Sito: istio.io<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n
Le capacit\u00e0 di Istio per garantire la sicurezza di rete includono la crittografia TLS trasparente per migliorare automaticamente il protocollo di comunicazione tra microservizi fino a HTTPS e il proprio sistema RBAC per identificazione e autorizzazione per consentire\/vietare lo scambio di dati tra diversi carichi di lavoro nel cluster.<\/p>\n
Nota di traduzione.<\/b>: Per ulteriori informazioni sulle capacit\u00e0 di Istio orientate alla sicurezza, leggi in questo articolo<\/a><\/noindex>.<\/i><\/p>\nTigera<\/h3>\n <\/p>\n
\n Sito: www.tigera.io<\/a><\/noindex><\/li>\n Licenza: commerciale<\/li>\n<\/ul>\n\n
Analogamente ad altre soluzioni di rete native di Kubernetes, Tigera si basa sui metadati per identificare i vari servizi e oggetti nel cluster e fornisce rilevamento dei problemi in runtime, verifica continua della conformit\u00e0 e trasparenza della rete per infrastrutture multicloud o ibride monolitiche-containerizzate.<\/p>\n
Trireme<\/h3>\n <\/p>\n
\nSito: www.aporeto.com\/opensource<\/a><\/noindex><\/li>\nLicenza: gratuita (Apache)<\/li>\n<\/ul>\n\n
Distribuzione delle immagini e gestione dei segreti<\/h2>\n <\/p>\n
Grafeas<\/h3>\n <\/p>\n
\n Sito: grafeas.io<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n
Questa fonte centralizzata di verit\u00e0 aiuta a rispondere a domande come:<\/p>\n
\n Chi ha costruito e firmato un contenitore specifico?<\/li>\n Ha superato tutti gli scanner di sicurezza e i controlli previsti dalla politica di sicurezza? Quando? Quali erano i risultati? <\/li>\n Chi lo ha distribuito in produzione? Quali parametri sono stati utilizzati durante la distribuzione?<\/li>\n<\/ul>\n<\/p>\n
In-toto<\/h3>\n <\/p>\n
\n Sito: in-toto.github.io<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\n
In-toto controlla l'esecuzione del piano, verificando che ogni attivit\u00e0 nella catena venga eseguita correttamente solo dal personale autorizzato e che durante il movimento del prodotto non vengano effettuate manomissioni non autorizzate.<\/p>\n
Portieris<\/h3>\n <\/p>\n
\n Sito: github.com\/IBM\/portieris<\/a><\/noindex><\/li>\n Licenza: gratuita (Apache)<\/li>\n<\/ul>\n\nNotary<\/a><\/noindex> (ne abbiamo parlato alla fine di questo articolo,<\/a><\/noindex> \u2014 Nota di traduzione.<\/b>)<\/i> come fonte di verit\u00e0 per confermare artefatti fidati e firmati (cio\u00e8 immagini di contenitori approvate).<\/p>\n Quando si crea o si modifica un carico di lavoro in Kubernetes, Portieris carica le informazioni sulla firma e la politica di fiducia per i contenuti delle immagini dei container richieste e, se necessario, apporta modifiche al volo all'oggetto JSON API per avviare versioni firmate di queste immagini.<\/p>\n
Vault<\/h3>\n <\/p>\n
\n Sito: www.vaultproject.io<\/a><\/noindex><\/li>\n Licenza: libera (MPL)<\/li>\n<\/ul>\n\n
Con il chart Helm, Vault pu\u00f2 essere distribuito come un nuovo deployment nel cluster Kubernetes con Consul come backend di archiviazione. Supporta risorse native di Kubernetes come i token ServiceAccount e pu\u00f2 anche fungere da archiviazione dei segreti di Kubernetes per impostazione predefinita.<\/p>\n
Nota di traduzione.<\/b>: A proposito, proprio ieri, HashiCorp, la societ\u00e0 che sviluppa Vault, ha annunciato alcuni miglioramenti per l'uso di Vault in Kubernetes, in particolare riguardo al chart Helm. Per ulteriori dettagli, leggi il blog dello sviluppatore<\/a><\/noindex>.<\/i><\/p>\nAudit della sicurezza di Kubernetes<\/h2>\n <\/p>\n
Kube-bench<\/h3>\n <\/p>\n
![\"33+](\"\/wp-content\/uploads\/2019\/09\/4d9aa6583128844afadc1b06996c29b6.png\")